Обликување на OpenVPN сообраќајот: кој интерфејс го гледа?

Поминете четири проверки: што сакате да ограничите, кој пакет ја носи информацијата што го идентификува, кој интерфејс го гледа обликувачот и што издржува рутерот додека шифрира. Рутерите се испорачуваат и со страница за OpenVPN и со страница за пропусен опсег, а нивното заедничко постоење не докажува ништо за ниту една од нив. Редоследот е важен, бидејќи правило напишано против погрешен пакет никогаш не се совпаѓа, колку и да е точна неговата брзина.

Започнете со целта: ограничување на еден уред, фер споделување на капацитетот или приоритет на една апликација. Секоја бара различно совпаѓање.

Именувајте ја целта пред правилото

Ограничувањето по уред бара совпаѓање со адресата на тој уред, која постои само внатре во тунелот. Ферноста меѓу конкурентните текови бара ред што сите го делат, а не правило по домаќин. Приоритетот на апликацијата бара нешто што ја идентификува апликацијата, најтешкото од трите откако шифрирањето ќе ги отстрани внатрешните заглавија од вид. Запишувањето на целта прво ви кажува кој факт ви е потребен и каде би можеле да го добиете.

Ограничувањето што работи на директен WAN сообраќај не е доказ дека истиот домаќин е покриен внатре во тунелот. Правилото може да се совпаѓа со адреса што никогаш не се појавува во заглавието што го гледа обликувачот.

Внатре во тунелот или надвор од него

Со VPN клиент што го поседува рутерот, многу LAN текови патуваат внатре во еден шифриран транспорт. Пред инкапсулацијата рутерот уште ги гледа внатрешниот извор и одредиштето, па политиката прикачена во тој степен може да класифицира по уред. По инкапсулацијата обичната опрема гледа само надворешната врска, а совпаѓањето на VPN портата не кажува ништо за тоа кој уред е одговорен. Тој еден факт одлучува каде припаѓа правилото.

Платформите се разликуваат во тоа како го изложуваат ова. Некои нудат обликувач што става во ред и класифицира на интерфејс на тунел; други ги третираат ограничувачите како правила на интерфејс што се однесуваат исто за VPN и не-VPN сообраќај; некои го прават и двете со различни можности. Читајте ја сопствената документација на фирмверот за интерфејсот што го поддржува, наместо да копирате име на интерфејс од водич на друг производител.

Утврдете каде адресите остануваат достапни, каде се случува преводот и кој ред всушност го контролира тесното грло.

Три политики, три вида докази

Ограничувањето на брзината се докажува со постојан пренос од ограничениот уред додека друг пренесува во исто време. Ферната поделба се докажува со два тека што постигнуваат слични брзини наместо едниот да гладува, што е различно мерење. Приоритетот на апликацијата се докажува со интерактивна задача што останува одзивна за време на масовен пренос и со проверка дали класификаторот воопшто го препознал текот. Секоја политика бара свое набљудување и ниту една не се докажува со страница за конфигурација.

Класификацијата заслужува посебно сомневање. Совпаѓањето на надворешната шифрирана порта не може да го врати идентитетот на секоја внатрешна апликација, па правилото што изгледа дека дава приоритет на една апликација во практика може да дава приоритет на сето она од тој тунел. Читајте ги бројачите на правилото, а не неговата намера.

Мерете го шифрираното оптоварување, а не голото

Обликувањето, класификацијата и шифрирањето се натпреваруваат за еден процесор, а хардверското забрзување може да го пренесе сообраќајот покрај токму тие правила и бројачи што ги набљудувате. Бројката за пропусност од едноставен тест за рутирање кажува малку за кутијата под шифрирано и обликувано оптоварување. Тестирајте ги двата правци, неколку репрезентативни клиенти и мала интерактивна задача покрај масовниот пренос. Одзивноста под оптоварување е поважна од максималната бројка на неактивна врска.

Вклучете ги исклучоците во мерењето: сообраќајот што треба да го заобиколи тунелот, двете семејства адреси ако двете се во игра, и што се случува кога тунелот е исклучен. Политика што се однесува разумно само додека тунелот е здрав е половина политика.

Напишете ја спецификацијата како три реда: совпаѓањето на сообраќајот, точката на примена и измереното оптоварување. OpenVPN плус QoS не е спецификација.