Tunel penuh berbanding tunel berpecah: empat perkara yang berbeza

Label tunel menerangkan ke mana baki trafik komputer riba pergi, bukan berapa pantas ia pergi. Dengan tunel penuh, permintaan awam melalui get laluan VPN sebelum keluar ke internet. Dengan tunel berpecah, destinasi peribadi menggunakan tunel dan semua yang lain mengambil laluan tempatan. Kedua-duanya sampai ke aplikasi dalaman, jadi ujian ketersampaian yang orang buat dahulu tidak mengatakan apa-apa tentang dasar mana yang digunakan.

Uji jalan keluar sebaliknya: alamat mana yang dilaporkan oleh halaman gema awam, dan penyelesai mana yang menjawab.

Mitos: tunel berpecah hanyalah pilihan yang lebih pantas

Tunel berpecah sering dijual sebagai ciri prestasi, dan ia boleh jadi begitu, tetapi itu kesan sampingan dan bukan definisinya. Definisinya ialah keputusan penghalaan tentang destinasi mana yang masuk ke dalam tunel. Perbezaan kelajuan hanya muncul apabila laluan langsung benar-benar lebih baik daripada lencongan melalui pejabat. Pada pautan rumah yang sesak dan get laluan yang ringan beban, tunel penuh boleh menjadi yang lebih pantas antara kedua-duanya.

Jadi rangka kerja yang jujur ialah tentang pemilikan dan kawalan laluan, dengan prestasi sebagai sesuatu yang diukur kemudian. Dasar yang dipilih demi kelajuan dan memindahkan DNS serta egress awam anda secara senyap telah dipilih atas sebab yang salah.

Apa yang sebenarnya berubah: jalan keluar

Di bawah tunel penuh, laman web awam melihat alamat keluar pejabat dan penapisan pejabat melihat permintaan itu. Di bawah tunel berpecah, laman yang sama melihat alamat rumah pengguna dan pejabat tidak melihat apa-apa. Itu model keterlihatan yang berbeza, dan tiada satu pun lebih selamat secara automatik. Soalan yang berguna ialah mana yang organisasi benar-benar boleh kendalikan.

Periksa secara langsung daripada mempercayai lencana Bersambung. Gema alamat awam menunjukkan jalan keluar, dan ujian penyelesai menunjukkan DNS siapa yang menjawab.

Apa yang get laluan kemudian perlu bawa

Get laluan yang membawa panggilan video, muat turun dan aplikasi peribadi memerlukan kapasiti untuk beban kerja yang sangat berbeza daripada yang hanya membawa permintaan dalaman. Sambungan internet tapak membawa kedua-dua ketibaan pengguna dan egress awam berikutnya, jadi dua pautan boleh tepu serentak.

Pecahan keluar tempatan menghapuskan beban dan lencongan itu, dan ia tidak menjamin pengalaman yang lebih baik, kerana laluan langsung juga boleh sesak. Bandingkan aplikasi sebenar daripada memperlakukan label penghalaan sebagai ukuran prestasi.

Terdapat pengecualian di bawah tunel penuh

Laluan lalai bukan inventori setiap paket. Laluan yang lebih khusus, kebenaran rangkaian tempatan, pengecualian aplikasi dan peraturan IPv6 berasingan semuanya menggerakkan trafik, itulah sebabnya dasar yang digambarkan sebagai tunel penuh masih boleh bocor. Dokumentasi penghalaan sistem pengendalian membuat perbezaan itu untuk lalai tunel paksa, dan senarai pengecualian klien ialah tempat kebocoran biasanya tinggal. Sahkan tingkah laku, bukan niat.

IPv6 wajar mendapat pandangan sendiri, kerana tunel yang hanya membawa IPv4 meninggalkan seluruh tindanan di luar dasar.

DNS ialah dasar yang berasingan

Nama dalaman memerlukan penyelesai yang mengenalinya, dan penyelesai itu mungkin hanya boleh dicapai melalui tunel. Pelayar dengan DNS tersulit sendiri boleh memintas penyelesai sistem sepenuhnya, yang menghasilkan perpecahan di mana nama dalaman gagal dan nama awam berfungsi, atau sebaliknya.

Tentukan ke mana carian harus pergi, kemudian selaraskan klien dan pelayar. Pelayaran awam yang berjaya tidak pernah menguji penyelesaian nama dalaman, jadi ia adalah bukti yang salah untuk dipetik apabila tapak intranet hilang.

Tulis dasar kegagalan, kemudian ujinya

Tentukan apa yang berlaku apabila tunel terputus: sekat semuanya, sekat sumber peribadi sahaja, atau benarkan sambungan langsung. Penyambungan semula automatik tidak menjawab soalan itu, dan suis bunuh yang hanya meliputi antara muka tunel boleh membiarkan aplikasi yang dikecualikan bercakap dengan bebas. Uji pemutusan sebenar dan perubahan rangkaian, kemudian baca keadaan klien, kerana dokumentasi menerangkan tingkah laku yang dimaksudkan dan bukan yang dipasang.

Catat laluan peribadi, jalan keluar awam, pelayan DNS, pengecualian tempatan dan tingkah laku kegagalan dalam satu nota ringkas. Nota itulah yang menjadikan dasar itu boleh disahkan oleh seseorang yang tidak menulisnya.