Pilns tunelis pret sadalītu tuneli: četras atšķirības

Tuneļa etiķetes apraksta, kur iet pārējā klēpjdatora trafika, nevis cik ātri tā iet. Pilnā tunelī publiskie pieprasījumi iet caur VPN vārteju, pirms tie iziet internetā. Sadalītā tunelī privātie galamērķi izmanto tuneli, un viss pārējais iet pa vietējo ceļu. Abi sasniedz iekšējo lietojumprogrammu, tāpēc sasniedzamības tests, ko cilvēki veic pirmo, neko nepasaka par to, kāda politika ir izvietota.

Tā vietā pārbaudiet izeju: kādu adresi ziņo publiska atbalss lapa un kurš atrisinātājs atbildēja.

Mīts: sadalīts tunelis ir vienkārši ātrākais variants

Sadalīts tunelis bieži tiek pārdots kā veiktspējas funkcija, un tas var būt, taču tas ir blakusefekts, nevis definīcija. Definīcija ir maršrutēšanas lēmums par to, kuri galamērķi nonāk tunelī. Ātruma atšķirība parādās tikai tad, kad tiešais ceļš patiešām ir labāks par apkārtceļu caur biroju. Pārslogotā mājas līnijā un viegli noslogotā vārtejā pilns tunelis var būt ātrākais no abiem.

Tātad godīgais ietvars ir par ceļa īpašumtiesībām un kontroli, un veiktspēja ir kaut kas tāds, ko mēra pēc tam. Politika, kas izvēlēta ātruma dēļ un klusi pārvieto jūsu DNS un publisko izeju, ir izvēlēta nepareiza iemesla dēļ.

Kas patiešām mainās: izeja

Pilnā tunelī publiska vietne redz biroja izejas adresi, un biroja filtrēšana redz pieprasījumu. Sadalītā tunelī tā pati vietne redz lietotāja mājas adresi, un birojs neredz neko. Tie ir dažādi redzamības modeļi, un neviens nav automātiski drošāks. Noderīgais jautājums ir, kuru organizācija patiešām var pārvaldīt.

Pārbaudiet to tieši, nevis paļaujoties uz žetona Savienots. Publiska adreses atbalss parāda izeju, un atrisinātāja tests parāda, kura DNS atbildēja.

Kas tad vārtejai jānes

Vārtejai, kas nes videozvanus, lejupielādes un privātas lietojumprogrammas, ir vajadzīga jauda pavisam citai darba slodzei nekā tai, kas nes tikai iekšējos pieprasījumus. Vietnes interneta savienojums nes gan lietotāja ierašanos, gan turpmāko publisko izeju, tāpēc divas līnijas var piesātināties vienlaikus.

Vietējā izeja novērš šo slodzi un apkārtceļu, un tā negarantē labāku pieredzi, jo arī tiešais ceļš var būt pārslogots. Salīdziniet faktisko lietojumprogrammu, nevis uzskatiet maršrutēšanas etiķeti par veiktspējas mērījumu.

Pilnā tunelī pastāv izņēmumi

Noklusējuma maršruts nav katra paketes uzskaite. Konkrētāki maršruti, vietējā tīkla atļaujas, lietojumprogrammu izņēmumi un atsevišķi IPv6 noteikumi visi pārvieto trafiku, tāpēc politika, kas aprakstīta kā pilns tunelis, joprojām var noplūst. Operētājsistēmas maršrutēšanas dokumentācija izdara šo atšķirību piespiedu tuneļa noklusējumiem, un klienta izņēmumu saraksts ir vieta, kur noplūde parasti dzīvo. Pārbaudiet uzvedību, nevis nodomu.

IPv6 ir pelnījis atsevišķu skatienu, jo tunelis, kas nes tikai IPv4, atstāj visu steku ārpus politikas.

DNS ir atsevišķa politika

Iekšējiem nosaukumiem ir vajadzīgs atrisinātājs, kas tos pazīst, un šis atrisinātājs var būt pieejams tikai caur tuneli. Pārlūks ar savu šifrēto DNS var pilnībā apiet sistēmas atrisinātāju, kas rada sadalījumu, kur iekšējie nosaukumi neizdodas un publiskie darbojas, vai otrādi.

Izlemiet, kur jāiet meklējumiem, un tad saskaņojiet klientu un pārlūku. Veiksmīga publiska pārlūkošana nekad nepārbauda iekšējo nosaukumu atrisināšanu, tāpēc tas ir nepareizais pierādījums, kad intraneta vietne pazūd.

Uzrakstiet kļūmes politiku un pēc tam pārbaudiet to

Izlemiet, kas notiek, kad tunelis nokrīt: bloķēt visu, bloķēt tikai privātos resursus vai atļaut tiešus savienojumus. Automātiska atkārtota savienošana neatbild uz šo jautājumu, un drošības slēdzis, kas aptver tikai tuneļa saskarni, var ļaut izslēgtajām lietojumprogrammām brīvi runāt. Pārbaudiet reālu atvienošanu un tīkla maiņu, un pēc tam nolasiet klienta stāvokli, jo dokumentācija apraksta paredzēto, nevis instalēto uzvedību.

Pierakstiet privātos maršrutus, publisko izeju, DNS serverus, vietējos izņēmumus un kļūmes uzvedību vienā īsā piezīmē. Tieši šī piezīme padara politiku pārbaudāmu kādam, kas to nav rakstījis.