전체 터널과 분할 터널: 서로 다른 네 가지

터널 레이블은 노트북의 나머지 트래픽이 어디로 가는지를 설명하며, 얼마나 빠른지는 말하지 않습니다. 전체 터널에서는 공개 요청이 인터넷으로 나가기 전에 VPN 게이트웨이를 통과합니다. 분할 터널에서는 사설 목적지가 터널을 사용하고 나머지는 모두 로컬 경로를 탑니다. 둘 다 내부 애플리케이션에 도달하므로, 사람들이 가장 먼저 하는 도달성 테스트로는 어떤 정책이 배포되었는지 알 수 없습니다.

대신 출구를 시험하세요: 공개 에코 페이지가 어떤 주소를 보고하는지, 어떤 리졸버가 응답했는지 확인합니다.

속설: 분할 터널은 그저 더 빠른 선택지일 뿐이다

분할 터널은 흔히 성능 기능으로 팔리며 실제로 그럴 수 있지만, 그것은 부작용이지 정의가 아닙니다. 정의는 어떤 목적지가 터널로 들어가는지에 대한 라우팅 결정입니다. 속도 차이는 직접 경로가 사무실을 거치는 우회로보다 정말로 나을 때만 나타납니다. 혼잡한 가정 회선과 가벼운 부하의 게이트웨이라면 전체 터널이 둘 중 더 빠를 수 있습니다.

따라서 정직한 틀은 경로의 소유와 통제에 관한 것이며, 성능은 나중에 측정하는 것입니다. 속도를 위해 선택했는데 DNS와 공개 출구를 조용히 옮기는 정책이라면 잘못된 이유로 선택한 것입니다.

실제로 달라지는 것: 출구

전체 터널에서는 공개 웹사이트가 사무실의 출구 주소를 보고 사무실 필터링이 요청을 봅니다. 분할 터널에서는 같은 사이트가 사용자의 집 주소를 보고 사무실은 아무것도 보지 못합니다. 이는 서로 다른 가시성 모델이며 어느 쪽도 자동으로 더 안전하지 않습니다. 유용한 질문은 조직이 실제로 어느 쪽을 운영할 수 있느냐입니다.

연결됨 배지를 믿는 대신 직접 확인하세요. 공개 주소 에코는 출구를 보여 주고, 리졸버 시험은 누구의 DNS가 응답했는지 보여 줍니다.

그다음 게이트웨이가 감당해야 할 것

화상 통화, 다운로드, 사설 애플리케이션을 나르는 게이트웨이는 내부 요청만 나르는 게이트웨이와는 전혀 다른 작업 부하를 위한 용량이 필요합니다. 사이트의 인터넷 연결은 사용자의 도착과 그 뒤의 공개 출구를 모두 나르므로 두 회선이 동시에 포화될 수 있습니다.

로컬 브레이크아웃은 그 부하와 우회로를 없애지만, 직접 경로도 혼잡할 수 있으므로 더 나은 경험을 보장하지는 않습니다. 라우팅 레이블을 성능 측정으로 취급하지 말고 실제 애플리케이션을 비교하세요.

전체 터널 아래에도 예외가 있다

기본 경로는 모든 패킷의 목록이 아닙니다. 더 구체적인 경로, 로컬 네트워크 허용, 애플리케이션 제외, 별도의 IPv6 규칙이 모두 트래픽을 움직이므로 전체 터널이라고 설명된 정책도 여전히 샐 수 있습니다. 운영 체제의 라우팅 문서는 강제 터널 기본값에 대해 그 구분을 두며, 클라이언트의 예외 목록이 누출이 보통 사는 곳입니다. 의도가 아니라 동작을 검증하세요.

IPv6는 IPv4만 나르는 터널이 스택 전체를 정책 밖에 두기 때문에 따로 볼 가치가 있습니다.

DNS는 별도의 정책이다

내부 이름에는 그것을 아는 리졸버가 필요하며, 그 리졸버는 터널을 통해서만 닿을 수 있을 수 있습니다. 자체 암호화 DNS를 가진 브라우저는 시스템 리졸버를 완전히 우회할 수 있으며, 그러면 내부 이름은 실패하고 공개 이름은 동작하는 분열이 생기거나 그 반대가 됩니다.

조회가 어디로 가야 할지 정하고, 그다음 클라이언트와 브라우저를 일치시키세요. 성공적인 공개 브라우징은 내부 이름 해석을 결코 시험하지 않으므로, 인트라넷 사이트가 사라질 때 인용하기에 틀린 증거입니다.

장애 정책을 쓰고, 그다음 시험하라

터널이 끊길 때 무엇을 할지 정하세요: 모두 차단하기, 사설 리소스만 차단하기, 또는 직접 연결 허용하기입니다. 자동 재연결은 그 질문에 답하지 않으며, 터널 인터페이스만 덮는 킬 스위치는 제외된 애플리케이션이 자유롭게 통신하도록 남길 수 있습니다. 실제 연결 끊기와 네트워크 변경을 시험한 뒤 클라이언트 상태를 읽으세요, 문서는 의도된 동작을 설명하며 설치된 동작은 아니기 때문입니다.

사설 경로, 공개 출구, DNS 서버, 로컬 예외, 장애 동작을 짧은 메모 하나에 기록하세요. 그 메모가 정책을 쓰지 않은 사람도 검증할 수 있게 만듭니다.