Je li puni tunel jednostavniji od dugog popisa podijeljenog tunela?

Popis podijeljenog tunela počinje s tri aplikacije i završava tako što pokriva veći dio računala, a svaki novi redak je nečiji izuzetak. U tom je trenutku popis tiho postao zadana postavka s dodatnim koracima. Puni tunel preokreće raspored: sve ulazi u tunel osim ako dokumentirani izuzetak ne kaže drugačije. Je li to jednostavnije ovisi o pristupniku i o lokalnim servisima koje biste pokvarili.

Počnite brojenjem pravila koja održavate

Prebrojite stavke, a zatim prebrojite koliko ih ima imenovanog vlasnika i datum posljednje provjere. Drugi je broj onaj koji je važan, jer izuzetak koji nikome ne pripada ne može se procijeniti kad se softver na koji se odnosi preimenuje ili zamijeni. Pravila vezana uz putanju izvršne datoteke tiho prestaju raditi nakon ažuriranja, a kvar izgleda kao nestabilan VPN, a ne kao zastarjelo pravilo. Zapišite popis prije nego što o njemu steknete mišljenje.

Svaka bi stavka trebala odgovoriti na tri pitanja: što se kvari bez nje, tko je to odlučio i kako biste primijetili da je razlog istekao. Stavke koje ne mogu odgovoriti na sva tri kandidati su za brisanje, a ne za migraciju, a njihovo prvo brisanje čini kasniju usporedbu iskrenom.

Ako većina stavki usmjerava velik dio prometa, već vodite puni tunel s pridodanim teretom održavanja. Odluka je tada o tome gdje zadana postavka živi, a ne o tome treba li je imati.

Provjerite može li pristupnik nositi zadanu postavku

Puni tunel premješta svaki paket na jedan uređaj, što istodobno mijenja opterećenje procesora tog uređaja, tablicu conntrack, prevođenje adresa i zahtjev za odlaznim propusnim opsegom. Pristupnik koji je udobno posluživao nekoliko internih podmreža možda nije dimenzioniran za cjelokupno korisnikovo pregledavanje. Gledajte najveći broj istodobnih sesija koji očekujete, a ne prosjek, jer se vrh prvi lomi.

ip -s link show dev tun0
conntrack -C
ss -s

Izmjerite isto radno opterećenje prije i poslije promjene umjesto da zaključujete iz specifikacija. Jedno poslijepodne obične upotrebe na jednom računalu pokazat će je li pristupnik blizu granice, a to ne stoji ništa u usporedbi s otkrivanjem u ponedjeljak ujutro.

Provjerite i MTU putanje od kraja do kraja, jer puna zadana postavka izlaže svaku aplikaciju najvećoj veličini paketa tunela. Aplikacije koje su radile izvan tunela sada mogu ovisiti o ponašanju pri fragmentaciji o kojem nikada niste morali razmišljati.

Potvrdite da lokalni servisi i privatni DNS još rade

Nabrojite što mora ostati lokalno po protokolu, a ne po imenu aplikacije: protokoli za otkrivanje pisača i zaslona, most za pametnu kuću, stranica za upravljanje usmjerivačem, lokalni razvojni poslužitelj do kojeg se dolazi imenom koje se razrješava samo na LAN-u. To se kvari kad zadana ruta počne pokazivati u tunel, i kvari se tiho jer ništa ne bilježi grešku na klijentu.

Privatni DNS je druga ovisnost. Ako su se interna imena prije razrješavala kroz razrješivač tunela, ništa se ne mijenja; ako su se razrješavala lokalno, puna zadana postavka mora ih nositi do razrješivača koji poznaje zone. Testirajte jedno interno i jedno javno ime nakon promjene umjesto da pretpostavite da je popis razrješivača preživio.

Upišite lokalne izuzetke u profil kojem pripadaju. Izuzetak koji se čuva samo u nečijem pamćenju prvo je što sljedeća migracija izgubi.

Migrirajte jedan profil i provjerite granice

Promijenite profil kroz njegovu vlastitu konfiguraciju umjesto da slažete novu zadanu postavku povrh ručnih ruta koje su ostavili raniji pokusi. Te preostale rute uobičajen su uzrok migracije koja izgleda da radi, a dan kasnije ponaša se nedosljedno. Držite stari profil dostupnim da povratak bude izbor, a ne ponovna izgradnja.

Zatim provjerite dvije granice odvojeno: da javna i privatna odredišta rade oba, i da neželjeni promet ne izlazi izvan tunela. Uspješno učitavanje stranice dokazuje prvo i ne govori ništa o drugom.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Ponovite provjeru nakon ponovnog povezivanja i nakon ispada, jer prekidač koji blokira promet tijekom pada druga je osobina od rute koja se poslije ispravno obnavlja. Jednostavniji dizajn je onaj čiju stvarnu pokrivenost još možete objasniti nakon što se aplikacija ili mreža promijeni.