フルトンネルと分割トンネル：異なる四つの点

トンネルのラベルは、ノートパソコンの残りの通信がどこへ行くかを示すもので、どれだけ速いかではありません。フルトンネルでは、公開リクエストはインターネットへ出る前にVPNゲートウェイを通過します。分割トンネルでは、プライベートな宛先はトンネルを使い、それ以外はすべてローカルの経路を通ります。どちらも社内アプリケーションには到達するので、人が最初に行う疎通確認では、どちらのポリシーが配備されているかは分かりません。

代わりに出口を確認してください：公開のエコーページがどのアドレスを報告するのか、どのリゾルバーが応答したのかを見ます。

俗説：分割トンネルは単に速い選択肢にすぎない

分割トンネルは性能機能として売られることが多く、実際にそうなり得ますが、それは定義ではなく副作用です。定義は、どの宛先がトンネルに入るかというルーティングの判断です。速度差が現れるのは、直接経路が本当に社内経由の回り道より優れている場合だけです。混雑した家庭回線と負荷の軽いゲートウェイでは、フルトンネルのほうが二つのうち速いことがあります。

つまり誠実な捉え方は経路の所有と制御に関するもので、性能は後から測るものです。速度のために選ばれ、DNSと公開出口を静かに移動させるポリシーは、間違った理由で選ばれています。

実際に変わるもの：出口

フルトンネルでは、公開ウェブサイトには社内の出口アドレスが見え、社内のフィルタリングにはそのリクエストが見えます。分割トンネルでは、同じサイトには利用者の自宅アドレスが見え、社内には何も見えません。これは異なる可視性のモデルであり、どちらも自動的に安全なわけではありません。有用な問いは、組織が実際に運用できるのはどちらかです。

接続済みバッジを信じるのではなく、直接確認してください。公開アドレスのエコーは出口を示し、リゾルバーのテストは誰のDNSが応答したかを示します。

そのうえでゲートウェイが運ぶもの

ビデオ通話、ダウンロード、プライベートなアプリケーションを運ぶゲートウェイには、社内リクエストだけを運ぶゲートウェイとはまったく異なる作業負荷に耐える容量が必要です。サイトのインターネット接続は、利用者の到着とその後の公開出口の両方を運ぶため、二つの回線が同時に飽和することがあります。

ローカルブレイクアウトはその負荷と回り道を取り除きますが、直接経路も混雑し得るため、より良い体験を保証するものではありません。ルーティングのラベルを性能の測定値として扱うのではなく、実際のアプリケーションを比較してください。

フルトンネルでも例外は存在する

デフォルトルートはすべてのパケットの一覧ではありません。より具体的なルート、ローカルネットワークの許可、アプリケーションの除外、個別のIPv6ルールがすべて通信を動かすため、フルトンネルと説明されたポリシーでも漏れることがあります。オペレーティングシステムのルーティング文書は強制トンネルのデフォルトについてこの区別を示しており、クライアントの除外リストこそが漏えいが通常住む場所です。意図ではなく動作を検証してください。

IPv6は、IPv4だけを運ぶトンネルがスタック全体をポリシーの外に置くため、独自に見る価値があります。

DNSは別のポリシー

社内名にはそれを知っているリゾルバーが必要で、そのリゾルバーはトンネル経由でしか到達できない場合があります。独自の暗号化DNSを持つブラウザーはシステムのリゾルバーを完全に迂回でき、社内名が失敗して公開名が機能する、あるいはその逆という分裂を生みます。

検索がどこへ行くべきかを決め、次にクライアントとブラウザーを一致させてください。公開ブラウジングの成功は社内名の解決を決して試さないので、イントラネットのサイトが消えたときに引用する証拠としては誤りです。

障害ポリシーを書き、それからテストする

トンネルが落ちたときに何が起きるかを決めてください：すべてをブロックするか、プライベートなリソースだけをブロックするか、直接接続を許可するかです。自動再接続はその問いに答えておらず、トンネルのインターフェースだけを覆うキルスイッチでは、除外されたアプリケーションが自由に通信し続ける可能性があります。実際の切断とネットワーク変更を試したうえでクライアントの状態を読んでください、文書は意図された動作を説明しており、インストールされた動作ではないからです。

プライベートなルート、公開出口、DNSサーバー、ローカルの例外、障害時の動作を一つの短いメモに記録してください。そのメモこそが、書いていない人でもポリシーを検証できるようにします。