Дали целосниот тунел е поедноставен од долга листа на поделен тунел?

Листата на поделен тунел започнува со три апликации и завршува покривајќи го најголемиот дел од машината, а секој нов ред е нечиј исклучок. Во тој момент листата тивко станала стандардно поставување со дополнителни чекори. Целосниот тунел го превртува распоредот: сѐ влегува во тунелот освен ако документиран исклучок не каже поинаку. Дали тоа е поедноставно зависи од порталот и од локалните услуги што би ги скршиле.

Започнете со броење на правилата што ги одржувате

Избројте ги записите, потоа избројте колку од нив имаат именуван сопственик и датум на последна проверка. Вториот број е важниот, бидејќи исклучок што никој не го поседува не може да се оцени кога софтверот на кој се однесува ќе биде преименуван или заменет. Правилата врзани за патека на извршна датотека тивко престануваат да работат по ажурирање, а дефектот изгледа како нестабилен VPN, а не како застарено правило. Запишете ја листата пред да имате мислење за неа.

Секој запис треба да одговори на три прашања: што се крши без него, кој го одлучил тоа и како би забележале дека причината истекла. Записите што не можат да одговорат на сите три се кандидати за бришење, а не за преместување, а нивното прво бришење ја прави подоцнежната споредба искрена.

Ако повеќето записи насочуваат голем дел од сообраќајот, веќе управувате со целосен тунел со придодаден товар за одржување. Одлуката тогаш е каде живее стандардното поставување, а не дали треба да постои.

Проверете дали порталот може да го носи стандардното поставување

Целосниот тунел го преместува секој пакет на еден уред, што истовремено го менува оптоварувањето на процесорот на тој уред, табелата conntrack, преводот на адреси и барањето за излезна пропусна моќ. Порта што удобно опслужувала неколку внатрешни подмрежи можеби не била димензионирана за целото прелистување на корисникот. Гледајте го најголемиот број истовремени сесии што го очекувате, а не просекот, бидејќи врвот прв се крши.

ip -s link show dev tun0
conntrack -C
ss -s

Измерете го истото работно оптоварување пред и по промената наместо да заклучувате од спецификации. Едно попладне обична употреба на една машина ќе покаже дали портата е близу до граница, и тоа не чини ништо во споредба со откривањето во понеделник наутро.

Проверете и MTU на патеката од крај до крај, бидејќи целосното стандардно поставување ја изложува секоја апликација на максималната големина на пакет на тунелот. Апликациите што работеа надвор од тунелот сега може да зависат од однесување при фрагментација за кое никогаш не сте морале да размислувате.

Потврдете дека локалните услуги и приватниот DNS сѐ уште работат

Набројте што мора да остане локално по протокол, а не по име на апликација: протоколи за откривање за печатачи и екрани, мост за паметен дом, страница за управување со рутер, локален сервер за развој достапен преку име што се разрешува само на LAN. Овие се кршат кога стандардната рута почнува да покажува во тунел, и се кршат тивко зашто ништо не запишува грешка кај клиентот.

Приватниот DNS е другата зависност. Ако внатрешните имиња претходно се разрешуваа преку резолверот на тунелот, ништо не се менува; ако се разрешуваа локално, целосното стандардно поставување мора да ги носи до резолвер што ги знае зоните. По промената тестирајте едно внатрешно и едно јавно име, наместо да претпоставите дека листата на резолвери преживеала.

Запишете ги локалните исклучоци во профилот што ги поседува. Исклучок што се чува само во нечие сеќавање е првото нешто што го губи следното преместување.

Преместете еден профил и проверете ги границите

Променете го профилот преку неговата сопствена конфигурација наместо да наредите ново стандардно поставување врз рачни рути оставени од претходни експерименти. Токму тие преостанати рути се вообичаената причина за преместување што изгледа дека работи и ден подоцна се однесува неконзистентно. Држете го стариот профил достапен за враќањето да биде избор, а не повторна изградба.

Потоа проверете две граници одделно: дека јавните и приватните одредишта работат и двете, и дека несаканиот сообраќај не излегува надвор од тунелот. Успешното вчитување страница го докажува првото и не кажува ништо за второто.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Повторете ја проверката по повторно поврзување и по прекин, бидејќи прекинувач што блокира сообраќај за време на пад е друго својство од рута што потоа правилно се обновува. Поедноставниот дизајн е оној чија вистинска покриеност сѐ уште можете да ја објасните откако апликација или мрежа ќе се промени.