Oblikovanje OpenVPN prometa: koje sučelje ga vidi?

Prođite kroz četiri provjere: šta želite ograničiti, koji paket nosi podatke koji to identificiraju, koje sučelje oblikovatelj vidi i šta ruter podnosi dok šifrira. Ruteri se isporučuju i sa stranicom OpenVPN i sa stranicom propusnosti, a njihovo zajedničko postojanje ništa ne dokazuje ni o jednoj. Redoslijed je važan, jer pravilo napisano prema pogrešnom paketu nikada neće pogoditi, koliko god njegova brzina bila ispravna.

Počnite s ciljem: ograničiti jedan uređaj, pravedno podijeliti kapacitet ili dati prioritet jednoj aplikaciji. Svaki traži drugačije poklapanje.

Imenujte cilj prije pravila

Ograničenje po uređaju traži poklapanje s adresom tog uređaja, a ona postoji samo unutar tunela. Pravednost između konkurentnih tokova traži red koji svi dijele, a ne pravilo po domaćinu. Prioritet aplikacije traži nešto što identificira aplikaciju, najteže od troje nakon što šifriranje ukloni unutrašnja zaglavlja iz vida. Zapisivanje cilja prvo vam kaže koja vam je činjenica potrebna i gdje biste je mogli dobiti.

Ograničenje koje radi na direktnom WAN saobraćaju nije dokaz da je isti domaćin pokriven unutar tunela. Pravilo možda pogađa adresu koja se nikada ne pojavljuje u zaglavlju koje oblikovatelj vidi.

Unutar tunela ili izvan njega

S VPN klijentom koji posjeduje ruter, mnogi LAN tokovi putuju unutar jednog šifriranog transporta. Prije enkapsulacije ruter još vidi unutrašnji izvor i odredište, pa politika dodana u toj fazi može klasificirati po uređaju. Nakon enkapsulacije obična oprema vidi samo vanjsku vezu, a poklapanje s VPN portom ne govori ništa o tome koji je uređaj odgovoran. Ta jedna činjenica odlučuje gdje pravilo pripada.

Platforme se razlikuju po tome kako to izlažu. Neke pružaju oblikovatelj koji stavlja u red i klasificira na sučelju tunela; druge tretiraju ograničivače kao pravila sučelja koja se ponašaju isto za VPN i ne-VPN saobraćaj; neke rade oboje s različitim mogućnostima. Čitajte vlastitu dokumentaciju firmvera za sučelje koje podržava, umjesto da kopirate naziv sučelja iz priručnika drugog proizvođača.

Utvrdite gdje adrese ostaju dostupne, gdje se događa prevođenje i koji red zapravo kontrolira usko grlo.

Tri politike, tri vrste dokaza

Ograničenje brzine dokazuje se trajnim prijenosom s ograničenog uređaja dok drugi prenosi u isto vrijeme. Pravedna podjela dokazuje se dvama tokovima koji postižu slične brzine umjesto da jedan gladuje, što je drugačije mjerenje. Prioritet aplikacije dokazuje se interaktivnim zadatkom koji ostaje odzivan tijekom velikog prijenosa i provjerom da je klasifikator uopće prepoznao tok. Svaka politika traži vlastito promatranje i nijedna se ne dokazuje stranicom konfiguracije.

Klasifikacija zaslužuje posebnu sumnju. Poklapanje s vanjskim šifriranim portom ne može vratiti identitet svake unutrašnje aplikacije, pa pravilo koje izgleda da daje prioritet jednoj aplikaciji u praksi može davati prioritet svemu iz tog tunela. Čitajte brojače pravila, a ne njegovu namjeru.

Mjerite šifrirano opterećenje, a ne golo

Oblikovanje, klasifikacija i šifriranje natječu se za jedan procesor, a hardversko ubrzanje može provesti saobraćaj pored upravo onih pravila i brojača koje gledate. Brojka propusnosti iz običnog testa usmjeravanja malo govori o kutiji pod šifriranim i oblikovanim opterećenjem. Testirajte oba smjera, nekoliko reprezentativnih klijenata i mali interaktivni zadatak uz veliki prijenos. Odzivnost pod opterećenjem važnija je od vršne brojke na praznoj vezi.

Uključite izuzetke u mjerenje: saobraćaj koji treba zaobići tunel, obje porodice adresa ako su obje u igri, i šta se događa kada je tunel pao. Politika koja se ponaša razumno samo dok je tunel zdrav pola je politike.

Napišite specifikaciju kao tri reda: poklapanje saobraćaja, tačka primjene i izmjereno opterećenje. OpenVPN plus QoS nije specifikacija.