تونل کامل در برابر تونل تقسیم‌شده: چهار تفاوت
برچسب تعیین می‌کند که بقیه ترافیک لپ‌تاپ از کجا خارج شود، نه اینکه چقدر سریع باشد. پیش از انتخاب، خروج، بار، DNS و رفتار در خطا را مقایسه کنید.
برچسب‌های تونل توضیح می‌دهند که بقیه ترافیک لپ‌تاپ کجا می‌رود، نه اینکه چقدر سریع می‌رود. در تونل کامل، درخواست‌های عمومی پیش از خروج به اینترنت از دروازه VPN عبور می‌کنند. در تونل تقسیم‌شده، مقصدهای خصوصی از تونل استفاده می‌کنند و بقیه چیزها مسیر محلی را طی می‌کنند. هر دو به برنامه داخلی می‌رسند، پس آزمون دسترسی که مردم اول انجام می‌دهند چیزی درباره اینکه کدام سیاست مستقر است نمی‌گوید.
در عوض خروج را آزمایش کنید: صفحه پژواک عمومی چه نشانی‌ای را گزارش می‌کند و کدام حل‌کننده پاسخ داده است.
افسانه: تونل تقسیم‌شده فقط گزینه سریع‌تر است
تونل تقسیم‌شده اغلب به عنوان ویژگی کارایی فروخته می‌شود و می‌تواند باشد، اما این یک عارضه جانبی است نه تعریف. تعریف، تصمیم مسیریابی درباره اینکه کدام مقصدها وارد تونل می‌شوند است. تفاوت سرعت تنها زمانی ظاهر می‌شود که مسیر مستقیم واقعاً بهتر از دور زدن از دفتر باشد. روی یک خط خانگی شلوغ و دروازه‌ای با بار سبک، تونل کامل می‌تواند سریع‌تر از آن دو باشد.
پس چارچوب صادقانه درباره مالکیت و کنترل مسیر است و کارایی چیزی است که بعداً اندازه می‌گیرید. سیاستی که به خاطر سرعت انتخاب شده و بی‌صدا DNS و خروج عمومی شما را جابه‌جا می‌کند، به دلیل اشتباه انتخاب شده است.
آنچه واقعاً تغییر می‌کند: خروج
در تونل کامل، یک وب‌سایت عمومی نشانی خروج دفتر را می‌بیند و فیلتر دفتر درخواست را می‌بیند. در تونل تقسیم‌شده، همان سایت نشانی خانه کاربر را می‌بیند و دفتر چیزی نمی‌بیند. این‌ها مدل‌های دیدپذیری متفاوتی هستند و هیچ‌کدام به‌طور خودکار امن‌تر نیست. پرسش مفید این است که سازمان واقعاً کدام را می‌تواند اداره کند.
آن را مستقیم بررسی کنید نه اینکه به نشان متصل اعتماد کنید. پژواک نشانی عمومی خروج را نشان می‌دهد و آزمون حل‌کننده نشان می‌دهد DNS چه کسی پاسخ داده است.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
دروازه پس از آن چه چیزی باید حمل کند
دروازه‌ای که تماس‌های ویدیویی، دانلودها و برنامه‌های خصوصی را حمل می‌کند به ظرفیتی برای حجم کاری کاملاً متفاوت از دروازه‌ای که فقط درخواست‌های داخلی را حمل می‌کند نیاز دارد. اتصال اینترنت سایت هم ورود کاربر و هم خروج عمومی بعدی را حمل می‌کند، بنابراین دو لینک می‌توانند هم‌زمان اشباع شوند.
خروج محلی آن بار و دور زدن را حذف می‌کند و تجربه بهتر را تضمین نمی‌کند، چون مسیر مستقیم هم می‌تواند شلوغ باشد. برنامه واقعی را مقایسه کنید نه اینکه برچسب مسیریابی را اندازه‌گیری کارایی بدانید.
استثناها زیر تونل کامل وجود دارند
مسیر پیش‌فرض فهرست هر بسته نیست. مسیرهای مشخص‌تر، مجوزهای شبکه محلی، استثناهای برنامه و قواعد جداگانه IPv6 همه ترافیک را جابه‌جا می‌کنند، به همین دلیل سیاستی که تونل کامل توصیف شده هنوز می‌تواند نشت کند. مستندات مسیریابی سیستم‌عامل این تمایز را برای پیش‌فرض‌های تونل اجباری قائل می‌شود و فهرست استثناهای کلاینت جایی است که نشت معمولاً در آن زندگی می‌کند. رفتار را بررسی کنید، نه قصد را.
IPv6 شایسته نگاه خودش است، چون تونلی که فقط IPv4 را حمل می‌کند کل یک پشته را بیرون از سیاست می‌گذارد.
DNS یک سیاست جداگانه است
نام‌های داخلی به حل‌کننده‌ای نیاز دارند که آن‌ها را بشناسد و آن حل‌کننده ممکن است فقط از طریق تونل در دسترس باشد. مرورگری با DNS رمزگذاری‌شده خودش می‌تواند حل‌کننده سیستم را کاملاً دور بزند و شکافی ایجاد کند که نام‌های داخلی شکست می‌خورند و نام‌های عمومی کار می‌کنند، یا برعکس.
تصمیم بگیرید جست‌وجوها کجا باید بروند، سپس کلاینت و مرورگر را هماهنگ کنید. مرور عمومی موفق هرگز تفکیک نام داخلی را آزمایش نمی‌کند، پس شاهد اشتباهی است وقتی سایت اینترانت گم می‌شود.
سیاست خطا را بنویسید، سپس آن را آزمایش کنید
تصمیم بگیرید وقتی تونل قطع می‌شود چه اتفاقی می‌افتد: همه چیز را مسدود کنید، فقط منابع خصوصی را مسدود کنید، یا اتصال‌های مستقیم را مجاز کنید. اتصال مجدد خودکار به این پرسش پاسخ نمی‌دهد و کلید قطعی که فقط رابط تونل را پوشش می‌دهد می‌تواند برنامه‌های مستثنا را آزادانه به صحبت بگذارد. یک قطع اتصال واقعی و یک تغییر شبکه را آزمایش کنید، سپس وضعیت کلاینت را بخوانید، چون مستندات رفتار مورد نظر را توصیف می‌کند نه رفتار نصب‌شده را.
مسیرهای خصوصی، خروج عمومی، سرورهای DNS، استثناهای محلی و رفتار خطا را در یک یادداشت کوتاه ثبت کنید. همان یادداشت است که سیاست را برای کسی که آن را ننوشته قابل بررسی می‌کند.