Vollstunnel géint opgedeilten Tunnel: déi véier Ënnerscheeder
D'Etikett entscheet, wou de Rescht vum Trafic vun engem Laptop erausgeet, net wéi séier en ass. Vergläicht Ausgang, Laascht, DNS a Feelerverhalen, ier Dir wielt.
Tunnel-Etiketten beschreiwen, wou de Rescht vum Trafic vun engem Laptop hiengeet, net wéi séier en geet. Bei engem Vollstunnel ginn ëffentlech Ufroen duerch de VPN-Gateway, ier se an d'Internet erausgoen. Bei engem opgedeilten Tunnel benotzen privat Destinatiounen den Tunnel an alles anescht hëlt de lokale Wee. Béid erreechen d'intern Applikatioun, dofir seet den Erreechbarkeetstest, deen d'Leit als éischt maachen, näischt doriwwer, wéi eng Politik agesat ass.
Testt amplaz den Ausgang: wéi eng Adress eng ëffentlech Echo-Säit mellt, a wéi ee Resolver geäntwert huet.
Mythos: opgedeilten Tunnel ass just déi méi séier Optioun
Opgedeilten Tunnel gëtt dacks als Leeschtungsfunktioun verkaaft, an et kann een sinn, awer dat ass en Nieweneffekt an net d'Definitioun. D'Definitioun ass eng Routingentscheedung doriwwer, wéi eng Destinatiounen an den Tunnel kommen. Den Ënnerscheed an der Vitess erschéngt nëmme wann de direkte Wee wierklech besser ass wéi den Ëmwee duerch d'Büro. Op enger iwwerlaaschter Heemverbindung an engem liicht belaaschte Gateway kann de Vollstunnel dee séierste vun deenen zwee sinn.
Also geet et beim éierleche Kader ëm d'Proprietéit an d'Kontroll vum Wee, woubäi Leeschtung eppes ass, wat een duerno misst. Eng Politik, déi fir Vitess gewielt gouf an Ären DNS an den ëffentlechen Ausgang stëll verréckelt, gouf aus dem falsche Grond gewielt.
Wat sech tatsächlech ännert: den Ausgang
Bei engem Vollstunnel gesäit eng ëffentlech Websäit d'Ausgangsadress vum Büro an d'Bürofilterung gesäit d'Ufro. Bei engem opgedeilten Tunnel gesäit déiselwecht Säit d'Heemadress vum Benotzer an de Büro gesäit näischt. Dat sinn ënnerschiddlech Visibilitéitsmodeller, an keen ass automatesch sécherer. Déi nëtzlech Fro ass, wéien d'Organisatioun wierklech bedreiwen kann.
Iwwerpréift et direkt, amplaz op en Zeeche Verbonne ze vertrauen. En ëffentlechen Adressenecho weist den Ausgang, an en Resolvertest weist, wien seng DNS geäntwert huet.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Wat de Gateway dann droe muss
En Gateway, deen Videoopruff, Downloads a privat Applikatiounen dréit, brauch Kapazitéit fir eng ganz aner Aarbechtslaascht wéi een, deen nëmmen intern Ufroen dréit. D'Internetverbindung vum Site dréit souwuel d'Ukunft vum Benotzer wéi och den duerno ëffentlechen Ausgang, dofir kënnen zwou Verbindungen gläichzäiteg saturéiert ginn.
Lokalen Ausgang hëlt déi Laascht an den Ëmwee ewech, an et garantéiert keng besser Erfahrung, well och den direkte Wee iwwerlaascht ka sinn. Vergläicht déi tatsächlech Applikatioun, amplaz eng Routingetikett als Leeschtungsmiessung ze behandelen.
Ënner engem Vollstunnel gëtt et Ausnamen
Eng Standardroute ass keen Inventar vun all Paket. Spezifesch Routen, Erlaabnesser fir lokal Netzwierker, Applikatiounsausnamen an getrennte IPv6-Reegelen beweege all Trafic, dofir kann eng Politik, déi als Vollstunnel beschriwwe gëtt, nach ëmmer lecken. D'Routingdokumentatioun vum Betribssystem mécht dësen Ënnerscheed fir erzwongene Tunnelstandarden, an d'Ausnamelëscht vum Client ass de Plaz, wou d'Leck meeschtens wunnt. Iwwerpréift Verhalen, net Absicht.
IPv6 verdéngt en eegene Bléck, well en Tunnel, deen nëmmen IPv4 dréit, eng ganz Stack ausserhalb vun der Politik léisst.
DNS ass eng separat Politik
Intern Nimm brauchen en Resolver, deen se kennt, an dee Resolver ass vläicht nëmmen duerch den Tunnel erreechbar. E Browser mat sengem eegenen verschlësselten DNS kann de Systemresolver komplett ëmgoen, wat eng Deelung produzéiert, wou intern Nimm versoen an ëffentlech funktionéieren, oder ëmgedréint.
Entscheet, wou d'Sich solle goen, a bréngt dann de Client an de Browser op een Nenner. Erfollegräich ëffentlech Surfen testt ni déi intern Nummopléisung, dofir ass et dat falscht Beweis, wann eng Intranetsäit verschwënnt.
Schreift d'Feelerpolitik, an testt se dann
Entscheet, wat geschitt, wann den Tunnel fällt: alles blockéieren, nëmme privat Ressourcen blockéieren oder direkt Verbindungen erlaben. Automatesch Neiverbindung beäntwert dës Fro net, an en Notschalter, deen nëmmen d'Tunnelschnittstell deckt, kann ausgeschloss Applikatiounen fräi schwätzen loossen. Testt eng richteg Trennung an eng Netzwierkännerung, a liest dann de Client sengem Zoustand, well d'Dokumentatioun dat gewollt Verhalen beschreift an net dat installéiert.
Halt d'privat Routen, den ëffentlechen Ausgang, d'DNS-Server, d'lokal Ausnamen an d'Feelerverhalen an enger kuerzer Notiz fest. Déi Notiz ass et, déi d'Politik fir een iwwerpréifbar mécht, dee se net geschriwwen huet.