Membentuk trafik OpenVPN: antara muka mana yang melihatnya?

Lakukan empat semakan: apa yang ingin anda hadkan, paket mana yang membawa maklumat yang mengenal pastinya, antara muka mana yang dapat dilihat oleh pembentuk, dan apa yang ditanggung oleh penghala semasa menyulitkan. Penghala disertakan dengan halaman OpenVPN dan halaman lebar jalur, dan kewujudan bersama keduanya tidak membuktikan apa-apa tentang mana-mana satu. Urutan penting, kerana peraturan yang ditulis terhadap paket yang salah tidak akan pernah sepadan, walau betapa betulnya kadarnya.

Mulakan dengan matlamat: hadkan satu peranti, kongsi kapasiti secara adil, atau beri keutamaan kepada satu aplikasi. Setiap satu memerlukan padanan yang berbeza.

Namakan Matlamat Sebelum Peraturan

Had setiap peranti memerlukan padanan pada alamat peranti itu, yang hanya wujud di dalam terowong. Keadilan antara aliran yang bersaing memerlukan baris gilir yang dikongsi semua, bukan peraturan bagi setiap hos. Keutamaan aplikasi memerlukan sesuatu yang mengenal pasti aplikasi itu, yang paling sukar antara ketiga-tiganya apabila penyulitan mengeluarkan pengepala dalam daripada pandangan. Menulis matlamat terlebih dahulu memberitahu anda fakta mana yang diperlukan dan di mana anda mungkin memperolehnya.

Had yang berfungsi pada trafik WAN langsung bukan bukti bahawa hos yang sama dilindungi di dalam terowong. Peraturan itu mungkin sepadan dengan alamat yang tidak pernah muncul dalam pengepala yang dilihat oleh pembentuk.

Di Dalam Terowong atau di Luarnya

Dengan klien VPN milik penghala, banyak aliran LAN bergerak di dalam satu pengangkutan yang disulitkan. Sebelum enkapsulasi penghala masih melihat sumber dan destinasi dalam, jadi dasar yang dilampirkan pada peringkat itu boleh mengelaskan mengikut peranti. Selepas enkapsulasi, peralatan biasa hanya melihat sambungan luar, dan padanan pada port VPN tidak mengatakan apa-apa tentang peranti mana yang bertanggungjawab. Fakta tunggal itu menentukan di mana peraturan itu terletak.

Platform berbeza dalam cara mendedahkan perkara ini. Sesetengah menyediakan pembentuk yang menyusun baris gilir dan mengelaskan pada antara muka terowong; yang lain menganggap pengehad sebagai peraturan antara muka yang berkelakuan sama untuk trafik VPN dan bukan VPN; sesetengah melakukan kedua-duanya dengan keupayaan berbeza. Baca dokumentasi firmware itu sendiri untuk antara muka yang disokongnya dan bukannya menyalin nama antara muka daripada panduan vendor lain.

Kenal pasti di mana alamat kekal tersedia, di mana terjemahan berlaku dan baris gilir mana yang benar-benar mengawal kesesakan.

Tiga Dasar, Tiga Jenis Bukti

Had kadar dibuktikan dengan pemindahan berterusan dari peranti yang dihadkan sementara peranti lain memindahkan pada masa yang sama. Perkongsian adil dibuktikan dengan dua aliran mencapai kadar yang serupa dan bukannya satu kebuluran, yang merupakan ukuran berbeza. Keutamaan aplikasi dibuktikan dengan tugas interaktif yang kekal responsif semasa pemindahan besar, dan dengan memeriksa sama ada pengelas mengenali aliran itu sama sekali. Setiap dasar memerlukan pemerhatiannya sendiri, dan tiada satu pun dibuktikan oleh halaman konfigurasi.

Pengelasan patut disyaki secara khusus. Padanan pada port yang disulitkan luar tidak dapat memulihkan identiti setiap aplikasi dalam, jadi peraturan yang kelihatan mengutamakan satu aplikasi mungkin dalam amalan mengutamakan segala-galanya daripada terowong itu. Baca pembilang peraturan itu, bukan niatnya.

Ukur Beban yang Disulitkan, Bukan yang Telanjang

Pembentukan, pengelasan dan penyulitan bersaing untuk satu CPU, dan pecutan perkakasan boleh memindahkan trafik melepasi peraturan dan pembilang yang anda perhatikan. Angka daya pemprosesan daripada ujian penghalaan biasa tidak banyak bercakap tentang kotak di bawah beban yang disulitkan dan dibentuk. Uji kedua-dua arah, beberapa klien wakil, dan tugas interaktif kecil di samping pemindahan besar. Keresponsifan di bawah beban lebih penting daripada angka puncak pada pautan terbiar.

Sertakan pengecualian dalam pengukuran: trafik yang sepatutnya memintas terowong, kedua-dua keluarga alamat jika kedua-duanya terlibat, dan apa yang berlaku apabila terowong mati. Dasar yang berkelakuan wajar hanya selagi terowong sihat ialah separuh dasar.

Tulis spesifikasi sebagai tiga baris: padanan trafik, titik penguatkuasaan dan beban yang diukur. OpenVPN tambah QoS bukan spesifikasi.