Еден tc обликувач сам по себе не го ограничува секој VPN клиент

Упатството звучи целосно: ограничи го секој VPN клиент на 20 Mbit/s. Но не е целосно, и една дисциплина на редица на интерфејсот на тунелот нема да го обезбеди тоа. „По клиент“ може да значи по адреса на тунел, по уред или по сметка, и секој избор ги класифицира пакетите поинаку. Пред да напишеш било какво правило, одлучи кое од нив навистина го именува барањето.

Сето подолу се однесува на растојанието помеѓу таа реченица и нешто што функционира.

Што прво мора да значи „по клиент“

Адресата на тунелот е лесна за класификација и лесна за рециклирање. Уредот е потежок, бидејќи една сметка може да носи неколку, а уредот може да има неколку адреси, особено со IPv6. За политика на правичност сметката е најзначајната единица и најтешко се забележува во заглавието на пакетот. Секоја дефиниција подразбира свој клуч за броење, па политика што лебди меѓу нив нема да го направи тоа што го тврди описот.

Насоката е вториот збор што недостасува. Качување, преземање и комбинирано се три различни барања, а едно излезно правило на еден интерфејс ретко ги покрива двата патишта.

Избери точка каде клиентот сѐ уште е видлив

Секоја насока се дефинира во однос на интерфејс. Она што излегува од тунелот на серверот кон далечен клиент се смета за преземање за тој клиент; она што клиентот го испраќа влегува во тунелот и потоа излегува кон својата дестинација. Избери точка за закажување за секоја насока и прашај кои полиња постојат таму. Пред изворниот NAT, качувањето сѐ уште ја носи внатрешната адреса на клиентот; по преводот, едноставно совпаѓање на изворот може веќе да не го идентификува.

На шифрираниот пат заглавијата и припаѓаат на VPN транспортот, па филтерот што совпаѓа внатрешни адреси нема што да совпадне. Дизајнот може да класифицира порано и да пренесе ознака на подоцнежен закажувач, но тоа предавање мора да биде намерно: ознаките на пакетот, ознаките на врската и класите на закажувачот се различно состојба, а не една вредност пренесена понатаму.

Кофите не се појавуваат сами

Кофа со токени прикачена на интерфејс го обликува секој сообраќај што ја користи; таа не кова нова кофа за секоја изворна адреса. Дизајнот заснован на класи наместо тоа го распоредува избраниот сообраќај во класи, филтрите одлучуваат за членство, а прирачникот на HTB ја одделува стапката на класата од нејзиниот таван кога родителот има слободен пропусен опсег. Ако намерата е тврд таван, постави го таванот и намерно одлучи го однесувањето на позајмување; не третирај ја секоја бројка за стапка како апсолутен максимум.

Кога барањето е по клиент, два преноса што течат истовремено треба да поделат една квота. Да се даде на секој тек целосната стапка е друга политика, и таа опстанува на секој тест што гледа само едно преземање.

Два уреда, една сметка, една квота?

Ограничувањето на две адреси на уреди одделно никогаш не се собира во една квота на ниво на сметка, дури и кога двата уреда се најавуваат како исто лице. Истото важи за цела LAN преведена зад еден партнер, или за дополнителни IPv6 адреси што класификаторот никогаш не ги очекувал. Одржувај ја врската адреса–идентитет ажурна и запомни дека стабилната адреса ја поедноставува картата без да го автентикува нејзиниот сопственик.

Дефинирај го и однесувањето на изблик и редица. Кофите со токени дозволуваат кратки изблици над просекот, а баферирањето додава доцнење; полицирањето на вишокот и неговото ставање во редица за подоцна се различни одлуки со различни симптоми.

За проверка, пушти два преноса од еден клиент, додај втор клиент и читај ги бројачите на класи во секоја насока.