Целосен тунел наспроти поделен тунел: четирите разлики
Етикетата одлучува каде излегува остатокот од сообраќајот на преносен сметач, а не колку е брз. Споредете излез, оптоварување, DNS и однесување при дефект пред да изберете.
Етикетите на тунелот опишуваат каде оди остатокот од сообраќајот на преносен сметач, а не колку брзо оди. Кај целосен тунел, јавните барања поминуваат низ VPN портата пред да излезат на интернет. Кај поделен тунел, приватните одредишта го користат тунелот, а сето друго оди по локалниот пат. Двете стигнуваат до внатрешната апликација, така што тестот за достапност што луѓето прв го прават не кажува ништо за тоа која политика е распоредена.
Наместо тоа проверете го излезот: која адреса ја пријавува јавна страница за ехо и кој решавач одговори.
Мит: поделениот тунел е само побрзата опција
Поделениот тунел често се продава како функција за перформанси и може да биде тоа, но тоа е несакана последица, а не дефиницијата. Дефиницијата е одлука за насочување за тоа кои одредишта влегуваат во тунелот. Разликата во брзината се појавува само кога директниот пат е навистина подобар од заобиколувањето низ канцеларијата. На преоптоварена домашна врска и слабо оптоварена порта, целосниот тунел може да биде побрз од двата.
Значи чесната рамка е за сопственоста и контролата на патот, а перформансите се нешто што се мери подоцна. Политика избрана заради брзина што тивко го преместува вашиот DNS и јавниот излез е избрана од погрешна причина.
Што всушност се менува: излезот
Кај целосен тунел, јавна веб-страница ја гледа излезната адреса на канцеларијата и филтрирањето на канцеларијата го гледа барањето. Кај поделен тунел, истата страница ја гледа домашната адреса на корисникот и канцеларијата не гледа ништо. Тоа се различни модели на видливост и ниту еден не е автоматски побезбеден. Корисното прашање е кој од нив организацијата навистина може да го работи.
Проверете го директно наместо да и верувате на значката Поврзано. Јавното ехо на адресата го покажува излезот, а тестот на решавачот покажува чиј DNS одговорил.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Што тогаш мора да носи портата
Порта што носи видео повици, преземања и приватни апликации има потреба од капацитет за сосема поинаков работен товар отколку порта што носи само внатрешни барања. Интернет-врската на локацијата носи и доаѓањето на корисникот и последователниот јавен излез, така што две врски можат да се заситат истовремено.
Локалниот излез го отстранува тој товар и заобиколувањето и не гарантира подобро искуство, бидејќи и директниот пат може да биде преоптоварен. Споредете ја вистинската апликација наместо да ја третирате етикетата за насочување како мерење на перформанси.
Постојат исклучоци под целосен тунел
Стандардната рута не е попис на секој пакет. Поопределени рути, дозволи за локална мрежа, исклучувања на апликации и одделни IPv6 правила сите поместуваат сообраќај, затоа политика опишана како целосен тунел сѐ уште може да протече. Документацијата на оперативниот систем за насочување ја прави таа разлика за присилните стандардни тунели, а списокот со исклучоци на клиентот е местото каде што излевањето обично живее. Проверете го однесувањето, не намерата.
IPv6 заслужува посебен поглед, бидејќи тунел што носи само IPv4 остава цел стек надвор од политиката.
DNS е одделна политика
Внатрешните имиња бараат решавач што ги познава, а тој решавач може да биде достапен само преку тунелот. Прелистувач со сопствен шифриран DNS може целосно да го заобиколи системскиот решавач, што создава поделба каде внатрешните имиња не успеваат, а јавните работат, или обратно.
Одлучете каде треба да одат пребарувањата, потоа усогласете ги клиентот и прелистувачот. Успешното јавно прелистување никогаш не го тестира внатрешното решавање имиња, затоа тоа е погрешен доказ кога интранет-страница ќе исчезне.
Напишете ја политиката за дефект, потоа тестирајте ја
Одлучете што се случува кога тунелот ќе падне: блокирајте сето, блокирајте само приватни ресурси или дозволете директни врски. Автоматското повторно поврзување не одговара на тоа прашање, а прекинувачот што покрива само интерфејсот на тунелот може да ги остави исклучените апликации слободно да зборуваат. Тестирајте вистинско исклучување и промена на мрежата, потоа прочитајте ја состојбата на клиентот, бидејќи документацијата го опишува предвиденото, а не инсталираното однесување.
Запишете ги приватните рути, јавниот излез, DNS-серверите, локалните исклучоци и однесувањето при дефект во една кратка белешка. Токму таа белешка ја прави политиката проверлива за некој што не ја напишал.