עיצוב תעבורת OpenVPN: איזה ממשק רואה אותה?

עברו ארבע בדיקות: מה ברצונכם להגביל, איזו מנה נושאת את המידע שמזהה אותו, איזה ממשק המעצב יכול לראות, ומה הנתב סובל בזמן הצפנה. נתבים מגיעים גם עם דף OpenVPN וגם עם דף רוחב פס, והקיום המשותף שלהם אינו מוכיח דבר על אף אחד מהם. הסדר חשוב, כי כלל שנכתב נגד המנה הלא נכונה לעולם לא יתאים, עד כמה שהקצב שלו נכון.

התחילו במטרה: הגבלת התקן אחד, חלוקת קיבולת בהוגנות, או מתן עדיפות לאפליקציה אחת. כל אחת דורשת התאמה אחרת.

נמקו את המטרה לפני הכלל

מגבלה לכל התקן דורשת התאמה לכתובת של אותו התקן, שקיימת רק בתוך המנהרה. הוגנות בין זרמים מתחרים דורשת תור שכולם חולקים, לא כלל לכל מארח. עדיפות אפליקציה דורשת משהו שמזהה את האפליקציה, הקשה מבין השלושה ברגע שההצפנה מסירה את הכותרות הפנימיות מהעין. כתיבת המטרה תחילה אומרת לכם איזה עובדה דרושה לכם והיכן תוכלו להשיג אותה.

מגבלה שעובדת על תעבורת WAN ישירה אינה הוכחה שאותו מארח מכוסה בתוך המנהרה. ייתכן שהכלל מתאים לכתובת שלעולם אינה מופיעה בכותרת שהמעצב רואה.

בתוך המנהרה או מחוצה לה

עם לקוח VPN בבעלות הנתב, זרמי LAN רבים נוסעים בתוך תעבורה מוצפנת אחת. לפני העיטוף הנתב עדיין רואה את המקור והיעד הפנימיים, כך שמדיניות שמצורפת בשלב הזה יכולה לסווג לפי התקן. אחרי העיטוף ציוד רגיל רואה רק החיבור החיצוני, והתאמה על פורט VPN אינה אומרת דבר על איזה התקן אחראי. העובדה האחת הזו מכריעה היכן הכלל שייך.

פלטפורמות שונות באופן שבו הן חושפות זאת. חלקן מספקות מעצב שמכניס לתור ומסווג על ממשק מנהרה; אחרות מתייחסות למגבילים ככללי ממשק שמתנהגים אותו דבר לתעבורת VPN ולא VPN; חלקן עושות את שניהם ביכולות שונות. קראו את התיעוד של הקושחה עצמה עבור הממשק שהיא תומכת בו, במקום להעתיק שם ממשק ממדריך של יצרן אחר.

זהו היכן הכתובות נשארות זמינות, היכן מתרחש התרגום ואיזה תור באמת שולט בצוואר הבקבוק.

שלוש מדיניות, שלושה סוגי ראיות

מגבלת קצב מוכחת בהעברה מתמשכת מההתקן המוגבל בזמן שאחר מעביר בו-זמנית. חלוקה הוגנת מוכחת בשני זרמים שמגיעים לקצבים דומים במקום שאחד ירעב, וזו מדידה אחרת. עדיפות אפליקציה מוכחת בכך שמשימה אינטראקטיבית נשארת מגיבה במהלך העברה מאסיבית, ובבדיקה שהמסווג זיהה את הזרם בכלל. כל מדיניות דורשת תצפית משלה, ואף אחת אינה מוכחת על ידי דף תצורה.

הסיווג ראוי לחשד מיוחד. התאמה על הפורט המוצפן החיצוני אינה יכולה לשחזר את זהותה של כל אפליקציה פנימית, כך שכלל שנראה כאילו הוא נותן עדיפות לאפליקציה אחת עשוי בפועל לתת עדיפות לכל מה שמגיע מהמנהרה ההיא. קראו את המונים של הכלל ולא את כוונתו.

מדדו את העומס המוצפן, לא את העירום

עיצוב, סיווג והצפנה מתחרים על מעבד אחד, והאצת חומרה עשויה להעביר תעבורה על פני בדיוק אותם כללים ומונים שאתם צופים בהם. נתון תפוקה מבדיקת ניתוב פשוטה אומר מעט על הקופסה תחת עומס מוצפן ומעוצב. בדקו את שני הכיוונים, כמה לקוחות מייצגים, ומשימה אינטראקטיבית קטנה לצד ההעברה המאסיבית. היענות תחת עומס חשובה יותר משיא המספר בקישור לא פעיל.

כללו את החריגים במדידה: תעבורה שאמורה לעקוף את המנהרה, שתי משפחות הכתובות אם שתיהן במשחק, ומה קורה כשהמנהרה למטה. מדיניות שמתנהגת בהיגיון רק כל עוד המנהרה בריאה היא חצי מדיניות.

כתבו את המפרט כשלוש שורות: התאמת התעבורה, נקודת האכיפה והעומס הנמדד. OpenVPN בתוספת QoS אינו מפרט.