Az OpenVPN-forgalom formálása: melyik interfész látja?

Négy ellenőrzésen menjen végig: mit akar korlátozni, melyik csomag hordozza az azt azonosító információt, melyik interfészt látja a formáló, és mit bír el az útválasztó titkosítás közben. Az útválasztók OpenVPN-oldallal és sávszélesség-oldallal egyaránt érkeznek, és együttélésük semmit sem bizonyít egyikről sem. A sorrend számít, mert a rossz csomagra írt szabály soha nem illeszkedik, bármilyen helyes is a sebessége.

Kezdje a céllal: egy eszköz korlátozása, a kapacitás méltányos megosztása vagy egy alkalmazás priorizálása. Mindegyik más illesztést igényel.

Nevezze meg a célt a szabály előtt

Az eszközönkénti korlát az adott eszköz címére illeszkedik, amely csak az alagúton belül létezik. A versengő folyamok közötti méltányossághoz olyan sor kell, amelyet mindannyian megosztanak, nem pedig szabály minden gazdagéphez. Az alkalmazás-prioritáshoz valami kell, ami azonosítja az alkalmazást, ez a három közül a legnehezebb, miután a titkosítás eltávolítja a belső fejléceket a látótérből. A cél első leírása megmondja, melyik tényre van szüksége, és hol szerezheti be.

Az a korlát, amely közvetlen WAN-forgalmon működik, nem bizonyítja, hogy ugyanaz a gazdagép az alagúton belül is lefedett. Lehet, hogy a szabály olyan címre illeszkedik, amely soha nem jelenik meg abban a fejlécben, amelyet a formáló lát.

Az alagúton belül vagy kívül

A router tulajdonában lévő VPN-klienssel sok LAN-folyam egyetlen titkosított átvitelen belül utazik. A beágyazás előtt a router még látja a belső forrást és célt, így az ebben a szakaszban hozzáadott szabályzat eszközönként osztályozhat. A beágyazás után a közönséges berendezés csak a külső kapcsolatot látja, és a VPN-portra illeszkedő szabály semmit sem mond arról, melyik eszköz felelős. Ez az egy tény dönti el, hová tartozik a szabály.

A platformok eltérnek abban, hogyan teszik ezt láthatóvá. Egyesek olyan formálót kínálnak, amely alagút-interfészen sorba állít és osztályoz; mások a korlátozókat interfész-szabályként kezelik, amelyek a VPN és nem VPN forgalom esetében ugyanúgy viselkednek; megint mások különböző képességekkel mindkettőt teszik. Olvassa a firmware saját dokumentációját arról az interfészről, amelyet támogat, ahelyett hogy egy másik gyártó útmutatójából másolná az interfész nevét.

Határozza meg, hol maradnak elérhetők a címek, hol történik a fordítás, és melyik sor irányítja valójában a szűk keresztmetszetet.

Három szabályzat, háromféle bizonyíték

A sebességkorlátot a korlátozott eszközről induló tartós átvitel bizonyítja, miközben egy másik ugyanabban az időben átvisz. A méltányos megosztást két folyam hasonló sebessége bizonyítja, nem az, hogy az egyik éhezik, ami más mérés. Az alkalmazás-prioritást egy interaktív feladat bizonyítja, amely egy tömeges átvitel alatt is reagálóképes marad, és annak ellenőrzése, hogy az osztályozó egyáltalán felismerte-e a folyamot. Minden szabályzat saját megfigyelést igényel, és egyiket sem bizonyítja konfigurációs oldal.

Az osztályozás különös gyanút érdemel. A külső titkosított portra való illeszkedés nem tudja visszanyerni minden belső alkalmazás identitását, ezért az a szabály, amely úgy tűnik, hogy egy alkalmazást priorizál, a gyakorlatban mindent priorizálhat abból az alagútból. A szabály számlálóit olvassa, nem a szándékát.

A titkosított terhelést mérje, nem a csupaszt

A formálás, az osztályozás és a titkosítás egyetlen processzorért verseng, és a hardveres gyorsítás elkerülheti azokat a szabályokat és számlálókat, amelyeket éppen figyel. Egy egyszerű útválasztási teszt átbocsátóképességi száma keveset mond a dobozról titkosított és formált terhelés alatt. Tesztelje mindkét irányt, több reprezentatív klienst és egy kis interaktív feladatot a tömeges átvitel mellett. A terhelés alatti reagálóképesség fontosabb, mint a csúcsérték egy tétlen kapcsolaton.

Vegye bele a kivételeket a mérésbe: a forgalmat, amelynek meg kell kerülnie az alagutat, mindkét címcsaládot, ha mindkettő játékban van, és azt, hogy mi történik, amikor az alagút leáll. Az a szabályzat, amely csak addig viselkedik értelmesen, amíg az alagút egészséges, fél szabályzat.

Írja le a specifikációt három sorban: a forgalom illesztése, az érvényesítési pont és a mért terhelés. Az OpenVPN plusz QoS nem specifikáció.