Satu pembentuk tc tidak mengehadkan setiap klien VPN dengan sendirinya

Arahan itu kedengaran lengkap: hadkan setiap klien VPN kepada 20 Mbit/s. Ia tidak lengkap, dan satu disiplin baris gilir pada antara muka tunnel tidak akan menyampaikannya. Bagi setiap klien boleh bermaksud bagi setiap alamat tunnel, bagi setiap peranti atau bagi setiap akaun, dan setiap pilihan mengelaskan paket secara berbeza. Sebelum menulis apa-apa peraturan, tentukan yang mana sebenarnya disebut oleh keperluan itu.

Semua di bawah ini berkaitan jarak antara ayat itu dan sesuatu yang berfungsi.

Apa yang mesti dimaksudkan «bagi setiap klien» dahulu

Alamat tunnel mudah dikelaskan dan mudah dikitar semula. Peranti lebih sukar, kerana satu akaun boleh membawa beberapa, dan satu peranti boleh memegang beberapa alamat, terutamanya dengan IPv6. Bagi dasar keadilan, akaun ialah unit paling bermakna, dan paling sukar dikesan dalam pengepala paket. Setiap definisi membawa kunci pengiraannya sendiri, jadi dasar yang hanyut antara satu sama lain tidak akan melakukan apa yang didakwa oleh penerangan.

Arah ialah perkataan kedua yang hilang. Muat naik, muat turun dan gabungan ialah tiga keperluan berbeza, dan satu peraturan keluar pada satu antara muka jarang meliputi kedua-dua laluan.

Pilih titik di mana klien masih kelihatan

Setiap arah ditakrifkan terhadap sesuatu antara muka. Apa yang meninggalkan tunnel pelayan menuju klien jauh dikira sebagai muat turun bagi klien itu; apa yang klien hantar masuk ke tunnel dan kemudian keluar menuju destinasinya. Pilih titik penjadualan bagi setiap arah dan tanya medan apa yang wujud di sana. Sebelum NAT sumber, muat naik masih membawa alamat dalaman klien; selepas penterjemahan, padanan sumber yang mudah mungkin tidak lagi mengenal pastinya.

Pada laluan yang disulitkan, pengepala milik pengangkutan VPN, jadi penapis yang memadankan alamat dalaman tiada apa untuk dipadankan. Sesuatu reka bentuk boleh mengelaskan lebih awal dan menyerahkan tanda kepada penjadual kemudian, tetapi penyerahan itu mesti disengajakan: tanda paket, tanda sambungan dan kelas penjadual ialah keadaan yang berbeza, bukan satu nilai yang dihantar ke hadapan.

Baldi tidak muncul dengan sendirinya

Baldi token yang dipasang pada antara muka membentuk apa-apa trafik yang menggunakannya; ia tidak mencetak baldi baharu bagi setiap alamat sumber. Reka bentuk berasaskan kelas sebaliknya menyusun trafik terpilih ke dalam kelas, penapis menentukan keahlian, dan manual HTB memisahkan kadar kelas daripada silingnya apabila induk mempunyai lebar jalur lebihan. Jika niatnya had keras, tetapkan siling dan putuskan tingkah laku pinjaman dengan sengaja; jangan anggap setiap angka kadar sebagai maksimum mutlak.

Apabila keperluan adalah bagi setiap klien, dua pemindahan yang berjalan serentak sepatutnya berkongsi satu peruntukan. Memberi setiap aliran kadar penuh ialah dasar lain, dan ia bertahan dalam apa-apa ujian yang hanya memerhati satu muat turun.

Dua peranti, satu akaun, satu peruntukan?

Menghadkan dua alamat peranti secara berasingan tidak pernah berjumlah menjadi satu peruntukan peringkat akaun, walaupun kedua-dua peranti log masuk sebagai orang yang sama. Perkara sama berlaku kepada seluruh LAN yang diterjemah di belakang satu rakan, atau alamat IPv6 tambahan yang tidak pernah dijangka oleh pengelaskan. Kekalkan perkaitan alamat dengan identiti, dan ingat bahawa alamat yang stabil memudahkan peta tanpa mengesahkan pemiliknya.

Takrifkan juga tingkah laku pecahan dan baris gilir. Baldi token membenarkan pecahan pendek melebihi purata, dan penampanan menambah kelewatan; memolisikan lebihan dan memasukkan ke baris gilir untuk kemudian ialah keputusan berbeza dengan gejala berbeza.

Untuk pengesahan, jalankan dua pemindahan dari satu klien, tambah klien kedua, dan baca pembilang kelas pada setiap arah.