Niżel kbar kontra l-VPN: agħżel it-triq fit-talba

„Ibgħat in-niżel kbar madwar il-VPN u żomm it-tweġibiet żgħar fuqu“ jidher bħal politika ta' routing, u mhuwiex. Router jiddeċiedi bl-informazzjoni disponibbli f'dak il-mument: indirizzi, portijiet, protokoll, marki tal-firewall, fluss identifikat. Id-daqs finali ta' tweġiba mhuwiex f'dak is-sett, għax għadu ma wasalx, u meta r-router ikun jista' jkejjel il-bytes ikun diġà qed iġorrhom. Jekk trid tmexxi skont il-kompitu, id-deċiżjoni trid tinġieb f'punt li jaf il-kompitu, u l-lista ta' kontroll hawn taħt turi jekk id-disinn tiegħek għandux punt bħal dan.

Għaliex router ma jistax ikejjel tweġiba

Fil-mument li pakkett jeħtieġ rotta, ir-router ikun ra l-aktar l-ewwel pakketti ta' fluss. Jista' jgħid min qed jitkellem ma' min, b'liema protokoll, b'liema marka, u kemm bytes għaddew s'issa. Il-bytes s'issa jiddeskrivu l-passat. Id-daqs tat-tweġiba huwa proprjetà ta' tweġiba li għadha ma nħolqotx, u fi tweġibiet maqsuma jew fi streaming jista' qatt ma jkun magħruf bil-quddiem.

Anke l-metadata tal-protokoll innifsu hija dgħajfa aktar milli tidher. HTTP jippermetti tweġibiet li t-tul tagħhom ma jiġix imħabbar qabel il-ġisem, u azzjoni waħda tal-utent tista' tipproduċi bosta talbiet li l-ispiża magħquda tagħhom ma tixbah l-ebda valur ta' intestatura waħda. Li tittratta intestatura bħala d-daqs ta' kompitu huwa żball ta' mudellar qabel ma jkun żball ta' routing.

Verifika 1: hemm punt ta' deċiżjoni li jista' jagħżel triq?

Semmi l-komponent li se jagħmel l-għażla, imbagħad semmi x'taf fil-mument tal-għażla. Aġġornatur li jiġbed minn sett dokumentat ta' hosts jaf l-iskop tiegħu qabel ma jibda t-trasferiment. Servizz ta' niżel li jikkonsulta l-metadata u mbagħad jiftaħ it-talba jaf il-kompitu qabel ma teżisti l-konnessjoni. Proxy li jikkoopera jista' japplika politika fuq livell ta' talba jew jaħżen it-tweġiba fil-cache mingħajr ma joħroġ bħala router.

Jekk it-tweġiba hija „il-gateway“, il-lista ta' kontroll diġà fallew. Gateway jista' jikklassifika flussi magħrufa skont id-destinazzjoni, il-marka jew is-segment tal-klijent u jibgħathom fi triq definita mill-ewwel pakkett, li spiss tkun biżżejjed għal aġġornatur approvat u qatt mhi biżżejjed għal daqs ta' tweġiba mhux magħruf.

Verifika 2: x'jgħidu l-metadata tassew?

Id-direzzjoni konxja tal-applikazzjoni hija biss tajba daqs l-oqsma li taqra. Ir-regoli tat-tul tat-tweġiba fi is-semantika ta' HTTP jippermettu każijiet fejn it-tul ma jkunx disponibbli fil-bidu, u l-kodifikazzjonijiet tal-kontenut jagħmlu l-għadd ta' bytes trasferiti differenti mid-daqs tar-rappreżentazzjoni xorta waħda. Għalhekk politika li tibdel it-triq meta intestatura taqbeż limitu tidher liġi b'mod inkonsistenti, u l-aktar proprju fit-trasferimenti kbar li kellha taqbad.

