OpenVPN трафигін қалыптастыру: қай интерфейс оны көреді?

Төрт тексеруден өтіңіз: нені шектегіңіз келетінін, оны анықтайтын ақпаратты қай пакет тасымалдайтынын, қалыптастырғыш қай интерфейсті көретінін және шифрлау кезінде маршрутизатор қандай жүктемеге шыдайтынын. Маршрутизаторлар OpenVPN бетімен де, өткізу қабілеті бетімен де жеткізіледі, ал олардың қатар болуы екеуінің ешқайсысы туралы ештеңе дәлелдемейді. Реттілік маңызды, өйткені дұрыс емес пакетке жазылған ереже ешқашан сәйкес келмейді, оның жылдамдығы қаншалықты дұрыс болса да.

Мақсаттан бастаңыз: бір құрылғыны шектеу, сыйымдылықты әділ бөлу немесе бір қолданбаға басымдық беру. Әрқайсысына басқа сәйкестік қажет.

Ережеден бұрын мақсатты атаңыз

Құрылғы бойынша шектеу сол құрылғының мекенжайымен сәйкестікті талап етеді, ол тек туннельдің ішінде болады. Бәсекелес ағындар арасындағы әділдік бәрі бөлісетін кезекті талап етеді, әр хостқа ереже емес. Қолданба басымдығы қолданбаны анықтайтын нәрсені талап етеді, бұл шифрлау ішкі тақырыптарды көру өрісінен алып тастағаннан кейін үшеуінің ішіндегі ең қиыны. Мақсатты алдымен жазу сізге қандай факт қажет және оны қайдан алуға болатынын айтады.

Тікелей WAN трафигінде жұмыс істейтін шектеу сол хосттың туннель ішінде қамтылғанына дәлел емес. Ереже қалыптастырғыш көретін тақырыпта ешқашан кездеспейтін мекенжайға сәйкес келуі мүмкін.

Туннель ішінде ме, әлде сыртында ма

Маршрутизаторға тиесілі VPN клиентімен көптеген LAN ағындары бір шифрланған тасымалдың ішінде жүреді. Инкапсуляцияға дейін маршрутизатор әлі ішкі көзді және тағайындалған жерді көреді, сондықтан сол кезеңде қосылған саясат құрылғы бойынша жіктей алады. Инкапсуляциядан кейін қарапайым жабдық тек сыртқы қосылымды көреді, ал VPN портына сәйкестік қай құрылғы жауапты екені туралы ештеңе айтпайды. Сол бір факт ереженің қайда тиесілі екенін шешеді.

Платформалар мұны қалай көрсететінінде ерекшеленеді. Кейбіреулері туннель интерфейсінде кезекке қоятын және жіктейтін қалыптастырғыш ұсынады; басқалары шектеуіштерді VPN және VPN емес трафик үшін бірдей әрекет ететін интерфейс ережелері ретінде қарастырады; кейбіреулері екеуін де әртүрлі мүмкіндіктермен жасайды. Басқа өндірушінің нұсқаулығынан интерфейс атауын көшіруге бармай, прошивканың өзі қолдайтын интерфейс үшін оның құжаттамасын оқыңыз.

Мекенжайлардың қайда қолжетімді болып қалатынын, аударманың қайда болатынын және қай кезектің нақты тар жерді басқаратынын анықтаңыз.

Үш саясат, үш түрлі дәлел

Жылдамдық шегі шектелген құрылғыдан тұрақты беріліспен, ал екіншісі сол уақытта беріліс жасағанда дәлелденеді. Әділ бөлу екі ағынның бірі аштыққа ұшыраудың орнына ұқсас жылдамдыққа жетуімен дәлелденеді, бұл басқа өлшем. Қолданба басымдығы интерактивті тапсырманың жаппай беріліс кезінде жауапты болып қалуымен және жіктеуші ағынды мүлдем таныды ма, соны тексерумен дәлелденеді. Әр саясат өз бақылауын қажет етеді және ешқайсысы конфигурация бетімен дәлелденбейді.

Жіктеу ерекше күмәнға лайық. Сыртқы шифрланған портқа сәйкестік әрбір ішкі қолданбаның жеке басын қалпына келтіре алмайды, сондықтан бір қолданбаға басымдық беретін сияқты көрінетін ереже іс жүзінде сол туннельден келетіннің бәріне басымдық беруі мүмкін. Ереженің ниетін емес, оның есептегіштерін оқыңыз.

Шифрланған жүктемені өлшеңіз, жалаңашты емес

Қалыптастыру, жіктеу және шифрлау бір процессор үшін бәсекелеседі, ал аппараттық жеделдету трафикті сіз бақылап отырған дәл сол ережелер мен есептегіштердің жанынан өткізуі мүмкін. Қарапайым маршруттау тестінің өткізу қабілеті көрсеткіші шифрланған және қалыптастырылған жүктеме астындағы құрылғы туралы аз айтады. Екі бағытты, бірнеше өкілді клиентті және жаппай беріліспен қатар шағын интерактивті тапсырманы сынаңыз. Жүктеме астындағы жауаптылық бос байланыстағы шыңдық саннан маңыздырақ.

Өлшемге ерекшеліктерді қосыңыз: туннельді айналып өтуі тиіс трафик, екеуі де ойында болса, екі мекенжай отбасы, және туннель өшіп қалғанда не болатыны. Туннель сау болған кезде ғана парасатты әрекет ететін саясат — жарты саясат.

Спецификацияны үш жолмен жазыңыз: трафик сәйкестігі, қолдану нүктесі және өлшенген жүктеме. OpenVPN плюс QoS спецификация емес.