Adakah terowong penuh lebih mudah daripada senarai terowong berpecah yang panjang?

Senarai terowong berpecah bermula dengan tiga aplikasi dan akhirnya meliputi sebahagian besar mesin, dan setiap baris baharu ialah pengecualian seseorang. Pada ketika itu senarai itu telah senyap-senyap menjadi lalai dengan langkah tambahan. Terowong penuh membalikkan susunannya: semuanya masuk ke terowong melainkan pengecualian yang didokumenkan mengatakan sebaliknya. Sama ada itu lebih mudah bergantung pada gateway dan pada perkhidmatan setempat yang akan anda rosakkan.

Mulakan dengan mengira peraturan yang anda selenggarakan

Kira entri, kemudian kira berapa banyak yang mempunyai pemilik bernama dan tarikh pengesahan terakhir. Nombor kedua itulah yang penting, kerana pengecualian yang tiada pemilik tidak boleh dinilai apabila perisian yang dirujuknya dinamakan semula atau diganti. Peraturan yang terikat pada laluan fail boleh laku gagal secara senyap selepas kemas kini, dan kegagalan itu kelihatan seperti VPN tidak stabil dan bukan seperti peraturan lapuk. Tulis senarai itu sebelum anda mempunyai pendapat tentangnya.

Setiap entri harus menjawab tiga soalan: apa yang rosak tanpanya, siapa yang memutuskannya, dan bagaimana anda akan perasan jika alasannya sudah luput. Entri yang tidak dapat menjawab ketiga-tiganya ialah calon untuk dipadam dan bukan dimigrasikan, dan memadamnya dahulu menjadikan perbandingan kemudian jujur.

Jika kebanyakan entri menghalakan bahagian besar trafik, anda sudah menjalankan terowong penuh dengan beban penyelenggaraan terlekat. Keputusannya kemudian ialah di mana lalai itu tinggal, bukan sama ada ia patut ada.

Periksa sama ada gateway mampu memikul lalai itu

Terowong penuh memindahkan setiap paket ke satu peranti, yang mengubah serentak beban CPU peranti itu, jadual conntrack, terjemahan alamat dan keperluan lebar jalur huluan. Gateway yang dahulunya selesa melayani beberapa subrangkaian dalaman mungkin tidak direka untuk seluruh pelayaran seorang pengguna. Lihat bilangan sesi serentak terbesar yang anda jangkakan, bukan purata, kerana puncak itulah yang pecah dahulu.

ip -s link show dev tun0
conntrack -C
ss -s

Ukur beban kerja yang sama sebelum dan selepas perubahan, bukan membuat penaakulan daripada spesifikasi. Satu petang penggunaan biasa pada satu mesin akan menunjukkan sama ada gateway hampir dengan had, dan itu tidak menelan kos berbanding menemuinya pada pagi Isnin.

Periksa juga MTU laluan dari hujung ke hujung, kerana lalai penuh mendedahkan setiap aplikasi kepada saiz paket maksimum terowong. Aplikasi yang berfungsi di luar terowong kini mungkin bergantung pada tingkah laku pemecahan yang tidak pernah perlu anda pertimbangkan.

Sahkan perkhidmatan setempat dan DNS peribadi masih berfungsi

Senaraikan apa yang mesti kekal setempat mengikut protokol dan bukan mengikut nama aplikasi: protokol penemuan untuk pencetak dan paparan, jambatan rumah pintar, halaman pengurusan penghala, pelayan pembangunan setempat yang dicapai melalui nama yang hanya diselesaikan pada LAN. Semua ini rosak apabila laluan lalai mula menunjuk ke dalam terowong, dan ia rosak secara senyap kerana tiada apa-apa merekodkan ralat pada klien.

DNS peribadi ialah kebergantungan yang lain. Jika nama dalaman dahulunya diselesaikan oleh penyelesai terowong, tiada apa berubah; jika ia diselesaikan secara setempat, lalai penuh mesti membawanya kepada penyelesai yang mengenali zon. Uji satu nama dalaman dan satu nama awam selepas perubahan, bukan menganggap senarai penyelesai itu bertahan.

Tulis pengecualian setempat ke dalam profil yang memilikinya. Pengecualian yang disimpan hanya dalam ingatan seseorang ialah perkara pertama yang hilang dalam migrasi seterusnya.

Migrasikan satu profil dan sahkan sempadannya

Ubahlah profil melalui konfigurasinya sendiri dan bukan menindih lalai baharu di atas laluan manual yang ditinggalkan oleh eksperimen terdahulu. Laluan sisa itulah punca biasa migrasi yang kelihatan berfungsi dan berkelakuan tidak konsisten sehari kemudian. Simpan profil lama tersedia supaya pengunduran ialah pilihan, bukan pembinaan semula.

Kemudian sahkan dua sempadan secara berasingan: bahawa destinasi awam dan peribadi kedua-duanya berfungsi, dan bahawa trafik yang tidak diingini tidak keluar di luar terowong. Pemuatan halaman yang berjaya membuktikan yang pertama dan tidak berkata apa-apa tentang yang kedua.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Ulang pemeriksaan selepas menyambung semula dan selepas gangguan, kerana suis yang menyekat trafik semasa gangguan ialah sifat berbeza daripada laluan yang pulih dengan betul selepas itu. Reka bentuk yang lebih mudah ialah reka bentuk yang liputan sebenarnya masih boleh anda jelaskan selepas aplikasi atau rangkaian berubah.