Dak li l-metadata tal-applikazzjoni tista' tappoġġja hija deċiżjoni dwar kompitu: dan il-fluss tax-xogħol huwa sinkronizzazzjoni bil-massa, dan huwa interattiv, dan huwa aġġornament tas-software minn oriġini magħrufa. Din hija politika miktuba f'termini ta' intenzjoni, u hija stabbli biżżejjed biex tiġi ttestjata. „Din it-tweġiba se tkun akbar minn erbgħin megabyte“ mhijiex politika bħal dik.

Verifika 3: il-fluss diġà jeżisti?

Ir-routing jista' jinbidel għal fluss mingħajr ma tinbidel l-identità tal-konnessjoni, u din id-distinzjoni tajjeb li tinżamm dritta. Konnessjoni TCP hija identifikata bl-indirizzi u l-portijiet tat-truf tagħha, u l-pakketti jistgħu jieħdu triq oħra jekk it-tabella tar-routing tinbidel taħthom. Dak li ma jistax jinbidel b'mod inviżibbli huwa l-istat tat-traduzzjoni tal-indirizzi tan-netwerk: iċ-ċaqliq tat-traffiku għal ħruġ ieħor normalment ibiddel it-tuple tas-sors pubbliku, u t-tarf imbiegħed se jara sieħeb differenti mingħajr stat li jaqbel.

conntrack -L -p tcp --dport 443 | head -5
ip route get 203.0.113.10
ss -tn state established dst 203.0.113.10

Għalhekk ir-regola prattika hija li ċ-ċaqliq f'nofs il-konnessjoni minn ħruġ għal ieħor hija relazzjoni ġdida, mhux migrazzjoni. Jekk id-disinn jeħtieġ li l-istess konnessjoni tkompli, id-deċiżjoni kellha tittieħed qabel l-ewwel SYN, u l-ebda regola tal-pakketti miżjuda wara ma tista' terġa' tibniha b'mod nadif.

Verifika 4: il-ħtieġa vera hija l-latency, mhux il-ħruġ?

Ħafna talbiet biex „jintbagħat it-traffiku bil-massa band'oħra“ huma fil-verità ilmenti li trasferiment kbir iqiegħed ix-xogħol interattiv iħossu bil-mod. Dik hija problema ta' skedar, u għandha tweġiba ta' skedar: kju ġust jew politika tal-medda tal-frekwenza appoġġjata fuq it-triq eżistenti żżomm fluss bil-massa milli jġawwaħ messaġġ taċ-chat mingħajr ma ċċaqlaq l-ebda waħda minnhom.

tc qdisc replace dev eth0 root cake bandwidth 100mbit

L-indirizzar tas-sintomu b'dan il-mod iżomm id-deċiżjoni tal-ħruġ fejn poġġietha l-politika tas-sigurtà, u tinġieb lura b'kmand wieħed. Li tibdel il-ħruġ għal klassi sħiħa ta' traffiku hija bidla fil-politika b'konsegwenzi għall-awtentikazzjoni, ir-reġistrazzjoni u r-regoli tal-aċċess, għalhekk m'għandhiex tkun l-ewwel għodda għal ilment dwar il-latency.

Jekk il-ħtieġa hija tassew ħruġ tal-internet differenti, għidha b'dawk il-kliem u implimentaha fuq fruntiera appoġġjata: konnessjoni ġdida minn fluss tax-xogħol approvat, jew applikazzjoni li tiftaħ it-talba tagħha stess permezz ta' ħruġ magħżul. Imbagħad irreġistra liema kompiti jużaw liema ħruġ, biex il-persuna li jmiss ma jkollhiex tislet dan minn tabella tar-routing.

Żomm il-lista ta' kontroll fir-rekord tal-bidla: il-punt tad-deċiżjoni, il-qasam jew il-kompitu li jmexxiha, jekk il-fluss diġà jeżistix, u jekk is-sintomu mkejjel kienx latency jew ħruġ. Erba' mistoqsijiet, u politika li twieġeb l-erbgħa hija waħda li tista' topera minflok tiddefendi.