OpenVPN saspiešana: atteikties, tikai saņemt vai pilna LZO?
comp-lzo no nav stingrs atteikums. Salīdziniet saspiešanas atteikumu, vienvirziena pieņemšanu migrācijas laikā un tās saglabāšanu, pēc tam pārbaudiet, ko dara offload.
Trīs profila rindas izskatās tā, it kā visas izslēgtu saspiešanu, un tikai viena no tām to patiešām dara. Atšķirība ir svarīga, jo brīdinājums, ko vēlaties apklusināt, ir simptoms, bet politika izlemj, vai otra puse vēl var saspiest. Salīdzinot opcijas vienā asī, proti, ko katra pieļauj pēc izmaiņām, pazūd lielākā daļa neskaidrības. Kuru vēlaties, atkarīgs no tā, vai migrējat vai iekārtojaties.
Trīs politikas, kas konfigurācijas failā izskatās līdzīgas
Katra opcija atbild uz citu jautājumu. allow-compression no tūlīt noraida saspiestos datus, allow-compression asym atspiež to, kas ienāk, un nekad nesaspiež to, kas iziet, un vecā comp-lzo no atstāj vietu otras puses push iespējot saspiešanu. Tikai pirmā ir politika, ko serveris nevar apiet.
Pirms izvēles ierakstiet trīs tabulā, jo nosaukumi ir pietiekami tuvi, lai maldinātu recenzentu. Divas no tām joprojām izpilda atspiešanas kodu saņemtajos paketos, un tieši par to ir drošības arguments. Trešā noņem iespēju, nevis ierobežo tās virzienu. Ja izmaiņu ieraksts saka, ka saspiešana ir atslēgta, tieši viena rinda atbilst šim teikumam.
Brīdinājums, ar kuru sākās izmeklēšana, nav mērķis. Tā apklusināšana, atstājot atļaujošu politiku, dod tīru žurnālu un nemainītu pakļautību.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Ko no nozīmē vecajā LZO opcijā
Novecojušajā LZO opcijā no izslēdz saspiešanu vietējai pusei, bet neaizliedz otrai pusei to iespējot tur, kur politika to atļauj. Šīs asimetrijas dēļ profila pārcelšana uz stingru atteikumu maina uzvedību tā, kā viena servera laboratorijas tests var nekad neatklāt.
Drošības bažas ir nosacītas, nevis absolūtas. Kad uzbrucējs var novietot izvēlētu atklātu tekstu blakus noslēpumam un novērot, kā saspiešana maina šifrētās plūsmas lielumu, pastāv informācijas kanāls. Pāreja no LZO uz LZ4 maina algoritmu un iekapsulējumu, nevis šo mehānismu.
Tāpēc godīgais ietvars attiecas uz to, ko esat gatavs atļaut, nevis uz to, kurš algoritms pašlaik tiek ieteikts. Stingrs atteikums ir vienīgā opcija, kas nav atkarīga no otras puses sadarbības.
Tikai saņemšana ir migrācijas stāvoklis, nevis galamērķis
Asimetriska pieņemšana pastāv, lai viena puse varētu pārtraukt saspiest, kamēr otra to vēl gaida. Tas ir tilts, un tiltiem vajag beigu datumu un īpašnieku. Pierakstiet, kuri partneri vēl sūta saspiestu plūsmu, jo politika atļauj tieši šādu plūsmu. Bez šī saraksta migrācijas stāvoklis inerces dēļ kļūst par pastāvīgu konfigurāciju.
Klients nevar piespiest nesaderīgu serveri atteikties no vecā iekapsulējuma, rediģējot savu failu. Push virziens tiek izlemts serverī, tāpēc migrācija patiesībā beidzas servera konfigurācijā un tā failos katram klientam.
Stub režīmi saglabā iekapsulējumu, bet izlaiž pašu saspiešanas darbu, un tie nav tiešs vecākās opcijas ekvivalents. Pirms izvēlaties vienu, pārbaudiet tos pret vecāko partneri, kas jums vēl jāatbalsta.
Kur datu kanāla offload maina atbildi
Datu kanāla offload pārvieto pakešu apstrādi kodolā, un profils, kas vēl ir atkarīgs no saspiešanas iekapsulējuma, var neiederēties šajā ceļā. Kļūme ne vienmēr ir skaļa: klients pievienojas un pēc tam uzvedas citādi nekā tunelis, ko pārbaudījāt.
Pārbaudiet, kura implementācija ir aktīva pirms un pēc izmaiņām, ne tikai to, vai savienojums izdodas. Kad offload ceļš noraida saspiešanas iekapsulējumu, stingra atteikuma politika un izvietojums ar offload saskan, bet atļaujoša politika un izvietojums ar offload nesaskan.
Šī kombinācija ir pelnījusi savu testu, jo tieši tur pareizi izskatošais fails klusībā nav tas, kas tiek izmantots. Salīdziniet sarunoto stāvokli ar profilā fiksēto nodomu, jo žurnālā redzams tikai viens no abiem.
Izvēlieties politiku un pēc tam pārbaudiet sarunoto rezultātu
Izvēlieties stingru atteikumu, kad varat mainīt abus galus, asimetrisku pieņemšanu, kad vēl nevarat, un pilnu saspiešanu tikai tad, kad varat paskaidrot, kāpēc pakļautība ir pieņemama. Pēc tam pārbaudiet, par ko vienojāties, nevis ko saka fails. Klusāks žurnāls ir pierādījums tikai tad, kad atbilst politikai, ko bijāt iecerējis ieviest.
Turiet lēmumu blakus profilam, uz kuru tas attiecas, kopā ar datumu un partneriem, kas vēl ir atbrīvoti. Pēc pusgada šis ieraksts ir atšķirība starp apzinātu izņēmumu un negadījumu, kuru neviens nevar datēt. Rakstiet to tajā pašā repozitorijā kā profilu, lai nākamais redaktors redzētu iemeslu pirms norādes.