Teljes vagy osztott alagút: a négy különbség
A címke dönti el, honnan lép ki a laptop többi forgalma, nem az, hogy milyen gyors. Választás előtt hasonlítsa össze a kimenetet, a terhelést, a DNS-t és a hiba viselkedését.
Az alagútcímkék azt írják le, hová megy a laptop többi forgalma, nem azt, hogy milyen gyorsan. Teljes alagútnál a nyilvános kérések a VPN-átjárón haladnak át, mielőtt az internetre lépnének. Osztott alagútnál a privát célpontok használják az alagutat, és minden más a helyi útvonalat veszi. Mindkettő eléri a belső alkalmazást, ezért az elérhetőségi teszt, amelyet az emberek először futtatnak, semmit sem mond arról, melyik szabályzat van telepítve.
Tesztelje inkább a kimenetet: melyik címet jelenti egy nyilvános visszhangoldal, és melyik feloldó válaszolt.
Tévhit: az osztott alagút csak a gyorsabb lehetőség
Az osztott alagutat gyakran teljesítményszolgáltatásként adják el, és lehet is az, de ez mellékhatás, nem a meghatározás. A meghatározás egy útválasztási döntés arról, mely célpontok lépnek be az alagútba. A sebességkülönbség csak akkor jelenik meg, amikor a közvetlen útvonal valóban jobb, mint az irodán keresztüli kerülőút. Egy zsúfolt otthoni kapcsolaton és egy kis terhelésű átjárón a teljes alagút lehet a kettő közül a gyorsabb.
Az őszinte keret tehát az útvonal tulajdonáról és irányításáról szól, a teljesítmény pedig valami, amit utólag mérnek. A sebesség miatt választott szabályzat, amely csendesen áthelyezi a DNS-t és a nyilvános kimenetet, rossz okból lett választva.
Mi változik valójában: a kimenet
Teljes alagútnál egy nyilvános webhely az iroda kimeneti címét látja, és az irodai szűrés látja a kérést. Osztott alagútnál ugyanaz a webhely a felhasználó otthoni címét látja, és az iroda semmit sem lát. Ezek különböző láthatósági modellek, és egyik sem biztonságosabb automatikusan. A hasznos kérdés az, melyiket tudja a szervezet valóban üzemeltetni.
Ellenőrizze közvetlenül ahelyett, hogy megbízna egy Csatlakozva jelvényben. A nyilvános címvisszhang megmutatja a kimenetet, a feloldóteszt pedig megmutatja, kinek a DNS-e válaszolt.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Mit kell aztán az átjárónak hordoznia
A videohívásokat, letöltéseket és privát alkalmazásokat hordozó átjárónak egészen más munkaterheléshez kell kapacitással rendelkeznie, mint amely csak belső kéréseket hordoz. A webhely internetkapcsolata egyszerre hordozza a felhasználó érkezését és az azt követő nyilvános kimenetet, ezért két kapcsolat egyszerre telítődhet.
A helyi kimenet eltávolítja ezt a terhelést és a kerülőutat, és nem garantál jobb élményt, mert a közvetlen útvonal is zsúfolt lehet. Hasonlítsa össze a tényleges alkalmazást ahelyett, hogy az útválasztási címkét teljesítménymérésként kezelné.
Teljes alagút alatt is vannak kivételek
Az alapértelmezett útvonal nem minden csomag leltára. A pontosabb útvonalak, a helyi hálózati engedélyek, az alkalmazáskivételek és a külön IPv6-szabályok mind mozgatják a forgalmat, ezért a teljes alagútként leírt szabályzat továbbra is szivároghat. Az operációs rendszer útválasztási dokumentációja megteszi ezt a különbséget a kényszerített alagút-alapértelmezéseknél, és az ügyfél kivétellistája az a hely, ahol a szivárgás általában él. A viselkedést ellenőrizze, nem a szándékot.
Az IPv6 külön pillantást érdemel, mert a csak IPv4-et hordozó alagút egy egész vermet hagy a szabályzaton kívül.
A DNS külön szabályzat
A belső neveknek olyan feloldó kell, amely ismeri őket, és ez a feloldó lehet, hogy csak az alagúton keresztül érhető el. Egy saját titkosított DNS-sel rendelkező böngésző teljesen megkerülheti a rendszer feloldóját, ami olyan osztódást hoz létre, ahol a belső nevek meghiúsulnak és a nyilvánosak működnek, vagy fordítva.
Döntse el, hová menjenek a keresések, majd hangolja össze az ügyfelet és a böngészőt. A sikeres nyilvános böngészés soha nem teszteli a belső névfeloldást, ezért ez a rossz bizonyíték, amikor egy intranetes webhely eltűnik.
Írja meg a hiba szabályzatát, majd tesztelje
Döntse el, mi történik, ha az alagút megszakad: blokkoljon mindent, csak a privát erőforrásokat blokkolja, vagy engedélyezze a közvetlen kapcsolatokat. Az automatikus újracsatlakozás nem válaszol erre a kérdésre, és egy vészleállító, amely csak az alagút felületét fedi le, szabadon beszélgetni hagyhatja a kizárt alkalmazásokat. Teszteljen egy valódi bontást és egy hálózatváltást, majd olvassa ki az ügyfél állapotát, mert a dokumentáció a szándékolt, nem a telepített viselkedést írja le.
Jegyezze fel a privát útvonalakat, a nyilvános kimenetet, a DNS-kiszolgálókat, a helyi kivételeket és a hiba viselkedését egy rövid feljegyzésben. Ez a feljegyzés teszi a szabályzatot olyan valaki számára is ellenőrizhetővé, aki nem ő írta.