Full tunnel kontra delt tunnel: dei fire skilnadene

Tunneletikettar skildrar kvar resten av trafikken til ein berbar går, ikkje kor raskt han går. Med full tunnel går offentlege førespurnader gjennom VPN-gatewayen før dei forlèt til internett. Med delt tunnel brukar private destinasjonar tunnelen, og alt anna tek den lokale vegen. Begge når den interne applikasjonen, så tilgjengelegheitstesten folk køyrer først, seier ingenting om kva for politikk som er rullet ut.

Test utgangen i staden: kva for adresse ei offentleg ekkoside rapporterer, og kva for resolver som svara.

Myte: delt tunnel er berre det raskare alternativet

Delt tunnel blir ofte seld som ein ytingsfunksjon, og det kan han vere, men det er ei biverknad og ikkje definisjonen. Definisjonen er eit rutingsvedtak om kva for destinasjonar som går inn i tunnelen. Fartsforskjellen viser seg berre når den direkte vegen verkeleg er betre enn omvegen gjennom kontoret. På ei overbelasta heimelinje og ein lett lasta gateway kan full tunnel vere den raskaste av dei to.

Så den ærlege ramma handlar om eigarskap og kontroll over vegen, medan yting er noko ein måler etterpå. Ein politikk vald for fart som stille flyttar DNS-en og den offentlege utgangen din, er vald av feil grunn.

Kva som faktisk endrar seg: utgangen

Under full tunnel ser eit offentleg nettstad kontoret sin utgangsadresse, og filtreringa på kontoret ser førespurnaden. Under delt tunnel ser same nettstad heimeadressa til brukaren, og kontoret ser ingenting. Dette er ulike synleggjeringsmodellar, og ingen av dei er automatisk tryggare. Det nyttige spørsmålet er kva for ein organisasjonen faktisk kan drive.

Kontroller det direkte i staden for å stole på eit Tilkopla-merke. Ein offentleg adresseekko viser utgangen, og ein resolvertest viser kven sin DNS som svara.

Kva gatewayen då må bere

Ein gateway som ber videosamtalar, nedlastingar og private applikasjonar treng kapasitet for ei heilt anna arbeidslast enn ein som ber berre interne førespurnader. Internettforbindinga til nettstaden ber både ankomsten til brukaren og den påfølgjande offentlege utgangen, så to linjer kan mettast samstundes.

Lokal utgang fjernar den lasta og omvegen, og han garanterer ikkje ei betre oppleving, fordi den direkte vegen også kan vere overbelasta. Samanlikn den faktiske applikasjonen i staden for å handsame ein rutingetikett som ei ytingsmåling.

Det finst unntak under ein full tunnel

Ei standardrute er ikkje ei forteikning over kvar pakke. Meir spesifikke ruter, løyve for lokale nettverk, applikasjonsunntak og separate IPv6-reglar flyttar alle trafikk, og difor kan ein politikk skildra som full tunnel framleis lekkje. Rutingsdokumentasjonen til operativsystemet gjer den skilnaden for tvinga tunnelstandardar, og unntakslista til klienten er der lekkasjen vanlegvis bur. Verifiser åtferd, ikkje intensjon.

IPv6 fortener eit eige blikk, fordi ein tunnel som ber berre IPv4, lèt ein heil stabel stå utanfor politikken.

DNS er ein eigen politikk

Interne namn treng ein resolver som kjenner dei, og den resolveren kan berre vere tilgjengeleg gjennom tunnelen. Ein nettlesar med sin eigen krypterte DNS kan omgå systemresolveren heilt, noko som skaper ei deling der interne namn feilar og offentlege verkar, eller omvendt.

Bestem kvar oppslag skal gå, og få deretter klienten og nettlesaren til å vere samde. Vellukka offentleg surfing testar aldri intern namneoppløysing, så det er det feil beviset å vise til når ein intranettside forsvinn.

Skriv feilpolitikken, og test han så

Bestem kva som skjer når tunnelen fell: blokker alt, blokker berre private ressursar, eller tillat direkte tilkoplingar. Automatisk gjenoppkopling svarar ikkje på det spørsmålet, og ein kill switch som berre dekkjer tunnelgrensesnittet, kan la unntatte applikasjonar snakke fritt. Test ein ekte fråkopling og ei nettverksendring, og les deretter tilstanden til klienten, fordi dokumentasjonen skildrar den tiltenkte åtferda og ikkje den installerte.

Skriv ned dei private rutene, den offentlege utgangen, DNS-serverane, dei lokale unntaka og feilåtferda i eitt kort notat. Det notatet er det som gjer politikken verifiserbar for nokon som ikkje skreiv han.