Tunnel penuh versus tunnel terbagi: empat hal yang berbeda

Label tunnel menjelaskan ke mana sisa lalu lintas laptop pergi, bukan seberapa cepat perginya. Dengan tunnel penuh, permintaan publik melewati gateway VPN sebelum keluar ke internet. Dengan tunnel terbagi, tujuan privat memakai tunnel dan semua yang lain mengambil jalur lokal. Keduanya mencapai aplikasi internal, jadi uji keterjangkauan yang orang lakukan pertama tidak mengatakan apa pun tentang kebijakan mana yang dipasang.

Uji jalur keluarnya: alamat mana yang dilaporkan halaman gema publik, dan resolver mana yang menjawab.

Mitos: tunnel terbagi hanyalah opsi yang lebih cepat

Tunnel terbagi sering dijual sebagai fitur kinerja, dan bisa jadi begitu, tetapi itu efek samping, bukan definisinya. Definisinya adalah keputusan perutean tentang tujuan mana yang masuk ke tunnel. Perbedaan kecepatan muncul hanya ketika jalur langsung benar-benar lebih baik daripada memutar lewat kantor. Pada koneksi rumah yang padat dan gateway dengan beban ringan, tunnel penuh bisa menjadi yang lebih cepat dari keduanya.

Jadi kerangka yang jujur adalah tentang kepemilikan dan kendali jalur, dengan kinerja sebagai sesuatu yang diukur setelahnya. Kebijakan yang dipilih demi kecepatan dan diam-diam memindahkan DNS serta egress publik Anda dipilih karena alasan yang salah.

Apa yang sebenarnya berubah: jalur keluar

Dengan tunnel penuh, situs web publik melihat alamat keluar kantor dan penyaringan kantor melihat permintaannya. Dengan tunnel terbagi, situs yang sama melihat alamat rumah pengguna dan kantor tidak melihat apa pun. Itu model visibilitas yang berbeda, dan tidak ada yang otomatis lebih aman. Pertanyaan yang berguna adalah mana yang benar-benar dapat dioperasikan organisasi.

Periksa langsung daripada memercayai lencana Terhubung. Gema alamat publik menunjukkan jalur keluar, dan uji resolver menunjukkan DNS siapa yang menjawab.

Apa yang kemudian harus dibawa gateway

Gateway yang membawa panggilan video, unduhan, dan aplikasi privat membutuhkan kapasitas untuk beban kerja yang sangat berbeda dari gateway yang hanya membawa permintaan internal. Koneksi internet situs membawa kedatangan pengguna dan egress publik berikutnya, jadi dua tautan bisa jenuh sekaligus.

Terobosan lokal menghapus beban dan putaran itu, dan tidak menjamin pengalaman yang lebih baik, karena jalur langsung juga bisa padat. Bandingkan aplikasi sebenarnya daripada memperlakukan label perutean sebagai pengukuran kinerja.

Ada pengecualian di bawah tunnel penuh

Rute bawaan bukan inventaris setiap paket. Rute yang lebih spesifik, izin jaringan lokal, pengecualian aplikasi, dan aturan IPv6 terpisah semuanya memindahkan lalu lintas, itulah sebabnya kebijakan yang digambarkan sebagai tunnel penuh masih bisa bocor. Dokumentasi perutean sistem operasi membuat perbedaan itu untuk bawaan tunnel paksa, dan daftar pengecualian klien adalah tempat kebocoran biasanya tinggal. Verifikasi perilaku, bukan niat.

IPv6 layak mendapat pandangan sendiri, karena tunnel yang hanya membawa IPv4 meninggalkan seluruh tumpukan di luar kebijakan.

DNS adalah kebijakan terpisah

Nama internal membutuhkan resolver yang mengenalnya, dan resolver itu mungkin hanya dapat dijangkau melalui tunnel. Peramban dengan DNS terenkripsi sendiri dapat melewati resolver sistem sepenuhnya, yang menghasilkan perpecahan di mana nama internal gagal dan nama publik berfungsi, atau sebaliknya.

Putuskan ke mana pencarian harus pergi, lalu buat klien dan peramban sepakat. Penjelajahan publik yang berhasil tidak pernah menguji resolusi nama internal, jadi itu bukti yang salah untuk dikutip ketika situs intranet hilang.

Tulis kebijakan kegagalan, lalu uji

Putuskan apa yang terjadi saat tunnel putus: blokir semuanya, blokir hanya sumber daya privat, atau izinkan koneksi langsung. Penyambungan ulang otomatis tidak menjawab pertanyaan itu, dan kill switch yang hanya mencakup antarmuka tunnel dapat membiarkan aplikasi yang dikecualikan berbicara bebas. Uji pemutusan nyata dan perubahan jaringan, lalu baca status klien, karena dokumentasi menjelaskan perilaku yang dimaksudkan, bukan yang terpasang.

Catat rute privat, jalur keluar publik, server DNS, pengecualian lokal, dan perilaku kegagalan dalam satu catatan singkat. Catatan itulah yang membuat kebijakan dapat diverifikasi oleh orang yang tidak menulisnya.