OpenVPN trafika veidošana: kura saskarne to redz?

Veiciet četras pārbaudes: ko vēlaties ierobežot, kura pakete nes informāciju, kas to identificē, kuru saskarni veidotājs redz, un ko maršrutētājs iztur šifrēšanas laikā. Maršrutētāji tiek piegādāti gan ar OpenVPN lapu, gan ar joslas platuma lapu, un to līdzāspastāvēšana neko nepierāda par nevienu no tām. Secība ir svarīga, jo noteikums, kas rakstīts pret nepareizo paketi, nekad nesaskaņosies, lai cik pareizs būtu tā ātrums.

Sāciet ar mērķi: ierobežot vienu ierīci, godīgi sadalīt jaudu vai piešķirt prioritāti vienai lietotnei. Katram vajadzīga cita atbilstība.

Nosauciet mērķi pirms noteikuma

Ierīces ierobežojumam vajadzīga atbilstība šīs ierīces adresei, kas pastāv tikai tuneļa iekšienē. Godīgumam starp konkurējošām plūsmām vajadzīga rinda, ko visas dala, nevis noteikums katram resursdatoram. Lietotnes prioritātei vajadzīgs kaut kas, kas identificē lietotni, un tas ir grūtākais no trim pēc tam, kad šifrēšana noņem iekšējās galvenes no redzesloka. Mērķa pierakstīšana vispirms pasaka, kurš fakts jums vajadzīgs un kur to varētu iegūt.

Ierobežojums, kas darbojas tiešā WAN trafikā, nav pierādījums, ka tas pats resursdators ir pārklāts tuneļa iekšienē. Noteikums var saskaņoties ar adresi, kas nekad neparādās galvenē, kuru redz veidotājs.

Tuneļa iekšienē vai ārpusē

Ar maršrutētāja īpašumā esošu VPN klientu daudzas LAN plūsmas ceļo vienā šifrētā transportā. Pirms iekapsulēšanas maršrutētājs vēl redz iekšējo avotu un galamērķi, tāpēc šajā posmā pievienotā politika var klasificēt pēc ierīces. Pēc iekapsulēšanas parastais aprīkojums redz tikai ārējo savienojumu, un atbilstība VPN portam neko nepasaka par to, kura ierīce ir atbildīga. Šis viens fakts izlemj, kur noteikums pieder.

Platformas atšķiras ar to, kā tās to atklāj. Dažas piedāvā veidotāju, kas rindo un klasificē tuneļa saskarnē; citas ierobežotājus uzskata par saskarnes noteikumiem, kas uzvedas vienādi VPN un ne VPN trafikā; vēl citas dara abus ar atšķirīgām iespējām. Lasiet pašas programmaparatūras dokumentāciju par saskarni, kuru tā atbalsta, nevis kopējiet saskarnes nosaukumu no cita ražotāja rokasgrāmatas.

Nosakiet, kur adreses paliek pieejamas, kur notiek tulkošana un kura rinda faktiski kontrolē šaurumu.

Trīs politikas, trīs veidu pierādījumi

Ātruma ierobežojumu pierāda ilgstoša pārsūtīšana no ierobežotās ierīces, kamēr cita pārsūta tajā pašā laikā. Godīgu sadali pierāda divas plūsmas, kas sasniedz līdzīgus ātrumus, nevis viena badošanās, un tas ir cits mērījums. Lietotnes prioritāti pierāda interaktīva uzdevuma reaģētspēja lielas pārsūtīšanas laikā un pārbaude, vai klasifikators plūsmu vispār atpazina. Katrai politikai vajadzīgs savs novērojums, un nevienu nepierāda konfigurācijas lapa.

Klasifikācija pelna īpašu aizdomu. Atbilstība ārējam šifrētajam portam nevar atjaunot katras iekšējās lietotnes identitāti, tāpēc noteikums, kas šķietami piešķir prioritāti vienai lietotnei, praksē var piešķirt prioritāti visam no šī tuneļa. Lasiet noteikuma skaitītājus, nevis tā nodomu.

Mēriet šifrēto slodzi, nevis kailo

Veidošana, klasifikācija un šifrēšana sacenšas par vienu procesoru, un aparatūras paātrinājums var virzīt trafiku garām tieši tiem noteikumiem un skaitītājiem, kurus jūs vērojat. Caurlaidības skaitlis no vienkārša maršrutēšanas testa maz pasaka par ierīci šifrētas un veidotas slodzes apstākļos. Pārbaudiet abus virzienus, vairākus reprezentatīvus klientus un mazu interaktīvu uzdevumu lielās pārsūtīšanas laikā. Reaģētspēja slodzes apstākļos ir svarīgāka par maksimālo skaitli tukšā savienojumā.

Iekļaujiet mērījumā izņēmumus: trafiku, kam vajadzētu apiet tuneli, abas adrešu saimes, ja abas ir spēlē, un to, kas notiek, kad tunelis ir izslēgts. Politika, kas uzvedas saprātīgi tikai tad, kamēr tunelis ir vesels, ir puse politikas.

Uzrakstiet specifikāciju trīs rindās: trafika atbilstība, izpildes punkts un izmērītā slodze. OpenVPN plus QoS nav specifikācija.