पूरा टनल बनाम विभाजित टनल: चार अंतर

टनल लेबल बताते हैं कि लैपटॉप का बाकी ट्रैफ़िक कहाँ जाता है, यह नहीं कि वह कितनी तेज़ी से जाता है। पूरे टनल में, सार्वजनिक अनुरोध इंटरनेट के लिए निकलने से पहले VPN गेटवे से गुज़रते हैं। विभाजित टनल में, निजी गंतव्य टनल का उपयोग करते हैं और बाकी सब स्थानीय मार्ग लेता है। दोनों आंतरिक एप्लिकेशन तक पहुँचते हैं, इसलिए लोग जो पहली पहुँच परीक्षा करते हैं वह यह नहीं बताती कि कौन सी नीति लागू है।

इसके बजाय निकास की जाँच करें: कोई सार्वजनिक इको पृष्ठ कौन सा पता बताता है, और किस रिज़ॉल्वर ने उत्तर दिया।

मिथक: विभाजित टनल बस तेज़ विकल्प है

विभाजित टनल अक्सर प्रदर्शन सुविधा के रूप में बेचा जाता है, और यह हो सकता है, लेकिन वह परिभाषा नहीं बल्कि दुष्प्रभाव है। परिभाषा यह है कि कौन से गंतव्य टनल में प्रवेश करते हैं, यह रूटिंग निर्णय है। गति का अंतर केवल तब दिखता है जब सीधा मार्ग वास्तव में कार्यालय से होकर जाने वाले चक्कर से बेहतर हो। भीड़भाड़ वाली घरेलू लिंक और हल्के भार वाले गेटवे पर पूरा टनल दोनों में से तेज़ हो सकता है।

इसलिए ईमानदार ढाँचा मार्ग के स्वामित्व और नियंत्रण के बारे में है, और प्रदर्शन वह चीज़ है जिसे बाद में मापा जाता है। गति के लिए चुनी गई नीति जो चुपचाप आपका DNS और सार्वजनिक एग्रेस बदल देती है, गलत कारण से चुनी गई है।

वास्तव में क्या बदलता है: निकास

पूरे टनल में, एक सार्वजनिक वेबसाइट कार्यालय का एग्रेस पता देखती है और कार्यालय का फ़िल्टर अनुरोध देखता है। विभाजित टनल में, वही साइट उपयोगकर्ता का घरेलू पता देखती है और कार्यालय कुछ नहीं देखता। ये अलग-अलग दृश्यता मॉडल हैं, और कोई भी अपने आप अधिक सुरक्षित नहीं है। उपयोगी प्रश्न यह है कि संगठन वास्तव में किसे संचालित कर सकता है।

कनेक्टेड बैज पर भरोसा करने के बजाय इसे सीधे जाँचें। सार्वजनिक पता इको निकास दिखाता है, और रिज़ॉल्वर परीक्षण दिखाता है कि किसका DNS उत्तर दिया।

फिर गेटवे को क्या ले जाना पड़ता है

वीडियो कॉल, डाउनलोड और निजी एप्लिकेशन ले जाने वाले गेटवे को ऐसे कार्यभार के लिए क्षमता चाहिए जो केवल आंतरिक अनुरोध ले जाने वाले गेटवे से बिल्कुल अलग हो। साइट का इंटरनेट कनेक्शन उपयोगकर्ता के आगमन और उसके बाद के सार्वजनिक एग्रेस दोनों को ले जाता है, इसलिए दो लिंक एक साथ संतृप्त हो सकते हैं।

स्थानीय ब्रेकआउट उस भार और चक्कर को हटा देता है, और यह बेहतर अनुभव की गारंटी नहीं देता, क्योंकि सीधा मार्ग भी भीड़भाड़ वाला हो सकता है। रूटिंग लेबल को प्रदर्शन माप मानने के बजाय वास्तविक एप्लिकेशन की तुलना करें।

पूरे टनल के अंतर्गत अपवाद मौजूद हैं

डिफ़ॉल्ट रूट हर पैकेट की सूची नहीं है। अधिक विशिष्ट रूट, स्थानीय नेटवर्क की अनुमतियाँ, एप्लिकेशन अपवाद और अलग IPv6 नियम सभी ट्रैफ़िक को स्थानांतरित करते हैं, इसलिए पूरा टनल कही गई नीति फिर भी लीक हो सकती है। ऑपरेटिंग सिस्टम का रूटिंग दस्तावेज़ बाध्य टनल डिफ़ॉल्ट के लिए यह अंतर करता है, और क्लाइंट की अपवाद सूची वह जगह है जहाँ लीक आमतौर पर रहता है। व्यवहार सत्यापित करें, इरादा नहीं।

IPv6 अपनी अलग नज़र का हकदार है, क्योंकि केवल IPv4 ले जाने वाला टनल पूरा स्टैक नीति से बाहर छोड़ देता है।

DNS एक अलग नीति है

आंतरिक नामों को ऐसे रिज़ॉल्वर की ज़रूरत है जो उन्हें जानता हो, और वह रिज़ॉल्वर केवल टनल से ही पहुँच में हो सकता है। अपना एन्क्रिप्टेड DNS रखने वाला ब्राउज़र सिस्टम रिज़ॉल्वर को पूरी तरह बायपास कर सकता है, जिससे ऐसा विभाजन बनता है जहाँ आंतरिक नाम विफल होते हैं और सार्वजनिक नाम काम करते हैं, या इसका उलटा।

तय करें कि खोजें कहाँ जानी चाहिए, फिर क्लाइंट और ब्राउज़र को सहमत कराएँ। सफल सार्वजनिक ब्राउज़िंग कभी आंतरिक नाम विश्लेषण की परीक्षा नहीं करती, इसलिए इंट्रानेट साइट गायब होने पर यह गलत साक्ष्य है।

विफलता नीति लिखें, फिर उसकी परीक्षा करें

तय करें कि टनल गिरने पर क्या होगा: सब कुछ अवरुद्ध करें, केवल निजी संसाधन अवरुद्ध करें, या सीधे कनेक्शन की अनुमति दें। स्वचालित पुनःकनेक्शन इस प्रश्न का उत्तर नहीं देता, और केवल टनल इंटरफ़ेस को कवर करने वाला किल स्विच बहिष्कृत एप्लिकेशन को खुलकर बात करने दे सकता है। वास्तविक डिस्कनेक्ट और नेटवर्क परिवर्तन की परीक्षा करें, फिर क्लाइंट की स्थिति पढ़ें, क्योंकि दस्तावेज़ इच्छित व्यवहार बताता है, स्थापित व्यवहार नहीं।

निजी रूट, सार्वजनिक निकास, DNS सर्वर, स्थानीय अपवाद और विफलता व्यवहार को एक छोटी टिप्पणी में लिखें। वही टिप्पणी नीति को ऐसे व्यक्ति के लिए सत्यापन-योग्य बनाती है जिसने उसे नहीं लिखा।