Visas tunelis ir padalytas tunelis: keturi skirtumai
Žymė nusprendžia, kur išlenda likęs nešiojamojo kompiuterio srautas, o ne koks jis greitas. Prieš rinkdamiesi palyginkite išėjimą, apkrovą, DNS ir gedimo elgseną.
Tunelio žymės apibūdina, kur eina likęs nešiojamojo kompiuterio srautas, o ne kaip greitai jis eina. Su visu tuneliu viešos užklausos praeina VPN šliuzu, prieš išeidamos į internetą. Su padalytu tuneliu privatūs paskirties taškai naudoja tunelį, o visa kita eina vietiniu keliu. Abu pasiekia vidinę programėlę, todėl pasiekiamumo testas, kurį žmonės atlieka pirmiausia, nieko nesako apie tai, kokia politika įdiegta.
Vietoj to patikrinkite išėjimą: kokį adresą praneša viešas aido puslapis ir kuris resolveris atsakė.
Mitas: padalytas tunelis yra tiesiog greitesnė galimybė
Padalytas tunelis dažnai parduodamas kaip našumo funkcija, ir ja gali būti, bet tai šalutinis poveikis, o ne apibrėžimas. Apibrėžimas yra maršrutizavimo sprendimas, kurie paskirties taškai patenka į tunelį. Greičio skirtumas atsiranda tik tada, kai tiesioginis kelias tikrai geresnis už apvažiavimą per biurą. Perkrautoje namų linijoje ir mažai apkrautame šliuze visas tunelis gali būti greitesnis iš dviejų.
Taigi sąžininga formuluotė yra apie kelio nuosavybę ir kontrolę, o našumas yra tai, ką matuojate vėliau. Politika, pasirinkta dėl greičio ir tyliai perkelianti jūsų DNS bei viešą išėjimą, buvo pasirinkta dėl neteisingos priežasties.
Kas iš tikrųjų keičiasi: išėjimas
Su visu tuneliu vieša svetainė mato biuro išėjimo adresą, o biuro filtravimas mato užklausą. Su padalytu tuneliu ta pati svetainė mato vartotojo namų adresą, o biuras nemato nieko. Tai skirtingi matomumo modeliai, ir nė vienas nėra automatiškai saugesnis. Naudingas klausimas yra, kurį organizacija iš tikrųjų gali valdyti.
Patikrinkite tai tiesiogiai, o ne pasikliaukite ženkleliu Prisijungta. Viešas adreso aidas rodo išėjimą, o resolverio testas rodo, kieno DNS atsakė.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Ką tada turi nešti šliuzas
Šliuzas, nešantis vaizdo skambučius, atsisiuntimus ir privačias programėles, turi turėti pajėgumą visiškai kitokiam darbo krūviui nei tas, kuris neša tik vidines užklausas. Svetainės interneto ryšys neša ir vartotojo atėjimą, ir vėlesnį viešą išėjimą, todėl dvi linijos gali prisisotinti vienu metu.
Vietinis išėjimas pašalina tą apkrovą ir apvažiavimą, ir jis negarantuoja geresnės patirties, nes tiesioginis kelias taip pat gali būti perkrautas. Palyginkite tikrąją programėlę, o ne traktuokite maršrutizavimo žymę kaip našumo matavimą.
Su visu tuneliu egzistuoja išimtys
Numatytasis maršrutas nėra kiekvieno paketo inventorius. Konkretesni maršrutai, vietinio tinklo leidimai, programėlių išimtys ir atskiri IPv6 taisyklių rinkiniai visi judina srautą, todėl politika, apibūdinta kaip visas tunelis, vis tiek gali nutekėti. Operacinės sistemos maršrutizavimo dokumentacija daro šį skirtumą priverstiniams tunelio numatytiesiems nustatymams, o kliento išimčių sąrašas yra vieta, kur nutekėjimas paprastai gyvena. Tikrinkite elgseną, o ne ketinimą.
IPv6 nusipelno atskiro žvilgsnio, nes tunelis, nešantis tik IPv4, palieka visą krūvą už politikos ribų.
DNS yra atskira politika
Vidiniams vardams reikia resolverio, kuris juos pažįsta, ir tas resolveris gali būti pasiekiamas tik per tunelį. Naršyklė su savo šifruotu DNS gali visiškai apeiti sistemos resolverį, o tai sukuria skilimą, kai vidiniai vardai nepavyksta, o vieši veikia, arba atvirkščiai.
Nuspręskite, kur turi eiti paieškos, tada suderinkite klientą ir naršyklę. Sėkmingas viešas naršymas niekada netikrina vidinio vardų sprendimo, todėl tai netinkamas įrodymas, kai intraneto svetainė dingsta.
Parašykite gedimo politiką, tada ją išbandykite
Nuspręskite, kas nutinka, kai tunelis nukrenta: blokuoti viską, blokuoti tik privačius išteklius arba leisti tiesioginius ryšius. Automatinis prisijungimas iš naujo neatsako į šį klausimą, o apsauginis jungiklis, apimantis tik tunelio sąsają, gali palikti išimtas programėles laisvai kalbėtis. Išbandykite tikrą atsijungimą ir tinklo pasikeitimą, tada perskaitykite kliento būseną, nes dokumentacija aprašo numatytą, o ne įdiegtą elgseną.
Užrašykite privačius maršrutus, viešą išėjimą, DNS serverius, vietines išimtis ir gedimo elgseną vienoje trumpoje pastaboje. Būtent ši pastaba padaro politiką patikrinamą tam, kas jos nerašė.