Volledige tunnel versus gesplitste tunnel: de vier verschillen

Tunnellabels beschrijven waar de rest van het verkeer van een laptop naartoe gaat, niet hoe snel het gaat. Met een volledige tunnel gaan openbare verzoeken via de VPN-gateway voordat ze naar het internet vertrekken. Met een gesplitste tunnel gebruiken privébestemmingen de tunnel en al het andere neemt het lokale pad. Beide bereiken de interne applicatie, dus de bereikbaarheidstest die mensen eerst doen, zegt niets over welk beleid is uitgerold.

Test in plaats daarvan de uitgang: welk adres een openbare echopagina meldt, en welke resolver heeft geantwoord.

Mythe: gesplitste tunnel is gewoon de snellere optie

Gesplitste tunnel wordt vaak verkocht als een prestatiekenmerk, en dat kan het zijn, maar dat is een bijeffect en niet de definitie. De definitie is een routingbeslissing over welke bestemmingen de tunnel in gaan. Het snelheidsverschil verschijnt alleen wanneer het directe pad echt beter is dan de omweg via het kantoor. Op een overbelaste thuisverbinding en een licht belaste gateway kan de volledige tunnel de snelste van de twee zijn.

De eerlijke inkadering gaat dus over eigendom en controle van het pad, waarbij prestatie iets is dat je achteraf meet. Een beleid dat voor snelheid is gekozen en stilzwijgend uw DNS en openbare uitgang verplaatst, is om de verkeerde reden gekozen.

Wat er werkelijk verandert: de uitgang

Onder een volledige tunnel ziet een openbare website het uitgangsadres van het kantoor en ziet de kantoorfiltering het verzoek. Onder een gesplitste tunnel ziet dezelfde site het thuisadres van de gebruiker en ziet het kantoor niets. Dat zijn verschillende zichtbaarheidsmodellen, en geen van beide is automatisch veiliger. De nuttige vraag is welke de organisatie werkelijk kan beheren.

Controleer het rechtstreeks in plaats van een Verbonden-badge te vertrouwen. Een openbare adresecho toont de uitgang, en een resolvertest toont wiens DNS heeft geantwoord.

Wat de gateway dan moet dragen

Een gateway die videogesprekken, downloads en privéapplicaties draagt, heeft capaciteit nodig voor een heel andere werklast dan een die alleen interne verzoeken draagt. De internetverbinding van de site draagt zowel de aankomst van de gebruiker als de daaropvolgende openbare uitgang, dus twee lijnen kunnen tegelijk verzadigd raken.

Lokale uitbraak verwijdert die belasting en de omweg, en het garandeert geen betere ervaring, omdat het directe pad ook overbelast kan zijn. Vergelijk de werkelijke applicatie in plaats van een routinglabel als prestatiemeting te behandelen.

Onder een volledige tunnel bestaan uitzonderingen

Een standaardroute is geen inventaris van elk pakket. Specifiekere routes, toestemmingen voor lokale netwerken, applicatie-uitsluitingen en aparte IPv6-regels verplaatsen allemaal verkeer, waardoor een beleid dat als volledige tunnel wordt beschreven, nog steeds kan lekken. De routingdocumentatie van het besturingssysteem maakt dat onderscheid voor geforceerde tunnelstandaarden, en de uitsluitingslijst van de client is waar het lek meestal woont. Verifieer gedrag, niet intentie.

IPv6 verdient een eigen blik, omdat een tunnel die alleen IPv4 draagt een hele stack buiten het beleid laat.

DNS is een apart beleid

Interne namen hebben een resolver nodig die ze kent, en die resolver is mogelijk alleen via de tunnel bereikbaar. Een browser met zijn eigen versleutelde DNS kan de systeemresolver volledig omzeilen, wat een splitsing oplevert waarbij interne namen falen en openbare werken, of omgekeerd.

Bepaal waar opzoekingen naartoe moeten, en laat dan de client en de browser overeenkomen. Succesvol openbaar browsen test nooit de interne naamresolutie, dus het is het verkeerde bewijs om aan te halen wanneer een intranetsite verdwijnt.

Schrijf het faalbeleid, en test het dan

Bepaal wat er gebeurt als de tunnel wegvalt: alles blokkeren, alleen privébronnen blokkeren, of directe verbindingen toestaan. Automatisch opnieuw verbinden beantwoordt die vraag niet, en een kill switch die alleen de tunnelinterface dekt, kan uitgesloten applicaties vrij laten praten. Test een echte onderbreking en een netwerkwijziging, en lees dan de status van de client, omdat de documentatie het bedoelde gedrag beschrijft en niet het geïnstalleerde.

Noteer de privéroutes, de openbare uitgang, de DNS-servers, de lokale uitzonderingen en het faalgedrag in één korte notitie. Die notitie is wat het beleid verifieerbaar maakt voor iemand die het niet heeft geschreven.