Membentuk lalu lintas OpenVPN: antarmuka mana yang melihatnya?

Lakukan empat pemeriksaan: apa yang ingin Anda batasi, paket mana yang membawa informasi yang mengidentifikasinya, antarmuka mana yang dapat dilihat pembentuk, dan apa yang ditanggung router saat mengenkripsi. Router dijual dengan halaman OpenVPN dan halaman bandwidth, dan keberadaan keduanya tidak membuktikan apa pun tentang salah satunya. Urutan penting, karena aturan yang ditulis terhadap paket yang salah tidak akan pernah cocok, seberapa pun benar lajunya.

Mulailah dari tujuan: membatasi satu perangkat, berbagi kapasitas secara adil, atau memprioritaskan satu aplikasi. Masing-masing membutuhkan pencocokan yang berbeda.

Beri Nama Tujuan Sebelum Aturan

Batas per perangkat membutuhkan pencocokan pada alamat perangkat itu, yang hanya ada di dalam terowongan. Keadilan antar aliran yang bersaing membutuhkan antrean yang mereka bagi bersama, bukan aturan per host. Prioritas aplikasi membutuhkan sesuatu yang mengidentifikasi aplikasi, yang tersulit dari ketiganya setelah enkripsi menghapus header dalam dari pandangan. Menuliskan tujuan lebih dulu memberi tahu Anda fakta mana yang dibutuhkan dan di mana Anda mungkin memperolehnya.

Batas yang bekerja pada lalu lintas WAN langsung bukan bukti bahwa host yang sama tercakup di dalam terowongan. Aturan itu mungkin mencocokkan alamat yang tidak pernah muncul di header yang dilihat pembentuk.

Di Dalam Terowongan atau di Luarnya

Dengan klien VPN milik router, banyak aliran LAN berjalan di dalam satu transport terenkripsi. Sebelum enkapsulasi router masih melihat sumber dan tujuan dalam, sehingga kebijakan yang dipasang pada tahap itu dapat mengklasifikasikan per perangkat. Setelah enkapsulasi, peralatan biasa hanya melihat koneksi luar, dan pencocokan pada port VPN tidak mengatakan apa pun tentang perangkat mana yang bertanggung jawab. Fakta tunggal itu menentukan di mana aturan itu berada.

Platform berbeda dalam cara menampilkan hal ini. Sebagian menyediakan pembentuk yang mengantrekan dan mengklasifikasikan pada antarmuka terowongan; sebagian lain memperlakukan pembatas sebagai aturan antarmuka yang berperilaku sama untuk lalu lintas VPN dan non-VPN; sebagian melakukan keduanya dengan kemampuan berbeda. Bacalah dokumentasi firmware itu sendiri untuk antarmuka yang didukungnya alih-alih menyalin nama antarmuka dari panduan vendor lain.

Identifikasi di mana alamat tetap tersedia, di mana terjemahan terjadi, dan antrean mana yang benar-benar mengendalikan hambatan.

Tiga Kebijakan, Tiga Jenis Bukti

Batas laju dibuktikan dengan transfer berkelanjutan dari perangkat yang dibatasi sementara perangkat lain mentransfer pada saat yang sama. Berbagi adil dibuktikan dengan dua aliran mencapai laju serupa alih-alih satu kelaparan, yang merupakan pengukuran berbeda. Prioritas aplikasi dibuktikan dengan tugas interaktif yang tetap responsif selama transfer besar, dan dengan memeriksa apakah pengklasifikasi mengenali aliran itu sama sekali. Setiap kebijakan membutuhkan pengamatannya sendiri, dan tidak satu pun dibuktikan oleh halaman konfigurasi.

Klasifikasi patut dicurigai secara khusus. Pencocokan pada port terenkripsi luar tidak dapat memulihkan identitas setiap aplikasi dalam, sehingga aturan yang tampak memprioritaskan satu aplikasi mungkin dalam praktiknya memprioritaskan semua yang berasal dari terowongan itu. Bacalah penghitung aturan itu, bukan niatnya.

Ukur Beban Terenkripsi, Bukan yang Telanjang

Pembentukan, klasifikasi, dan enkripsi bersaing untuk satu CPU, dan akselerasi perangkat keras dapat melewatkan lalu lintas melewati aturan dan penghitung yang Anda pantau. Angka throughput dari uji perutean biasa tidak banyak berbicara tentang kotak di bawah beban terenkripsi dan terbentuk. Uji kedua arah, beberapa klien representatif, dan tugas interaktif kecil di samping transfer besar. Responsivitas di bawah beban lebih penting daripada angka puncak pada tautan menganggur.

Sertakan pengecualian dalam pengukuran: lalu lintas yang seharusnya melewati terowongan, kedua keluarga alamat jika keduanya berperan, dan apa yang terjadi saat terowongan mati. Kebijakan yang berperilaku masuk akal hanya selama terowongan sehat adalah setengah kebijakan.

Tulis spesifikasi sebagai tiga baris: pencocokan lalu lintas, titik penegakan, dan beban yang diukur. OpenVPN plus QoS bukanlah spesifikasi.