Is folsleine tunnelearring ienfâldiger as in lange list fan split-tunnel?

In list fan split-tunnel begjint mei trije applikaasjes en einiget mei it dekken fan it grutste part fan ’e masine, en elke nije rigel is immen syn útsûndering. Op dat punt is de list stil wurden ta in standert mei ekstra stappen. Folsleine tunnelearring keart de gearstalling om: alles giet de tunnel yn, útsein as in dokumintearre útsluting oars seit. Oft dat ienfâldiger is hinget ôf fan ’e poarte en fan ’e lokale tsjinsten dy’t jo brekke soene.

Begjin mei it tellen fan ’e regels dy’t jo ûnderhâlde

Tel de yngongen, en tel dan hoefolle der in neamde eigner hawwe en in datum fan lêste ferifikaasje. It twadde getal is it wichtige, want in útsûndering dy’t nimmen hat kin net beoardiele wurde as de software dêr’t er nei ferwiist omneamd of ferfongen wurdt. Regels dy’t oan in paad fan in útfierber bestân keppele binne, mislearje stil nei in update, en de mislearring liket op in ûnstabile VPN ynstee fan op in ferâldere regel. Skriuw de list op foar’t jo der in miening oer hawwe.

Elke yngong soe trije fragen beantwurdzje moatte: wat giet stikken sûnder him, wa hat dat besletten, en hoe soene jo merke dat de reden ferfallen is. Yngongen dy’t net alle trije beantwurdzje kinne, binne kandidaten foar wiskjen ynstee fan migraasje, en se earst wiskje makket de lettere ferliking earlik.

As de measte yngongen in grut part fan it ferkear rûte, rinne jo al in folsleine tunnel mei in ûnderhâldslêst deroan fêst. De beslissing giet dan oer wêr’t de standert wennet, net oer oft der ien wêze moat.

Kontrolearje oft de poarte de standert drage kin

Folsleine tunnelearring ferpleatst elk pakket nei ien apparaat, wat tagelyk de prosessorlêst fan dat apparaat, de conntrack-tabel, de adresomsetting en de eask foar opstream-bânbreedte feroaret. In poarte dy’t in pear ynterne subnetten noflik tsjinne, is miskien net mjitten foar al it browsen fan in brûker. Sjoch nei it grutste oantal tagelyk aktive sesjes dat jo ferwachtsje ynstee fan it gemiddelde, want de pyk brekt it earst.

ip -s link show dev tun0
conntrack -C
ss -s

Mjit deselde wurklêst foar en nei de feroaring ynstee fan út spesifikaasjes te riddenearjen. Ien middei gewoan gebrûk op ien masine sil sjen litte oft de poarte tichtby in limyt is, en dat kostet neat yn ferliking mei it op in moandei moarns te ûntdekken.

Kontrolearje ek de paad-MTU fan ein oant ein, want in folsleine standert stelt elke applikaasje bleat oan de maksimale pakketgrutte fan ’e tunnel. Applikaasjes dy’t bûten de tunnel wurken, kinne no ôfhinklik wêze fan fragmintaasjegedrach dêr’t jo nea oer neitinke hoegden.

Befêstigje dat lokale tsjinsten en privee DNS noch wurkje

List op wat lokaal bliuwe moat neffens protokol ynstee fan neffens appnamme: ûntdekkingsprotokollen foar printers en skermen, in brêge foar in tûk hûs, de behearspagina fan in router, in lokale ûntwikkelingsserver berikber fia in namme dy’t allinnich op it LAN oplost. Dy geane stikken as de standertrûte yn in tunnel begjint te wizen, en se geane stil stikken om’t neat in flater by de kliïnt registrearret.

Privee DNS is de oare ôfhinklikens. As ynterne nammen earder troch de oplosser fan ’e tunnel oplost waarden, feroaret neat; as se lokaal oplost waarden, moat in folsleine standert se nei in oplosser bringe dy’t de sônes ken. Test nei de feroaring ien ynterne en ien iepenbiere namme ynstee fan oan te nimmen dat de oplosserlist oerlibbe hat.

Skriuw de lokale útsûnderings yn it profyl dat se hat. In útsûndering dy’t allinnich yn immen syn ûnthâld bewarre wurdt, is it earste dat de folgjende migraasje ferliest.

Migrearje ien profyl en ferifiearje de grinzen

Feroarje it profyl fia syn eigen konfiguraasje ynstee fan in nije standert oer hânmjittige rûtes te lizzen dy’t eardere eksperiminten efterlitten hawwe. Dy oerbliuwende rûtes binne de gewoane oarsaak fan in migraasje dy’t liket te wurkjen en in dei letter ûngelyk op ’e dei is. Hâld it âlde profyl beskikber, sadat weromgean in kar is en gjin weropbou.

Ferifiearje dan twa grinzen apart: dat iepenbiere en privee bestemmingen beide wurkje, en dat net-winske ferkear net bûten de tunnel giet. In slagge side laden bewissiget it earste en seit neat oer it twadde.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Werhelje de kontrôle nei in werferbining en nei in steuring, want in skeakel dy’t ferkear by in steuring blokkearret is in oare eigenskip as in rûte dy’t dêrnei goed werstelt. It ienfâldiger ûntwerp is datjinge wêrfan’t jo de wiere dekking noch útlisje kinne neidat in applikaasje of in netwurk feroare is.