Vienas tc formuotojas savarankiškai neapriboja kiekvieno VPN kliento

Nurodymas skamba išsamiai: apribok kiekvieną VPN klientą iki 20 Mbit/s. Bet jis ne išsamus, ir viena eilių disciplina tunelio sąsajoje to neužtikrins. „Vienam klientui“ gali reikšti vienam tunelio adresui, vienam įrenginiui ar vienai paskyrai, ir kiekvienas pasirinkimas paketus klasifikuoja kitaip. Prieš rašydamas bet kokią taisyklę, nuspręsk, kurį iš jų reikalavimas iš tiesų įvardija.

Visa, kas žemiau, susiję su atstumu tarp to sakinio ir kažko, kas veikia.

Ką pirmiausia turi reikšti „vienam klientui“

Tunelio adresą lengva klasifikuoti ir lengva perdirbti. Įrenginys sunkesnis, nes viena paskyra gali turėti kelis, o įrenginys gali turėti kelis adresus, ypač su IPv6. Sąžiningumo politikai paskyra yra prasmingiausias vienetas ir sunkiausiai pastebimas paketo antraštėje. Kiekvienas apibrėžimas numato savo skaičiavimo raktą, todėl politika, svyruojanti tarp jų, nedarys to, ką teigia aprašymas.

Kryptis yra antras trūkstamas žodis. Įkėlimas, atsisiuntimas ir bendras yra trys skirtingi reikalavimai, o viena išėjimo taisyklė vienoje sąsajoje retai apima abu kelius.

Pasirinkite tašką, kuriame klientas dar matomas

Kiekviena kryptis apibrėžiama sąsajos atžvilgiu. Tai, kas išeina iš serverio tunelio į tolimą klientą, laikoma atsisiuntimu tam klientui; tai, ką klientas siunčia, patenka į tunelį ir tada išeina link savo paskirties. Pasirinkite planavimo tašką kiekvienai krypčiai ir paklauskite, kokie laukai ten egzistuoja. Prieš šaltinio NAT įkėlimas dar neša vidinį kliento adresą; po vertimo paprastas šaltinio sutapimas gali jo nebeatpažinti.

Šifruotame kelyje antraštės priklauso VPN transportui, todėl filtras, lyginantis vidinius adresus, neturi ko lyginti. Projektas gali klasifikuoti anksčiau ir perduoti žymą vėlesniam planuotojui, bet tas perdavimas turi būti sąmoningas: paketų žymos, ryšio žymos ir planuotojo klasės yra skirtinga būsena, o ne viena perduodama reikšmė.

Kibirai neatsiranda savaime

Prie sąsajos prijungtas žetonų kibiras formuoja bet kokį srautą, kuris jį naudoja; jis nekuria naujo kibiro kiekvienam šaltinio adresui. Klasėmis pagrįstas projektas vietoj to rūšiuoja pasirinktą srautą į klases, filtrai sprendžia narystę, o HTB vadovas atskiria klasės spartą nuo jos lubų, kai tėvas turi laisvo pralaidumo. Jei tikslas yra kieta riba, nustatykite lubas ir sąmoningai nuspręskite skolinimosi elgseną; nelaikykite kiekvieno spartos skaičiaus absoliučiu maksimumu.

Kai reikalavimas yra vienam klientui, du vienu metu vykstantys perdavimai turėtų pasidalyti vieną kvotą. Duoti kiekvienam srautui visą spartą yra kita politika, ir ji išlieka bet kuriame teste, kuris stebi tik vieną atsisiuntimą.

Du įrenginiai, viena paskyra, viena kvota?

Dviejų įrenginių adresų atskiras ribojimas niekada nesudaro vienos paskyros lygio kvotos, net kai abu įrenginiai prisijungia kaip tas pats asmuo. Tas pats galioja visam LAN, verčiamam už vieno partnerio, arba papildomiems IPv6 adresams, kurių klasifikatorius niekada nesitikėjo. Palaikykite adreso ir tapatybės ryšį aktualų ir atminkite, kad stabilus adresas supaprastina žemėlapį, bet nepatvirtina jo savininko.

Apibrėžkite ir pliūpsnio bei eilės elgseną. Žetonų kibirai leidžia trumpus pliūpsnius virš vidurkio, o buferiavimas prideda delsą; pertekliaus policija ir jo atidėjimas vėlesniam laikui yra skirtingi sprendimai su skirtingais simptomais.

Norėdami patikrinti, paleiskite du perdavimus iš vieno kliento, pridėkite antrą klientą ir skaitykite klasių skaitiklius kiekviena kryptimi.