OpenVPN-Kompressioun: refuséieren, just empfänken oder vollt LZO?
comp-lzo no ass keng strikt Refus. Vergläicht d'Refus vun der Kompressioun, d'einseiteg Akzeptanz während enger Migratioun an d'Behalen, a préift dann, wat Offload mécht.
Dräi Linnen an engem Profil gesinn aus wéi wann se all d'Kompressioun ausschalten, an nëmmen eng dovun mécht dat wierklech. Den Ënnerscheed ass wichteg, well d'Warnung, déi Dir roueg wëllt maachen, e Symptom ass, wärend d'Politik entscheet, ob déi aner Säit nach kompriméiere kann. D'Optiounen op enger Achs ze vergläichen, nämlech wat all eenzeg no der Ännerung erlaabt, hëlt de gréissten Deel vun der Onkloerheet ewech. Wéi eng Dir wëllt, hängt dovun of, ob Dir migréiert oder Iech néierschléit.
Dräi Politiken déi an enger Konfiguratiounsdatei ähnlech ausgesinn
All Optioun beäntwert eng aner Fro. allow-compression no refuséiert kompriméiert Notzlaaschten direkt, allow-compression asym dekompriméiert wat ukënnt an kompriméiert ni wat fortgeet, an déi al comp-lzo no léisst Plaz fir en Push vun der anerer Säit, fir d'Kompressioun anzeschalten. Nëmmen déi éischt ass eng Politik, déi e Server net iwwerstëmme kann.
Schreift déi dräi an eng Tabell ier Dir wielt, well d'Nimm no genuch beienee leien, fir eng Prüferin ze täuschen. Zwee dovun ëmmer nach Dekompressiounscode op empfangene Pakete lafen, an genau dorëm geet et an der Sécherheetsargumentatioun. Déi drëtt hëlt d'Fäegkeet ewech, amplaz hir Richtung ze limitéieren. Wann de Ännerungsprojet seet, d'Kompressioun si desaktivéiert, da erfëllt genee eng Zeil dee Saz.
D'Warnung, déi d'Enquête ugefaangen huet, ass net d'Zil. Se roueg ze maachen, wärend eng erlaabend Politik stoen bleift, gëtt ee proppere Log an eng onverännert Expositioun.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Wat no bei der aler LZO-Optioun bedeit
Bei der veralterer LZO-Optioun schalt no d'Kompressioun fir déi lokal Säit aus, ouni der anerer Säit ze verbidden, se do anzeschalten, wou d'Politik et erlaabt. Déi Asymmetrie ass de Grond, firwat d'Verréckele vun engem Profil op eng strikt Refus d'Verhalen op Manéieren ännert, déi en Eenzel-Server-Labortest vläicht ni opdeckt.
D'Sécherheetsbesuergnis ass konditionell, net absolut. Wann en Ugräifer gewielten oppenen Text nieft e Geheimnis leeë kann a kucke kann, wéi d'Kompressioun d'Gréisst vum verschlësselten Trafik ännert, gëtt et en Informatiounskanal. De Wiessel vun LZO op LZ4 ännert den Algorithmus an d'Encadrement, net dee Mechanismus.
Den éierlechen Kader geet also drëm, wat Dir bereet sidd z'erlaben, net drëm, ween Algorithmus just recommandéiert gëtt. Eng strikt Refus ass déi eenzeg Optioun, déi net vun der Zesummenaarbecht vun der anerer Säit ofhängt.
Just empfänken ass en Migratiounsstaat, keen Zil
Asymmetresch Akzeptanz gëtt et, fir datt eng Säit ophale kann ze kompriméieren, wärend déi aner et nach erwaart. Et ass eng Bréck, a Brécken brauchen en Enddatum an en Eegentmer. Notéiert wéi eng Partner nach kompriméierten Trafik schécken, well d'Politik genau deen Trafik erlaabt. Ouni déi Lëscht gëtt de Migratiounsstaat duerch Trägheet déi permanent Konfiguratioun.
E Client kann e Server, dee net kompatibel ass, net zwéngen, den ale Kadre opzeginn, andeems hien seng eege Datei editéiert. D'Push-Richtung gëtt um Server decidéiert, dofir endet d'Migratioun tatsächlech an der Serverkonfiguratioun an hire Fichiere pro Client.
Stub-Modi behalen d'Encadrement, iwwersprangen awer d'Kompressiounsaarbecht selwer, an si sinn net en direkte Gläichwäert vun der méi aler Optioun. Test se géint dee eelste Partner, deen Dir nach musst ënnerstëtzen, ier Dir Iech fir eng decidéiert.
Wou Offload vum Datekanal d'Äntwert ännert
Offload vum Datekanal verréckelt d'Paketbehandlung an de Kernel, an e Profil, deen nach vum Kompressiounskader ofhängt, passt vläicht net op dee Wee. De Feeler ass net ëmmer haart: e Client verbënnt sech an behält sech duerno anescht wéi den Tunnel, deen Dir getest hutt.
Préift, wéi eng Implementatioun virun an no der Ännerung aktiv ass, net just ob d'Verbindung geléngt. Wann de Offload-Wee de Kompressiounskader refuséiert, stëmmen eng strikt Refuspolitik an eng Offload-Installatioun iwwerenee, wärend eng erlaabend Politik an eng Offload-Installatioun net.
Dee Kombinatioun verdéngt säin eegenen Test, well genee do eng Datei, déi richteg ausgesäit, roueg net déi ass, déi benotzt gëtt. Vergläicht den ausgehandelte Stat mat der Absicht, déi am Profil festgehalen ass, well nëmmen eng vun deenen zwee an engem Log ze gesinn ass.
Wielt eng Politik an iwwerpréift duerno d'ausgehandelt Resultat
Wielt eng strikt Refus, wann Dir béid Säiten ännere kënnt, eng asymmetresch Akzeptanz, wann nach net, a voll Kompressioun nëmme wann Dir erkläre kënnt, firwat d'Expositioun akzeptabel ass. Iwwerpréift duerno, wat ausgehandelt gouf, amplaz wat d'Datei seet. E méi rouege Log ass nëmmen e Beweis, wann hien zu der Politik passt, déi Dir wollt asetzen.
Halt d'Entscheedung nieft dem Profil, fir deen se gëllt, mam Datum an de Partner déi nach ausgenoll sinn. Eng hallef Joer méi spéit ass déi Notiz den Ënnerscheed tëscht enger bewosster Ausnam an engem Accident, deen keen datéiere kann. Schreift se an derselwechter Repositorium wéi de Profil, sou datt den nächsten Editeur de Grond virun der Direktiv gesäit.