VPN ataka markatzeak ez die ahots deiei lehentasunik ematen
VPN ataka lehentasun gisa markatzeak deia eta babeskopia tunel berean bultzatzen ditu. Ahotsak zifratu aurreko sailkapena eta zuk kontrolatutako ilara bat behar ditu.
VPN-ren UDP ataka lehentasun handi gisa markatzea ahots QoS-eko aldaketarik ohikoena da, eta ez du deia tunel hori partekatzen duen fitxategi transferentziatik bereizten. Bi fluxuek socket zifratu beretik irteten dute. Markak hurrengo jauziari dena berdin garrantzitsua dela esaten dio, hau da, ezer ez esatea bezala. Dei bat babesten duena zifratu aurreko sailkapen fidagarria da gehi benetan kontrolatzen duzun ilara bat.
Tunelak sailkatu nahi zenuen fluxua ezkutatzen du
Zifratzeak barne-goiburuak kanpoko goiburu bakar batekin ordezkatzen ditu tunel bakoitzeko. Horren ondoren, ahotsak eta babeskopiako trafikoak jatorri, helmuga eta garraio ataka bera dute, beraz tunel atakan oinarritutako sailkatzaile batek ezin ditu bereizi. Bultzatzen duzuna, osorik bultzatzen duzu.
Jatorrizko aplikazioak ezarritako DSCP balioa kanpora norbait kopiatzen badu baino ez da bizirik ateratzen. OpenVPN 2.6-k passtos dauka, IPv4 irismenarekin dokumentatua; IPsec-ek bere kopia edo mapatze politika aplikatzen du tuneleko mugan. Urrats hori gabe kanpoko paketea tunel interfazeak erabiltzen duen edozein balio lehenetsirekin markatzen da, eta beheragoko ilarak ez daki inoiz deirik dagoenik barruan.
Kopiatutako markek bezeroak emandako edozein baliok bezain beste susmo merezi dute. Lan-estazio batek babeskopia lan baterako birbidaltze bizkortua eskatu dezake, beraz onarpena eta berrmarkatzea konfiantza mugan diseinuan egon behar dira marka sinetsi aurretik.
Lehentasunak ilara sortzen den tokian soilik balio du
Igoerako esteka saturatu bat da kodek ona ahots errobotizatu bihurtzen duena, eta betetzen den ilara sarbide gailuan edo hornitzailearen bufferrean egon ohi da. Irteerako bidea erabil daitekeen abiadurara moldatzea, tunel eta esteka gainkarga kenduta, ilara hori zuk administratzen duzun hardwarean mantentzen du, ez beste norbaitek bufferrean.
Ilara zuzenak eta ilara-kudeaketa aktiboak ahots klaserik gabe ere laguntzen dute, fluxu handi batek buffera betetzea eragozten dutelako. Linux-en CAKE-k moldaketa, fluxuko zuzena eta aukerako Diffserv klaseak qdisc bakarrean biltzen ditu, eta inplementatutako sare-kudeatzaileak konfigurazio horren jabe izan behar du, ez bigarren ilara lehiakor bat. Moldaketarik gabe, trafiko handia gainditzen duen klase batek beteta dagoen buffer baten atzetik itxaroten du oraindik.
Sarrerako trafikoaren tratamendua ez da alferrikakoa, baina paketea jasotzeko esteka zeharkatu ondoren jarduten du. Igortzaile erantzunkor batean eragin dezake eta ezin du goragoko zatian jada gastatutako atzerapena itzuli, beraz arintzea da, ez bermea.
| Stage | What you can control | What to verify |
|---|---|---|
| Application to client | Which flows are trusted for marking | The marked packets are the ones you intended |
| Tunnel boundary | Whether the inner mark is copied outward | Outer header carries the expected value |
| Your uplink | Shaping rate and class treatment | Queue counters move for the voice class |
| Provider path | Almost nothing | Whether the service enforces the marking at all |
| Receiving side | Local policy after arrival | Delay that is already in the past |
Zer ateratzen da bizirik internet publikoan
Diffserv arkitekturak domeinu administratiboen barneko tratamendua deskribatzen du, eta horregatik hornitzaile batek marka bat muga batean alde batera utzi edo berridatzi dezake. Aurkako baieztapena, sare guztiek beti kentzen dutela, ez da hainbeste oinarritzen. Galdera zintzoa da zer dagoen kontratatuta eta policekin kontrolatuta bide zehatz honek egiteko. Egiaztatu hori markatutako zunda batekin, nonbait irakurritako arau bat errepikatu beharrean.
Galdetu hornitzaileak klaseari zer egiten dion, eta gero neurtu. Gorde egiten den baina programatzen ez den marka apaingarria da; marka ikusi gabe programatzen duen bidea beste arazo bat da, eta biek konponketa desberdinak behar dituzte.
Etapa isolatzen duen neurketa-plan bat
Egin dei arrunt bat kontrolatutako igoera lehiakorrarekin, eta gero errepikatu kabledun esteka batean. Begiratu deiak zer galdu zuen, klase-kontagailuek zer erregistratu zuten eta interfazea zenbat hurbil dabilen bere benetako mugara, planaren abiadura iragarrira baino.
tc -s qdisc show dev eth0
tc -s class show dev eth0
mtr -rwzbc 50 voice.example.netAhots klaseko kontagailua zeroan geratzen bada, sailkapena edo markaren kopia hondatuta dago eta lehentasun kopuruak ez du lagunduko. Klase-kontagailua bertan mugitzen bada atzerapena igotzen jarraitzen duen bitartean, estugunea zure atebidetik haratago dago. Bi emaitzetako bat ere ez da zuzentzen lehentasun balioa igoz.