OpenVPN-verkeer vormen: welke interface ziet het?

Doorloop vier controles: wat u wilt beperken, welk pakket de informatie draagt die dat identificeert, welke interface de shaper kan zien, en wat de router volhoudt tijdens het versleutelen. Routers worden geleverd met zowel een OpenVPN-pagina als een bandbreedtepagina, en hun naast elkaar bestaan bewijst niets over een van beide. De volgorde is belangrijk, want een regel tegen het verkeerde pakket raakt nooit, hoe correct de snelheid ook is.

Begin bij het doel: één apparaat beperken, capaciteit eerlijk delen of één toepassing prioriteit geven. Elk vraagt een andere match.

Benoem het doel vóór de regel

Een limiet per apparaat vraagt een match op het adres van dat apparaat, dat alleen binnen de tunnel bestaat. Eerlijkheid tussen concurrerende stromen vraagt een wachtrij die ze allemaal delen, niet een regel per host. App-prioriteit vraagt iets dat de toepassing identificeert, het moeilijkste van de drie zodra versleuteling de interne headers uit het zicht haalt. Het doel eerst opschrijven vertelt u welk feit u nodig hebt en waar u die mogelijk kunt krijgen.

Een limiet die op direct WAN-verkeer werkt is geen bewijs dat dezelfde host binnen de tunnel gedekt is. De regel matcht misschien een adres dat nooit in de header voorkomt die de shaper ziet.

Binnen de tunnel of erbuiten

Met een VPN-client die eigendom is van de router reizen veel LAN-stromen binnen één versleuteld transport. Vóór inkapseling ziet de router nog de interne bron en bestemming, dus beleid dat in die fase wordt toegevoegd kan per apparaat classificeren. Na inkapseling ziet gewone apparatuur alleen de buitenste verbinding, en een match op de VPN-poort zegt niets over welk apparaat verantwoordelijk is. Dat ene feit bepaalt waar de regel thuishoort.

Platforms verschillen in hoe ze dit tonen. Sommige bieden een shaper die op een tunnelinterface in de wachtrij zet en classificeert; andere behandelen limiters als interfaceregels die zich hetzelfde gedragen voor VPN- en niet-VPN-verkeer; sommige doen beide met verschillende mogelijkheden. Lees de eigen documentatie van de firmware voor de interface die deze ondersteunt in plaats van een interfacenaam uit de gids van een andere leverancier te kopiëren.

Identificeer waar adressen beschikbaar blijven, waar de vertaling plaatsvindt en welke wachtrij daadwerkelijk de bottleneck beheerst.

Drie beleidsregels, drie soorten bewijs

Een snelheidslimiet wordt bewezen door een aanhoudende overdracht vanaf het beperkte apparaat terwijl een ander tegelijk overdraagt. Eerlijk delen wordt bewezen door twee stromen die vergelijkbare snelheden halen in plaats van dat één verhongert, wat een andere meting is. App-prioriteit wordt bewezen doordat een interactieve taak responsief blijft tijdens een grote overdracht, en door te controleren of de classificator de stroom überhaupt herkende. Elk beleid vraagt zijn eigen observatie, en geen ervan wordt bewezen door een configuratiepagina.

Classificatie verdient bijzonder wantrouwen. Een match op de buitenste versleutelde poort kan niet de identiteit van elke interne toepassing herstellen, dus een regel die één toepassing prioriteit lijkt te geven kan in de praktijk alles uit die tunnel prioriteren. Lees de tellers van de regel in plaats van de bedoeling.

Meet de versleutelde werklast, niet de kale

Vormen, classificeren en versleutelen concurreren om één CPU, en hardwareversnelling kan verkeer langs precies de regels en tellers leiden die u bekijkt. Een doorvoercijfer uit een gewone routingtest zegt weinig over de doos onder een versleutelde en gevormde werklast. Test beide richtingen, meerdere representatieve clients en een kleine interactieve taak naast de grote overdracht. Responsiviteit onder belasting is belangrijker dan de piek op een inactieve verbinding.

Neem de uitzonderingen op in de meting: verkeer dat de tunnel moet omzeilen, beide adresfamilies als beide in het spel zijn, en wat er gebeurt als de tunnel platligt. Een beleid dat zich alleen verstandig gedraagt zolang de tunnel gezond is, is een half beleid.

Schrijf de specificatie als drie regels: de verkeersmatch, het handhavingspunt en de gemeten werklast. OpenVPN plus QoS is geen specificatie.