Täysi tunneli vai jaettu tunneli: neljä eroa
Tunniste päättää, mistä kannettavan tietokoneen muu liikenne lähtee, ei sitä, kuinka nopea se on. Vertaa lähtöä, kuormaa, DNS:ää ja virhetilanteen toimintaa ennen valintaa.
Tunnelin tunnisteet kuvaavat, minne kannettavan tietokoneen muu liikenne menee, eivät sitä, kuinka nopeasti se menee. Täydessä tunnelissa julkiset pyynnöt kulkevat VPN-yhdyskäytävän kautta ennen internetiin lähtemistä. Jaetussa tunnelissa yksityiset kohteet käyttävät tunnelia ja kaikki muu ottaa paikallisen reitin. Molemmat saavuttavat sisäisen sovelluksen, joten saatavuustesti, jonka ihmiset tekevät ensin, ei kerro mitään siitä, mikä käytäntö on otettu käyttöön.
Testaa sen sijaan lähtö: minkä osoitteen julkinen kaiusivu raportoi ja mikä ratkaisija vastasi.
Myytti: jaettu tunneli on vain nopeampi vaihtoehto
Jaettua tunnelia myydään usein suorituskykyominaisuutena, ja se voi olla sitä, mutta se on sivutuote eikä määritelmä. Määritelmä on reitityspäätös siitä, mitkä kohteet tulevat tunneliin. Nopeusero näkyy vain silloin, kun suora reitti on todella parempi kuin kiertotie toimiston kautta. Ruuhkaisella kotiliittymällä ja kevyesti kuormitetulla yhdyskäytävällä täysi tunneli voi olla kahdesta nopeampi.
Rehellinen kehys koskee siis reitin omistajuutta ja hallintaa, ja suorituskyky on jotain, mitä mitataan jälkeenpäin. Nopeuden vuoksi valittu käytäntö, joka siirtää hiljaa DNS:si ja julkisen lähtösi, on valittu väärästä syystä.
Mikä todella muuttuu: lähtö
Täydessä tunnelissa julkinen verkkosivusto näkee toimiston lähtöosoitteen ja toimiston suodatus näkee pyynnön. Jaetussa tunnelissa sama sivusto näkee käyttäjän kotiosoitteen eikä toimisto näe mitään. Nämä ovat erilaisia näkyvyysmalleja, eikä kumpikaan ole automaattisesti turvallisempi. Hyödyllinen kysymys on, kumpaa organisaatio voi todella käyttää.
Tarkista se suoraan sen sijaan, että luottaisit Yhdistetty-merkkiin. Julkinen osoitekaiu näyttää lähdön ja ratkaisijatesti näyttää, kenen DNS vastasi.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Mitä yhdyskäytävän sitten täytyy kantaa
Videopuheluita, latauksia ja yksityisiä sovelluksia kantava yhdyskäytävä tarvitsee kapasiteettia aivan erilaiseen työkuormaan kuin vain sisäisiä pyyntöjä kantava. Sivuston internetliittymä kantaa sekä käyttäjän saapumisen että sitä seuraavan julkisen lähdön, joten kaksi linkkiä voi kyllästyä samanaikaisesti.
Paikallinen lähtö poistaa tuon kuorman ja kiertotien, eikä se takaa parempaa kokemusta, koska myös suora reitti voi olla ruuhkautunut. Vertaa todellista sovellusta sen sijaan, että pitäisit reititystunnistetta suorituskyvyn mittana.
Täyden tunnelin alla on poikkeuksia
Oletusreitti ei ole luettelo jokaisesta paketista. Tarkemmat reitit, paikallisverkon sallimukset, sovelluspoikkeukset ja erilliset IPv6-säännöt liikuttavat kaikki liikennettä, minkä vuoksi täydeksi tunneliksi kuvattu käytäntö voi silti vuotaa. Käyttöjärjestelmän reititysdokumentaatio tekee tämän eron pakotetuille tunnelin oletuksille, ja asiakkaan poikkeuslista on paikka, jossa vuoto yleensä asuu. Varmista toiminta, älä aikomus.
IPv6 ansaitsee oman katsauksensa, koska vain IPv4:tä kantava tunneli jättää kokonaisen pinon käytännön ulkopuolelle.
DNS on erillinen käytäntö
Sisäiset nimet tarvitsevat ratkaisijan, joka tuntee ne, ja tämä ratkaisija voi olla saatavilla vain tunnelin kautta. Selain, jolla on oma salattu DNS, voi ohittaa järjestelmän ratkaisijan kokonaan, mikä tuottaa jaon, jossa sisäiset nimet epäonnistuvat ja julkiset toimivat, tai päinvastoin.
Päätä, minne haut menevät, ja saata sitten asiakas ja selain sopuun. Onnistunut julkinen selailu ei koskaan testaa sisäistä nimien ratkaisua, joten se on väärä todiste, kun intranet-sivusto katoaa.
Kirjoita virhekäytäntö ja testaa se sitten
Päätä, mitä tapahtuu, kun tunneli putoaa: estä kaikki, estä vain yksityiset resurssit tai salli suorat yhteydet. Automaattinen uudelleenyhdistäminen ei vastaa tähän kysymykseen, ja kill switch, joka kattaa vain tunnelin rajapinnan, voi jättää poissuljetut sovellukset puhumaan vapaasti. Testaa todellinen katkaisu ja verkon muutos ja lue sitten asiakkaan tila, koska dokumentaatio kuvaa tarkoitetun eikä asennetun toiminnan.
Kirjaa yksityiset reitit, julkinen lähtö, DNS-palvelimet, paikalliset poikkeukset ja virhetilanteen toiminta yhteen lyhyeen muistiinpanoon. Juuri se muistiinpano tekee käytännöstä todennettavan sellaiselle, joka ei kirjoittanut sitä.