Túnel completo fronte a túnel dividido: as catro diferenzas
A etiqueta decide por onde sae o resto do tráfico dun portátil, non o rápido que é. Compare a saída, a carga, o DNS e o comportamento ante fallos antes de escoller.
As etiquetas de túnel describen cara a onde vai o resto do tráfico dun portátil, non o rápido que vai. Cun túnel completo, as peticións públicas atravesan a pasarela VPN antes de saír a internet. Cun túnel dividido, os destinos privados usan o túnel e todo o demais toma a ruta local. Ambos chegan á aplicación interna, así que a proba de alcance que a xente fai primeiro non di nada sobre que política está despregada.
Probe a saída no seu lugar: que enderezo informa unha páxina de eco pública e que resolvedor respondeu.
Mito: o túnel dividido é só a opción máis rápida
O túnel dividido véndese a miúdo como unha función de rendemento, e pode serlo, pero iso é un efecto secundario e non a definición. A definición é unha decisión de encamiñamento sobre que destinos entran no túnel. A diferenza de velocidade aparece só cando a ruta directa é realmente mellor que o rodeo pola oficina. Cunha conexión doméstica congestionada e unha pasarela pouco cargada, o túnel completo pode ser o máis rápido dos dous.
Así que o enfoque honesto trata da propiedade e o control da ruta, co rendemento como algo que se mide despois. Unha política escollida por velocidade que move en silencio o seu DNS e a súa saída pública foi escollida polo motivo equivocado.
Que cambia realmente: a saída
Cun túnel completo, un sitio web público ve o enderezo de saída da oficina e o filtrado da oficina ve a petición. Cun túnel dividido, o mesmo sitio ve o enderezo doméstico do usuario e a oficina non ve nada. Son modelos de visibilidade distintos e ningún é automaticamente máis seguro. A pregunta útil é cal pode operar realmente a organización.
Compróbeo directamente en lugar de confiar nunha insignia de Conectado. O eco de enderezo público mostra a saída, e unha proba de resolvedor mostra de quen era o DNS que respondeu.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Que debe soportar entón a pasarela
Unha pasarela que transporta videollamadas, descargas e aplicacións privadas necesita capacidade para unha carga de traballo moi distinta á dunha que só transporta peticións internas. A conexión a internet do sitio transporta tanto a chegada do usuario como a saída pública posterior, así que dous enlaces poden saturarse á vez.
A saída local elimina esa carga e o rodeo, e non garante unha mellor experiencia, porque a ruta directa tamén pode estar congestionada. Compare a aplicación real en lugar de tratar unha etiqueta de encamiñamento como unha medición de rendemento.
Existen excepcións baixo un túnel completo
Unha ruta predeterminada non é un inventario de cada paquete. Rutas máis específicas, permisos de rede local, exclusións de aplicacións e regras IPv6 separadas moven todas tráfico, e por iso unha política descrita como túnel completo aínda pode filtrar. A documentación de encamiñamento do sistema operativo marca esa distinción para os valores predeterminados de túnel forzado, e a lista de excepcións do cliente é onde adoita vivir a fuga. Verifique o comportamento, non a intención.
IPv6 merece unha ollada propia, porque un túnel que só transporta IPv4 deixa toda unha pila fóra da política.
O DNS é unha política aparte
Os nomes internos necesitan un resolvedor que os coñeza, e ese resolvedor pode ser accesible só a través do túnel. Un navegador co seu propio DNS cifrado pode saltar por completo o resolvedor do sistema, o que produce unha división na que os nomes internos fallan e os públicos funcionan, ou ao revés.
Decida a onde deben ir as consultas e despois faga que o cliente e o navegador coincidan. A navegación pública exitosa nunca proba a resolución de nomes internos, así que é a evidencia equivocada cando un sitio de intranet desaparece.
Escriba a política de fallos e logo próbea
Decida que ocorre cando o túnel cae: bloquear todo, bloquear só os recursos privados ou permitir conexións directas. A reconexión automática non responde a esa pregunta, e un interruptor de seguridade que só cobre a interface do túnel pode deixar as aplicacións excluídas falar libremente. Probe unha desconexión real e un cambio de rede, e despois lea o estado do cliente, porque a documentación describe o comportamento previsto e non o instalado.
Anote as rutas privadas, a saída pública, os servidores DNS, as excepcións locais e o comportamento ante fallos nunha nota breve. Esa nota é o que fai a política verificable para alguén que non a escribiu.