Pełny tunel a tunel dzielony: cztery różnice
Etykieta decyduje, gdzie wychodzi reszta ruchu laptopa, a nie jak szybko. Porównaj wyjście, obciążenie, DNS i zachowanie przy awarii, zanim wybierzesz.
Etykiety tunelu opisują, dokąd trafia reszta ruchu laptopa, a nie jak szybko. W pełnym tunelu publiczne żądania przechodzą przez bramę VPN, zanim wyjdą do internetu. W tunelu dzielonym prywatne cele korzystają z tunelu, a wszystko inne idzie ścieżką lokalną. Oba docierają do wewnętrznej aplikacji, więc test osiągalności, który ludzie wykonują najpierw, nic nie mówi o tym, jaka polityka jest wdrożona.
Zamiast tego sprawdź wyjście: jaki adres zgłasza publiczna strona echa i który resolver odpowiedział.
Mit: tunel dzielony to po prostu szybsza opcja
Tunel dzielony jest często sprzedawany jako funkcja wydajności i może nią być, ale to efekt uboczny, a nie definicja. Definicją jest decyzja routingu o tym, które cele wchodzą do tunelu. Różnica prędkości pojawia się tylko wtedy, gdy ścieżka bezpośrednia jest naprawdę lepsza od objazdu przez biuro. Na przeciążonym łączu domowym i lekko obciążonej bramie pełny tunel może być szybszy z dwóch.
Uczciwe ujęcie dotyczy więc własności i kontroli ścieżki, a wydajność jest czymś, co mierzy się później. Polityka wybrana dla prędkości, która po cichu przenosi twój DNS i publiczne wyjście, została wybrana z niewłaściwego powodu.
Co naprawdę się zmienia: wyjście
W pełnym tunelu publiczna witryna widzi adres wyjściowy biura, a filtrowanie biura widzi żądanie. W tunelu dzielonym ta sama witryna widzi domowy adres użytkownika, a biuro nie widzi niczego. To różne modele widoczności i żaden nie jest automatycznie bezpieczniejszy. Przydatne pytanie brzmi, który z nich organizacja naprawdę może obsługiwać.
Sprawdź to bezpośrednio, zamiast ufać plakietce Połączono. Publiczne echo adresu pokazuje wyjście, a test resolvera pokazuje, czyj DNS odpowiedział.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Co brama musi wtedy nieść
Brama przenosząca połączenia wideo, pobierania i prywatne aplikacje potrzebuje przepustowości dla zupełnie innego obciążenia niż ta, która przenosi tylko wewnętrzne żądania. Połączenie internetowe witryny przenosi zarówno przybycie użytkownika, jak i późniejsze publiczne wyjście, więc dwa łącza mogą nasycić się jednocześnie.
Lokalne wyjście usuwa to obciążenie i objazd, i nie gwarantuje lepszych doświadczeń, ponieważ ścieżka bezpośrednia też może być przeciążona. Porównaj rzeczywistą aplikację, zamiast traktować etykietę routingu jako pomiar wydajności.
W pełnym tunelu istnieją wyjątki
Trasa domyślna nie jest spisem każdego pakietu. Bardziej szczegółowe trasy, zezwolenia dla sieci lokalnej, wykluczenia aplikacji i osobne reguły IPv6 przemieszczają ruch, dlatego polityka opisana jako pełny tunel nadal może przeciekać. Dokumentacja routingu systemu operacyjnego wprowadza to rozróżnienie dla wymuszonych ustawień domyślnych tunelu, a lista wyjątków klienta jest miejscem, w którym wyciek zwykle mieszka. Weryfikuj zachowanie, nie zamiar.
IPv6 zasługuje na osobne spojrzenie, ponieważ tunel przenoszący tylko IPv4 pozostawia cały stos poza polityką.
DNS to osobna polityka
Nazwy wewnętrzne potrzebują resolvera, który je zna, a ten resolver może być osiągalny tylko przez tunel. Przeglądarka z własnym szyfrowanym DNS może całkowicie ominąć resolver systemowy, co tworzy podział, w którym nazwy wewnętrzne zawodzą, a publiczne działają, albo odwrotnie.
Zdecyduj, dokąd mają trafiać zapytania, a następnie uzgodnij klienta i przeglądarkę. Udane publiczne przeglądanie nigdy nie testuje wewnętrznego rozwiązywania nazw, więc to niewłaściwy dowód, gdy witryna intranetowa znika.
Napisz politykę awarii, a potem ją przetestuj
Zdecyduj, co się dzieje, gdy tunel padnie: blokować wszystko, blokować tylko zasoby prywatne albo zezwolić na połączenia bezpośrednie. Automatyczne ponowne połączenie nie odpowiada na to pytanie, a wyłącznik awaryjny obejmujący tylko interfejs tunelu może pozostawić wykluczone aplikacje mówiące swobodnie. Przetestuj prawdziwe rozłączenie i zmianę sieci, a potem odczytaj stan klienta, ponieważ dokumentacja opisuje zachowanie zamierzone, a nie zainstalowane.
Zapisz trasy prywatne, wyjście publiczne, serwery DNS, wyjątki lokalne i zachowanie przy awarii w jednej krótkiej notatce. To ta notatka czyni politykę weryfikowalną dla kogoś, kto jej nie napisał.