OpenVPN-liikenteen muotoilu: mikä rajapinta näkee sen?

Käy läpi neljä tarkistusta: mitä haluat rajoittaa, mikä paketti kantaa sen tunnistavan tiedon, minkä rajapinnan muotoilija näkee ja mitä reititin kestää salatessaan. Reitittimet toimitetaan sekä OpenVPN-sivun että kaistanleveyssivun kanssa, eikä niiden rinnakkaiselo todista mitään kummastakaan. Järjestyksellä on väliä, koska väärää pakettia vastaan kirjoitettu sääntö ei koskaan osu, olipa sen nopeus kuinka oikea tahansa.

Aloita tavoitteesta: rajoita yhtä laitetta, jaa kapasiteetti reilusti tai priorisoi yhtä sovellusta. Jokainen tarvitsee erilaisen vastaavuuden.

Nimeä tavoite ennen sääntöä

Laittekohtainen raja tarvitsee vastaavuuden kyseisen laitteen osoitteeseen, joka on olemassa vain tunnelin sisällä. Reiluus kilpailevien virtojen välillä tarvitsee jonon, jonka ne kaikki jakavat, ei sääntöä isäntää kohden. Sovelluksen prioriteetti tarvitsee jotain, joka tunnistaa sovelluksen, mikä on kolmesta vaikeinta, kun salaus poistaa sisäiset otsikot näkyvistä. Tavoitteen kirjaaminen ensin kertoo, mitä tosiasiaa tarvitset ja mistä voisit saada sen.

Raja, joka toimii suoralla WAN-liikenteellä, ei ole todiste siitä, että sama isäntä on katettu tunnelin sisällä. Sääntö saattaa vastata osoitetta, joka ei koskaan esiinny otsikossa, jonka muotoilija näkee.

Tunnelin sisällä vai sen ulkopuolella

Reitittimen omistamalla VPN-asiakasohjelmalla monet LAN-virrat kulkevat yhden salatun siirron sisällä. Ennen kapselointia reititin näkee yhä sisäisen lähteen ja kohteen, joten siinä vaiheessa liitetty käytäntö voi luokitella laitekohtaisesti. Kapseloinnin jälkeen tavallinen laitteisto näkee vain ulomman yhteyden, eikä VPN-porttiin kohdistuva vastaavuus kerro mitään siitä, mikä laite on vastuussa. Tämä yksi tosiasia ratkaisee, mihin sääntö kuuluu.

Alustat eroavat siinä, miten ne tuovat tämän esiin. Jotkin tarjoavat muotoilijan, joka jonottaa ja luokittelee tunnelirajapinnalla; toiset kohtelevat rajoittimia rajapintasääntöinä, jotka käyttäytyvät samoin VPN- ja ei-VPN-liikenteelle; jotkin tekevät molempia eri ominaisuuksilla. Lue laiteohjelmiston oma dokumentaatio rajapinnasta, jota se tukee, sen sijaan että kopioisit rajapinnan nimen toisen valmistajan oppaasta.

Tunnista, missä osoitteet pysyvät saatavilla, missä käännös tapahtuu ja mikä jono todella hallitsee pullonkaulaa.

Kolme käytäntöä, kolme todistuksen lajia

Nopeusraja todistetaan rajoitetulta laitteelta tulevalla yhtäjaksoisella siirrolla, kun toinen siirtää samaan aikaan. Reilu jakaminen todistetaan kahdella virralla, jotka saavuttavat samankaltaiset nopeudet sen sijaan että yksi näkee nälkää, mikä on eri mittaus. Sovelluksen prioriteetti todistetaan interaktiivisen tehtävän pysymisellä reagoivana massasiirron aikana ja tarkistamalla, että luokittelija ylipäätään tunnisti virran. Jokainen käytäntö tarvitsee oman havaintonsa, eikä yhtäkään todisteta asetussivulla.

Luokittelu ansaitsee erityistä epäluuloa. Ulkoisen salatun portin vastaavuus ei voi palauttaa jokaisen sisäisen sovelluksen identiteettiä, joten sääntö, joka näyttää priorisoivan yhtä sovellusta, saattaa käytännössä priorisoida kaiken siitä tunnelista. Lue säännön laskurit, älä sen aikomus.

Mittaa salattua kuormaa, älä paljasta

Muotoilu, luokittelu ja salaus kilpailevat yhdestä suorittimesta, ja laitteistokiihdytys voi ohjata liikennettä juuri niiden sääntöjen ja laskurien ohi, joita seuraat. Läpäisyluku tavallisesta reititystestistä kertoo vähän laatikosta salatun ja muotoillun kuorman alla. Testaa molemmat suunnat, useita edustavia asiakkaita ja pieni interaktiivinen tehtävä massasiirron ohella. Kuorman aikainen reagointikyky on tärkeämpää kuin huippuluku tyhjällä yhteydellä.

Sisällytä poikkeukset mittaukseen: liikenne, jonka pitäisi ohittaa tunneli, molemmat osoiteperheet jos molemmat ovat pelissä, ja mitä tapahtuu, kun tunneli on alhaalla. Käytäntö, joka käyttäytyy järkevästi vain tunnelin ollessa terve, on puolikas käytäntö.

Kirjoita määrittely kolmena rivinä: liikenteen vastaavuus, toteutuspiste ja mitattu kuorma. OpenVPN plus QoS ei ole määrittely.