מעצב tc אחד אינו מגביל כל לקוח VPN בעצמו
מגבלה לכל לקוח דורשת זהות ספירה, שני כיוונים ונקודת סיווג. מעצב אחד על המנהרה אינו מכסה אחד לכל משתמש.
ההוראה נשמעת שלמה: הגבל כל לקוח VPN ל־20 Mbit/s. היא אינה שלמה, ומשמעת תור אחת על ממשק המנהרה לא תספק אותה. «לכל לקוח» יכול להיות לכל כתובת מנהרה, לכל התקן או לכל חשבון, וכל בחירה מסווגת מנות אחרת. לפני שכותבים כלל, החלט איזו מהן הדרישה באמת מציינת.
כל מה שלהלן עוסק במרחק שבין המשפט הזה לבין משהו שעובד.
מה חייב «לכל לקוח» לומר קודם
כתובת מנהרה קלה לסיווג וקלה למיחזור. התקן קשה יותר, כי חשבון אחד יכול לשאת כמה, והתקן יכול להחזיק כמה כתובות, במיוחד עם IPv6. עבור מדיניות הוגנות החשבון הוא היחידה המשמעותית ביותר, והקשה ביותר לזיהוי בכותרת מנה. כל הגדרה מחייבת מפתח ספירה משלה, ולכן מדיניות שמתנדנדת ביניהם לא תעשה את מה שהתיאור טוען.
כיוון הוא המילה החסרה השנייה. העלאה, הורדה ומשולב הם שלוש דרישות שונות, וכלל יציאה אחד על ממשק אחד מכסה לעתים רחוקות את שני הנתיבים.
בחר נקודה שבה הלקוח עדיין גלוי
כל כיוון מוגדר מול ממשק. מה שעוזב את המנהרה של השרת כלפי לקוח מרוחק נחשב הורדה עבור אותו לקוח; מה שלקוח שולח נכנס למנהרה ואז יוצא אל היעד שלו. בחר נקודת תזמון לכל כיוון ושאל אילו שדות קיימים שם. לפני NAT מקור, העלאה עדיין נושאת את הכתובת הפנימית של הלקוח; אחרי תרגום, התאמת מקור פשוטה אולי כבר לא תזהה אותה.
בנתיב המוצפן הכותרות שייכות לתעבורת VPN, ולכן למסנן שמתאים כתובות פנימיות אין מה להתאים. תכנון יכול לסווג מוקדם יותר ולמסור סימון לתזמן מאוחר יותר, אבל המסירה הזו חייבת להיות מכוונת: סימוני מנה, סימוני חיבור ומחלקות תזמון הם מצב שונה, לא ערך אחד שמועבר הלאה.
דליים לא מופיעים מעצמם
דלי אסימונים המחובר לממשק מעצב כל תעבורה שמשתמשת בו; הוא אינו יוצר דלי חדש לכל כתובת מקור. תכנון מבוסס מחלקות לעומת זאת ממיין את התעבורה הנבחרת למחלקות, מסננים קובעים חברות, ומדריך HTB מפריד בין הקצב של מחלקה לתקרה שלה כשההורה פנוי ברוחב פס. אם הכוונה היא תקרה קשיחה, קבע את התקרה והחלט את התנהגות ההשאלה במכוון; אל תתייחס לכל מספר קצב כמקסימום מוחלט.
כשהדרישה היא לכל לקוח, זוג העברות שרצות בו-זמנית אמור לחלוק מכסה אחת. לתת לכל זרם את הקצב המלא זו מדיניות אחרת, והיא שורדת כל בדיקה שצופה בהורדה אחת בלבד.
שני התקנים, חשבון אחד, מכסה אחת?
הגבלת שתי כתובות התקן בנפרד לא מצטברת לעולם למכסה אחת ברמת החשבון, גם כששני ההתקנים מתחברים כאדם אחד. כך גם ברשת LAN שלמה המתורגמת מאחורי עמית אחד, או בכתובות IPv6 נוספות שהמסווג לא ציפה להן. שמור את הקשר בין כתובת לזהות מעודכן, וזכור שכתובת יציבה מפשטת את המפה בלי לאמת את בעליה.
הגדר גם התנהגות פרץ ותור. דליים עם אסימונים מתירים פרצים קצרים מעל הממוצע, ותחנון מוסיף השהיה; אכיפת עודף והכנסתו לתור למועד מאוחר יותר הן החלטות שונות עם תסמינים שונים.
לשם אימות, הרץ שתי העברות מלקוח אחד, הוסף לקוח שני, וקרא את מוני המחלקות בכל כיוון.