Marquer le port du VPN ne priorise pas les appels vocaux
Marquer le port du VPN comme prioritaire promeut l'appel et la sauvegarde dans le même tunnel. La voix exige une classification avant le chiffrement et une file que vous contrôlez.
Marquer le port UDP du VPN comme haute priorité est le changement de QoS vocale le plus courant, et il ne sépare pas un appel du transfert de fichiers qui partage ce tunnel. Les deux flux sortent par la même socket chiffrée. La marque dit au saut suivant que tout compte autant, ce qui revient à ne rien lui dire. Ce qui protège un appel, c'est une classification fiable avant le chiffrement plus une file que vous contrôlez réellement.
Le tunnel cache le flux que vous vouliez classer
Le chiffrement remplace les en-têtes internes par un en-tête externe par tunnel. Ensuite, la voix et le trafic de sauvegarde présentent la même source, la même destination et le même port de transport, si bien qu'un classifieur fondé sur le port du tunnel ne peut pas les distinguer. Quoi que vous promouviez, vous le promouvez en bloc.
Une valeur DSCP définie par l'application d'origine ne survit que si quelque chose la copie vers l'extérieur. OpenVPN 2.6 dispose de passtos, documenté avec une portée IPv4 ; IPsec applique sa propre politique de copie ou de mappage à la frontière du tunnel. Sans cette étape, le paquet externe est marqué avec la valeur par défaut qu'utilise l'interface du tunnel, et la file en aval n'apprend jamais qu'un appel se trouve à l'intérieur.
Les marques copiées méritent la même suspicion que toute valeur fournie par le client. Un poste de travail peut réclamer un transfert accéléré pour une tâche de sauvegarde, donc l'admission et le remarquage à la frontière de confiance doivent figurer dans la conception avant que la marque soit crue.
La priorité ne compte que là où la file se forme
Un lien montant saturé est ce qui transforme un bon codec en voix robotique, et la file qui se remplit se trouve généralement dans l'équipement d'accès ou dans le tampon du fournisseur. Façonner le chemin sortant au débit utilisable, moins la surcharge du tunnel et du lien, est ce qui garde cette file sur du matériel que vous administrez et non dans le tampon de quelqu'un d'autre.
La mise en file équitable et la gestion active des files aident même sans classe vocale, car elles empêchent un flux massif de remplir le tampon. CAKE sous Linux regroupe le façonnage, l'équité par flux et les classes Diffserv optionnelles dans un seul qdisc, et le gestionnaire réseau déployé devrait posséder cette configuration plutôt qu'une seconde file concurrente. Sans façonnage, une classe qui surclasse le trafic massif attend encore derrière un tampon déjà plein.
Le traitement en entrée n'est pas inutile, mais il agit après que le paquet a traversé le lien de réception. Il peut influencer un émetteur réactif et ne peut pas rembourser un délai déjà dépensé en amont, c'est donc une atténuation et non une garantie.
| Stage | What you can control | What to verify |
|---|---|---|
| Application to client | Which flows are trusted for marking | The marked packets are the ones you intended |
| Tunnel boundary | Whether the inner mark is copied outward | Outer header carries the expected value |
| Your uplink | Shaping rate and class treatment | Queue counters move for the voice class |
| Provider path | Almost nothing | Whether the service enforces the marking at all |
| Receiving side | Local policy after arrival | Delay that is already in the past |
Ce qui survit sur l'internet public
L'architecture Diffserv décrit le traitement à l'intérieur des domaines administratifs, ce pourquoi un fournisseur peut ignorer ou réécrire une marque à une frontière. L'affirmation inverse, que chaque réseau la supprime toujours, n'est pas mieux étayée. La question honnête est ce que ce chemin précis est contractuellement tenu et contrôlé de faire. Testez-le avec une sonde marquée au lieu de répéter une règle lue quelque part.
Demandez ce que le fournisseur fait de la classe, puis mesurez-le. Une marque préservée mais non ordonnancée est une décoration ; un chemin qui ordonnance sans voir la marque est un autre problème, et les deux demandent des correctifs différents.
Un plan de mesure qui isole l'étape
Passez un appel ordinaire avec un envoi concurrent contrôlé, puis répétez-le sur un lien filaire. Regardez ce que l'appel a perdu, ce que les compteurs de classe ont enregistré et à quel point l'interface tourne près de sa limite réelle plutôt que du débit annoncé du forfait.
tc -s qdisc show dev eth0
tc -s class show dev eth0
mtr -rwzbc 50 voice.example.netSi le compteur de la classe vocale reste à zéro, la classification ou la copie de la marque est cassée et aucune priorité n'aidera. Si le compteur de classe bouge localement alors que le délai continue de grimper, le goulot d'étranglement est au-delà de votre passerelle. Aucun des deux résultats ne se corrige en augmentant la valeur de priorité.