Kas täistunnel on lihtsam kui pikk osalise tunneli nimekiri?

Osalise tunneli nimekiri algab kolme rakendusega ja lõpeb sellega, et katab suurema osa masinast, ning iga uus rida on kellegi erand. Sel hetkel on nimekiri vaikselt muutunud lisasammudega vaikeväärtuseks. Täistunnel pöörab korralduse ümber: kõik läheb tunnelisse, kui dokumenteeritud erand ei ütle teisiti. Kas see on lihtsam, sõltub lüüsist ja kohalikest teenustest, mille te lõhuksite.

Alustage nende reeglite loendamisest, mida te hooldate

Loendage kirjed ja seejärel loendage, kui mitmel neist on nimetatud omanik ja viimase kontrolli kuupäev. Oluline on teine arv, sest erandit, millel pole omanikku, ei saa hinnata, kui tarkvara, millele see viitab, nimetatakse ümber või asendatakse. Käivitatava faili teele seotud reeglid lakkavad pärast uuendust vaikselt töötamast, ja tõrge näeb välja nagu ebausaldusväärne VPN, mitte nagu aegunud reegel. Kirjutage nimekiri üles enne, kui teil selle kohta arvamus tekib.

Iga kirje peaks vastama kolmele küsimusele: mis ilma selleta katki läheb, kes selle otsustas ja kuidas te märkaksite, et põhjus on kadunud. Kirjed, mis ei suuda kõigile kolmele vastata, on kustutamise, mitte migreerimise kandidaadid, ja nende esimesena kustutamine teeb hilisema võrdluse ausaks.

Kui enamik kirjeid suunab suure osa liiklusest, juhite juba täistunnelit, millel on kaasas hoolduskoorem. Otsus on siis selles, kus vaikeväärtus elab, mitte selles, kas see peaks olemas olema.

Kontrollige, kas lüüs suudab vaikeväärtust kanda

Täistunnel viib iga paketi ühte seadmesse, mis muudab korraga selle seadme protsessorikoormust, conntrack-tabelit, aadressitõlget ja ülesvoolu ribalaiuse nõuet. Lüüs, mis teenindas mugavalt mõnda sisealamvõrku, ei pruugi olla mõõdetud kogu kasutaja veebilehitsemise jaoks. Vaadake suurimat eeldatavat samaaegsete sessioonide arvu, mitte keskmist, sest tipp murdub esimesena.

ip -s link show dev tun0
conntrack -C
ss -s

Mõõtke sama koormust enne ja pärast muudatust, selle asemel et spetsifikatsioonidest järeldada. Üks tavaline pärastlõuna ühes masinas näitab, kas lüüs on piiri lähedal, ja see ei maksa midagi võrreldes selle avastamisega esmaspäeva hommikul.

Kontrollige ka tee MTU-d otsast otsani, sest täisvaikeväärtus seab iga rakenduse tunneli maksimaalse paketisuuruse kätte. Rakendused, mis töötasid väljaspool tunnelit, võivad nüüd sõltuda fragmenteerimiskäitumisest, mille peale te pole kunagi pidanud mõtlema.

Kinnitage, et kohalikud teenused ja privaatne DNS töötavad endiselt

Loetlege, mis peab jääma kohalikuks protokolli, mitte rakenduse nime järgi: avastusprotokollid printeritele ja ekraanidele, nutikodu sild, ruuteri haldusleht, kohalik arendusserver, milleni jõutakse nimega, mis lahendatakse ainult kohtvõrgus. Need lähevad katki, kui vaikemarsruut hakkab tunnelisse osutama, ja lähevad katki vaikselt, sest kliendis ei logi miski viga.

Privaatne DNS on teine sõltuvus. Kui sisemised nimed lahendati varem tunneli resolveri kaudu, ei muutu miski; kui need lahendati kohapeal, peab täisvaikeväärtus viima need resolverini, mis tsoone tunneb. Pärast muudatust testige üht sisemist ja üht avalikku nime, selle asemel et eeldada, et resolverite nimekiri jäi alles.

Kirjutage kohalikud erandid profiili, millele need kuuluvad. Ainult kellegi mälus hoitav erand on esimene asi, mille järgmine migreerimine kaotab.

Migreerige üks profiil ja kontrollige piire

Muutke profiili selle enda konfiguratsiooni kaudu, selle asemel et laduda uut vaikeväärtust varasemate katsete jäetud käsitsi marsruutide peale. Need jääkmarsruudid on tavaline põhjus migreerimiseks, mis näib töötavat ja käitub päev hiljem ebajärjekindlalt. Hoidke vana profiil saadaval, et tagasipöördumine oleks valik, mitte ümberehitus.

Seejärel kontrollige kahte piiri eraldi: et avalikud ja privaatsed sihtkohad mõlemad töötavad, ja et soovimatu liiklus ei välju tunnelist. Edukas lehe laadimine tõestab esimest ja ei ütle teise kohta midagi.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Korrake kontrolli pärast taasühendamist ja pärast katkestust, sest katkestuse ajal liiklust blokeeriv lüliti on teine omadus kui marsruut, mis pärast seda korralikult taastub. Lihtsam lahendus on see, mille tegelikku katvust suudate veel seletada pärast rakenduse või võrgu muutumist.