Façonner le trafic OpenVPN : quelle interface le voit ?

Passez par quatre vérifications : ce que vous voulez limiter, quel paquet porte l’information qui l’identifie, quelle interface le façonneur peut voir, et ce que le routeur supporte pendant le chiffrement. Les routeurs sont livrés avec une page OpenVPN et une page de bande passante, et leur coexistence ne prouve rien sur l’une ni sur l’autre. L’ordre compte, car une règle écrite contre le mauvais paquet ne correspond jamais, aussi correct soit son débit.

Commencez par l’objectif : plafonner un seul appareil, partager la capacité équitablement ou prioriser une application. Chacun demande une correspondance différente.

Nommez l’objectif avant la règle

Un plafond par appareil exige une correspondance sur l’adresse de cet appareil, qui n’existe qu’à l’intérieur du tunnel. L’équité entre flux concurrents exige une file qu’ils partagent tous, pas une règle par hôte. La priorité d’application exige quelque chose qui identifie l’application, le plus difficile des trois une fois que le chiffrement retire les en-têtes internes de la vue. Écrire d’abord l’objectif vous dit de quel fait vous avez besoin et où vous pourriez l’obtenir.

Un plafond qui fonctionne sur le trafic WAN direct ne prouve pas que le même hôte est couvert à l’intérieur du tunnel. La règle peut correspondre à une adresse qui n’apparaît jamais dans l’en-tête que voit le façonneur.

À l’intérieur du tunnel ou à l’extérieur

Avec un client VPN détenu par le routeur, de nombreux flux LAN circulent à l’intérieur d’un seul transport chiffré. Avant l’encapsulation, le routeur voit encore la source et la destination internes, donc une politique attachée à cette étape peut classer par appareil. Après l’encapsulation, l’équipement ordinaire ne voit que la connexion extérieure, et une correspondance sur le port VPN ne dit rien sur l’appareil responsable. Ce seul fait décide où la règle doit aller.

Les plateformes diffèrent dans la façon d’exposer cela. Certaines fournissent un façonneur qui met en file et classe sur une interface de tunnel ; d’autres traitent les limiteurs comme des règles d’interface qui se comportent de la même façon pour le trafic VPN et non VPN ; certaines font les deux avec des capacités différentes. Lisez la documentation propre du firmware pour l’interface qu’il prend en charge au lieu de copier un nom d’interface depuis le guide d’un autre fabricant.

Identifiez où les adresses restent disponibles, où la traduction a lieu et quelle file contrôle réellement le goulot d’étranglement.

Trois politiques, trois sortes de preuves

Un plafond de débit se prouve par un transfert soutenu depuis l’appareil plafonné pendant qu’un autre transfère en même temps. Le partage équitable se prouve par deux flux atteignant des débits similaires plutôt que l’un qui famine, ce qui est une mesure différente. La priorité d’application se prouve par une tâche interactive qui reste réactive pendant un transfert massif, et en vérifiant que le classificateur a bien reconnu le flux. Chaque politique exige sa propre observation, et aucune n’est prouvée par une page de configuration.

La classification mérite une suspicion particulière. Une correspondance sur le port chiffré externe ne peut pas récupérer l’identité de chaque application interne, donc une règle qui semble prioriser une application peut en pratique prioriser tout ce qui sort de ce tunnel. Lisez les compteurs de la règle plutôt que son intention.

Mesurez la charge chiffrée, pas la charge nue

Le façonnage, la classification et le chiffrement se disputent un seul processeur, et l’accélération matérielle peut faire passer le trafic devant les règles et compteurs mêmes que vous surveillez. Un chiffre de débit tiré d’un simple test de routage dit peu de la boîte sous une charge chiffrée et façonnée. Testez les deux directions, plusieurs clients représentatifs et une petite tâche interactive à côté du transfert massif. La réactivité sous charge compte plus que le pic sur une liaison inactive.

Incluez les exceptions dans la mesure : le trafic qui doit contourner le tunnel, les deux familles d’adresses si les deux sont en jeu, et ce qui se passe lorsque le tunnel est hors service. Une politique qui ne se comporte raisonnablement que tant que le tunnel est sain est une demi-politique.

Écrivez la spécification en trois lignes : la correspondance de trafic, le point d’application et la charge mesurée. OpenVPN plus QoS n’est pas une spécification.