Modelar o tráfico de OpenVPN: que interface o ve?

Percorra catro comprobacións: que quere limitar, que paquete leva a información que o identifica, que interface pode ver o modelador e que aguanta o router mentres cifra. Os routers véndense cunha páxina de OpenVPN e unha páxina de ancho de banda, e a súa convivencia non demostra nada sobre ningunha das dúas. A orde importa, porque unha regra escrita contra o paquete equivocado nunca coincide, por correcta que sexa a súa taxa.

Comece polo obxectivo: limitar un só dispositivo, compartir a capacidade de forma xusta ou dar prioridade a unha aplicación. Cada un necesita unha coincidencia distinta.

Nomee o obxectivo antes da regra

Un límite por dispositivo necesita unha coincidencia co enderezo dese dispositivo, que só existe dentro do túnel. A xustiza entre fluxos competidores necesita unha cola que todos compartan, non unha regra por host. A prioridade de aplicación necesita algo que identifique a aplicación, o máis difícil dos tres unha vez que o cifrado elimina as cabeceiras internas da vista. Escribir primeiro o obxectivo dille que dato necesita e onde podería obtelo.

Un límite que funciona co tráfico directo de WAN non é proba de que o mesmo host estea cuberto dentro do túnel. Pode que a regra coincida cun enderezo que nunca aparece na cabeceira que ve o modelador.

Dentro do túnel ou fóra

Cun cliente VPN propiedade do router, moitos fluxos de LAN viaxan dentro dun só transporte cifrado. Antes da encapsulación o router aínda ve a orixe e o destino internos, así que a política engadida nesa etapa pode clasificar por dispositivo. Despois da encapsulación, o equipo corrente só ve a conexión exterior, e unha coincidencia no porto VPN non di nada sobre que dispositivo é responsable. Ese único feito decide onde pertence a regra.

As plataformas difiren en como expoñen isto. Algunhas ofrecen un modelador que encola e clasifica nunha interface de túnel; outras tratan os limitadores como regras de interface que se comportan igual para o tráfico VPN e non VPN; algunhas fan ambas as cousas con capacidades distintas. Lea a documentación propia do firmware para a interface que admite, en lugar de copiar un nome de interface da guía doutro fabricante.

Identifique onde seguen dispoñibles os enderezos, onde ocorre a tradución e que cola controla realmente o colo de botella.

Tres políticas, tres tipos de probas

Un límite de velocidade demóstrase cunha transferencia sostida desde o dispositivo limitado mentres outro transfire á vez. O reparto xusto demóstrase con dous fluxos que alcanzan taxas similares en lugar de que un pase fame, que é unha medición distinta. A prioridade de aplicación demóstrase cunha tarefa interactiva que segue áxil durante unha transferencia masiva, e comprobando que o clasificador recoñeceu o fluxo. Cada política necesita a súa propia observación, e ningunha se demostra cunha páxina de configuración.

A clasificación merece unha sospeita especial. Unha coincidencia no porto cifrado externo non pode recuperar a identidade de cada aplicación interna, así que unha regra que parece priorizar unha aplicación pode estar priorizando na práctica todo o que sae dese túnel. Lea os contadores da regra en lugar da súa intención.

Mida a carga cifrada, non a espida

O modelado, a clasificación e o cifrado compiten por unha soa CPU, e a aceleración por hardware pode facer pasar o tráfico por diante das mesmas regras e contadores que observa. Unha cifra de rendemento dunha proba de encamiñamento simple di pouco sobre o equipo baixo unha carga cifrada e modelada. Probe ambas as direccións, varios clientes representativos e unha pequena tarefa interactiva xunto á transferencia masiva. A axilidade baixo carga importa máis que o pico nunha ligazón inactiva.

Inclúa as excepcións na medición: o tráfico que debe saltarse o túnel, ambas as familias de enderezos se as dúas están en xogo, e que ocorre cando o túnel está caído. Unha política que só se comporta con sensatez mentres o túnel está san é media política.

Escriba a especificación en tres liñas: a coincidencia de tráfico, o punto de aplicación e a carga medida. OpenVPN máis QoS non é unha especificación.