Ass Full-Tunneling méi einfach wéi eng laang Split-Tunnel-Lëscht?

Eng Split-Tunnel-Lëscht fänkt mat dräi Appen un a deckt um Enn de gréissten Deel vum Rechner, an all nei Zeil ass eng Ausnam vun engem. Zu deem Zäitpunkt ass d’Lëscht roueg zu enger Standardastellung mat zousätzleche Schrëtt ginn. Full-Tunneling dréit d’Usuerdnung ëm: alles geet an den Tunnel, ausser eng dokumentéiert Ausnam seet anescht. Ob dat méi einfach ass, hänkt vum Gateway an de lokale Servicer of, déi Dir géift futti maachen.

Fänkt u mat de Reegelen ze zielen, déi Dir ënnerhaalts

Zielt d’Entréen, a zielt dann wéi vill dovun en named Besëtzer an en Datum vun der leschter Iwwerpréiwung hunn. Déi zweet Zuel ass déi wichteg, well eng Ausnam, déi keen huet, net ka bewäert ginn, wann d’Software, op déi se sech bezitt, ëmbenannt oder ersat gëtt. Reegelen, déi un de Pad vun enger ausféierbarer Datei gebonnen sinn, schéisse roueg nom Update, an de Feeler gesäit aus wéi en onstabile VPN an net wéi eng al Reegel. Schreift d’Lëscht op, ier Dir eng Meenung dozou hutt.

All Entrée soll dräi Froen beäntweren: wat geet futti ouni se, wien huet dat decidéiert, a wéi géift Dir mierken, datt de Grond ofgelaf ass. Entréen, déi net all dräi beäntwere kënnen, si Kandidaten zum Läschen an net zur Migratioun, a se als éischt ze läschen mécht de spéidere Verglach éierlech.

Wann déi meescht Entréen en décke Deel vum Verkéier routen, bedreift Dir schonn en Full-Tunnel mat enger Zousazlaascht fir d’Ënnerhalt. D’Entscheedung geet dann driwwer, wou d’Standardastellung wunnt, an net ob et eng soll ginn.

Kuckt, ob de Gateway d’Standardastellung drage kann

Full-Tunneling beweegt all Pak op eng eenzeg Apparatur, wat gläichzäiteg hir CPU-Laascht, d’Conntrack-Tabell, d’Adressiwwersetzung an de Besoin un Upstream-Bandbreet ännert. E Gateway, deen e puer intern Subneter bequem zerwéiert huet, ass vläicht net fir de ganze Browserverkéier vun engem Benotzer dimensionéiert. Kuckt op déi gréisst Zuel vu gläichzäitege Sëtzungen, déi Dir erwaart, an net op de Mëttelwert, well de Peak als éischte brécht.

ip -s link show dev tun0
conntrack -C
ss -s

Miisst déiselwecht Aarbechtslaascht virum an nom Changement, amplaz aus Spezifikatioune ze schlussfolgeren. En eenzegen Nomëtteg normale Gebrauch op enger Maschinn weist, ob de Gateway no un enger Limit ass, an dat kascht näischt am Verglach dozou, et um Méindeg moies ze entdecken.

Kuckt och d’MTU vum Pad vun Enn zu Enn, well eng voll Standardastellung all App der maximaler Pakgréisst vum Tunnel aussetzt. Appen, déi baussent dem Tunnel funktionéiert hunn, kënnen elo vun engem Fragmentéierungsverhalen ofhänken, iwwer dat Dir ni misst nodenken.

Bestätegt, datt lokal Servicer an de private DNS nach funktionéieren

Zielt op, wat lokal misst bleiwen, nom Protokoll an net nom Appnumm: Entdeckungsprotokoller fir Drécker an Displays, eng Smart-Home-Bréck, d’Verwaltungssäit vun engem Router, e lokale Entwécklungsserver, deen iwwer en Numm erreechbar ass, dee just am LAN opgeléist gëtt. Déi briechen, wann d’Standardroute an en Tunnel ze weisen ufänkt, a se briechen roueg, well beim Client näischt e Feeler loggt.

De private DNS ass déi aner Ofhängegkeet. Wann intern Nimm virdru vum Resolver vum Tunnel opgeléist goufen, ännert sech näischt; wann se lokal opgeléist goufen, muss eng voll Standardastellung se zu engem Resolver bréngen, deen d’Zonen kennt. Test no dem Changement en internen an en ëffentlechen Numm, amplaz unzehuelen, datt d’Resolverlëscht iwwerlieft huet.

Schreift déi lokal Ausnamen an de Profil, deem se gehéieren. Eng Ausnam, déi just am Kapp vun engem gehal gëtt, ass dat éischt, wat déi nächst Migratioun verléiert.

Migréiert ee Profil a verifizéiert d’Grenzen

Ännert de Profil iwwer seng eege Konfiguratioun, amplaz eng nei Standardastellung iwwer manuell Routen ze leeën, déi fréier Experimenter hannerlooss hunn. Déi Reschtroute sinn déi gewéinlech Ursaach vun enger Migratioun, déi schéngt ze funktionéieren an en Dag méi spéit inconsequent ass. Haalt den ale Profil verfügbar, sou datt en Zréck eng Auswiel ass an net en Neibau.

Da verifizéiert zwou Grenzen getrennt: datt ëffentlech an privat Destinatiounen allebéid funktionéieren, an datt onerwënschte Verkéier net baussent dem Tunnel erausgeet. Eng erfolgreich Säitelaascht beweist dat éischt a seet näischt iwwer dat zweet.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Widderhëlt d’Kontroll no enger Reconnectioun an no engem Ausfall, well e Schalter, deen de Verkéier wärend engem Ausfall blockéiert, eng aner Eegenschaft ass wéi eng Route, déi duerno korrekt restauréiert gëtt. Dat méi einfach Design ass datjeneg, vun deem Dir d’tatsächlech Couverture nach ëmmer erkläre kënnt, nodeems eng App oder en Netz geännert huet.