Täistunnel versus jaotatud tunnel: neli erinevust

Tunneli sildid kirjeldavad, kuhu läheb ülejäänud sülearvuti liiklus, mitte kui kiiresti see liigub. Täistunneli korral läbivad avalikud päringud VPN-lüüsi enne internetti minekut. Jaotatud tunneli korral kasutavad privaatsed sihtkohad tunnelit ja kõik muu läheb kohalikku teed. Mõlemad jõuavad sisemise rakenduseni, seega kättesaadavuse test, mida inimesed esimesena teevad, ei ütle midagi selle kohta, milline poliitika on juurutatud.

Kontrollige selle asemel väljapääsu: millist aadressi avalik kaja-leht teatab ja milline lahendaja vastas.

Müüt: jaotatud tunnel on lihtsalt kiirem valik

Jaotatud tunnelit müüakse sageli jõudlusfunktsioonina ja see võib seda olla, kuid see on kõrvalmõju, mitte määratlus. Määratlus on marsruutimisotsus selle kohta, millised sihtkohad tunnelisse sisenevad. Kiiruse erinevus ilmneb alles siis, kui otsetee on tõesti parem kui ümbersõit kontori kaudu. Ülekoormatud koduliinil ja vähekoormatud lüüsil võib täistunnel olla kahest kiirem.

Seega on aus raamistik tee omandist ja kontrollist, jõudlus on see, mida mõõdetakse hiljem. Kiiruse pärast valitud poliitika, mis liigutab vaikselt teie DNS-i ja avalikku väljapääsu, on valitud vale põhjuse tõttu.

Mis tegelikult muutub: väljapääs

Täistunneli korral näeb avalik veebisait kontori väljundaddressi ja kontori filtreerimine näeb päringut. Jaotatud tunneli korral näeb sama sait kasutaja koduaddressi ja kontor ei näe midagi. Need on erinevad nähtavuse mudelid ja kumbki ei ole automaatselt turvalisem. Kasulik küsimus on, millist neist organisatsioon tegelikult käitada suudab.

Kontrollige seda otse, selle asemel et usaldada märki Ühendatud. Avalik aadressikaja näitab väljapääsu ja lahendaja test näitab, kelle DNS vastas.

Mida peab lüüs siis kandma

Videokõnesid, allalaadimisi ja privaatrakendusi kandev lüüs vajab võimsust hoopis teistsuguseks töökoormuseks kui see, mis kannab ainult sisemisi päringuid. Saidi internetiühendus kannab nii kasutaja saabumist kui ka järgnevat avalikku väljapääsu, seega kaks linki võivad korraga küllastuda.

Kohalik väljapääs eemaldab selle koormuse ja ümbersõidu ning see ei taga paremat kogemust, sest ka otsetee võib olla ülekoormatud. Võrrelge tegelikku rakendust, mitte käsitlege marsruudisilti jõudlusmõõdikuna.

Täistunneli all on erandeid

Vaikimisi marsruut ei ole kõigi pakettide loend. Täpsemad marsruudid, kohaliku võrgu lubamised, rakenduste erandid ja eraldi IPv6 reeglid liigutavad kõik liiklust, mistõttu täistunnelina kirjeldatud poliitika võib ikkagi lekkida. Operatsioonisüsteemi marsruutimisdokumentatsioon teeb selle vahe sunnitud tunnelite vaikeväärtuste puhul ja kliendi erandite loend on koht, kus leke tavaliselt elab. Kontrollige käitumist, mitte kavatsust.

IPv6 väärib omaette pilku, sest ainult IPv4-t kandev tunnel jätab terve virna poliitikast välja.

DNS on eraldi poliitika

Sisemised nimed vajavad lahendajat, kes neid tunneb, ja see lahendaja võib olla kättesaadav ainult tunneli kaudu. Oma krüpteeritud DNS-iga brauser võib süsteemse lahendaja täielikult mööda minna, mis tekitab jaotuse, kus sisemised nimed ebaõnnestuvad ja avalikud töötavad, või vastupidi.

Otsustage, kuhu päringud peaksid minema, ja viige klient ning brauser seejärel kooskõlla. Edukas avalik sirvimine ei testi kunagi sisemist nimelahendust, seega on see vale tõend, kui intranetisait kaob.

Kirjutage tõrkepoliitika ja testige seda siis

Otsustage, mis juhtub, kui tunnel katkeb: blokeerige kõik, blokeerige ainult privaatsed ressursid või lubage otseühendused. Automaatne taasühendus ei vasta sellele küsimusele ja hädalüliti, mis katab ainult tunneli liidest, võib jätta erandatud rakendused vabalt rääkima. Testige tegelikku katkestust ja võrgu muutust, seejärel lugege kliendi olekut, sest dokumentatsioon kirjeldab kavandatud, mitte paigaldatud käitumist.

Kirjutage privaatsed marsruudid, avalik väljapääs, DNS-serverid, kohalikud erandid ja tõrkekäitumine ühte lühikesse märkmesse. Just see märge teeb poliitika kontrollitavaks kellegi jaoks, kes seda ei kirjutanud.