OpenVPN srauto formavimas: kuri sąsaja jį mato?

Atlikite keturis patikrinimus: ką norite apriboti, kuris paketas neša informaciją, kuri jį identifikuoja, kurią sąsają mato formuotojas ir ką maršrutizatorius atlaiko šifruodamas. Maršrutizatoriai tiekiami tiek su OpenVPN puslapiu, tiek su pralaidumo puslapiu, o jų sambūvis nieko neįrodo apie nė vieną. Tvarka svarbi, nes taisyklė, parašyta prieš ne tą paketą, niekada nesutaps, kad ir kokia teisinga būtų jos sparta.

Pradėkite nuo tikslo: apriboti vieną įrenginį, sąžiningai pasidalyti talpą arba suteikti prioritetą vienai programai. Kiekvienas reikalauja kitokio atitikimo.

Pavadinkite tikslą prieš taisyklę

Vieno įrenginio riba reikalauja atitikimo to įrenginio adresui, kuris egzistuoja tik tunelio viduje. Sąžiningumas tarp konkuruojančių srautų reikalauja eilės, kurią jie visi dalijasi, o ne taisyklės kiekvienam hostui. Programos prioritetas reikalauja kažko, kas identifikuoja programą, o tai sunkiausia iš trijų, kai šifravimas pašalina vidinius antraštės laukus iš matymo lauko. Tikslo užrašymas pirmiausia pasako, kokio fakto jums reikia ir kur galite jį gauti.

Riba, kuri veikia tiesioginiame WAN sraute, nėra įrodymas, kad tas pats hostas yra padengtas tunelio viduje. Taisyklė gali atitikti adresą, kuris niekada nepasitaiko antraštėje, kurią mato formuotojas.

Tunelio viduje ar už jo

Su maršrutizatoriaus turimu VPN klientu daugelis LAN srautų keliauja viename šifruotame transporte. Prieš inkapsuliavimą maršrutizatorius dar mato vidinį šaltinį ir paskirties vietą, todėl tame etape prijungta politika gali klasifikuoti pagal įrenginį. Po inkapsuliavimo įprasta įranga mato tik išorinį ryšį, o atitikimas VPN prievadui nieko nesako apie tai, kuris įrenginys atsakingas. Tas vienas faktas nulemia, kur taisyklė priklauso.

Platformos skiriasi tuo, kaip tai atskleidžia. Vienos siūlo formuotoją, kuris rikiuoja ir klasifikuoja tunelio sąsajoje; kitos ribotuvus traktuoja kaip sąsajos taisykles, kurios elgiasi vienodai VPN ir ne VPN srautui; dar kitos daro abu su skirtingomis galimybėmis. Skaitykite pačios programinės įrangos dokumentaciją apie sąsają, kurią ji palaiko, o ne kopijuokite sąsajos pavadinimą iš kito gamintojo vadovo.

Nustatykite, kur adresai lieka prieinami, kur vyksta vertimas ir kuri eilė iš tikrųjų valdo siaurąją vietą.

Trys politikos, trijų rūšių įrodymai

Greičio riba įrodoma nuolatiniu perdavimu iš apriboto įrenginio, kol kitas perduoda tuo pačiu metu. Sąžiningas dalijimasis įrodomas dviem srautais, pasiekiančiais panašias spartas, o ne vienam badaujant, ir tai yra kitas matavimas. Programos prioritetas įrodomas tuo, kad interaktyvi užduotis išlieka reaguojanti didelio perdavimo metu, ir patikrinus, ar klasifikatorius apskritai atpažino srautą. Kiekviena politika reikalauja savo stebėjimo, ir nė vienos neįrodo konfigūracijos puslapis.

Klasifikavimas nusipelno ypatingo įtarumo. Atitikimas išoriniam šifruotam prievadui negali atkurti kiekvienos vidinės programos tapatybės, todėl taisyklė, kuri atrodo teikianti prioritetą vienai programai, praktiškai gali teikti prioritetą viskam iš to tunelio. Skaitykite taisyklės skaitiklius, o ne jos ketinimą.

Matuokite šifruotą apkrovą, o ne pliką

Formavimas, klasifikavimas ir šifravimas konkuruoja dėl vieno procesoriaus, o aparatinis pagreitinimas gali praleisti srautą pro tas pačias taisykles ir skaitiklius, kuriuos stebite. Pralaidumo skaičius iš paprasto maršrutizavimo testo mažai pasako apie įrenginį esant šifruotai ir formuotai apkrovai. Išbandykite abi kryptis, kelis reprezentatyvius klientus ir mažą interaktyvią užduotį šalia didelio perdavimo. Reagavimas esant apkrovai svarbesnis už didžiausią skaičių tuščioje linijoje.

Įtraukite išimtis į matavimą: srautą, kuris turėtų apeiti tunelį, abi adresų šeimas, jei abi dalyvauja, ir kas nutinka, kai tunelis neveikia. Politika, kuri elgiasi protingai tik tol, kol tunelis sveikas, yra pusė politikos.

Užrašykite specifikaciją trimis eilutėmis: srauto atitikimas, vykdymo taškas ir išmatuota apkrova. OpenVPN plius QoS nėra specifikacija.