Kształtowanie ruchu OpenVPN: który interfejs go widzi?

Przejdź cztery kontrole: co chcesz ograniczyć, który pakiet niesie informację, która to identyfikuje, który interfejs widzi kształtujący i co router wytrzymuje podczas szyfrowania. Routery są dostarczane zarówno ze stroną OpenVPN, jak i stroną przepustowości, a ich współistnienie niczego nie dowodzi o żadnej z nich. Kolejność ma znaczenie, bo reguła napisana wobec niewłaściwego pakietu nigdy nie pasuje, niezależnie od tego, jak poprawna jest jej szybkość.

Zacznij od celu: ograniczyć jedno urządzenie, sprawiedliwie dzielić przepustowość albo nadać priorytet jednej aplikacji. Każdy wymaga innego dopasowania.

Nazwij cel przed regułą

Limit na urządzenie wymaga dopasowania adresu tego urządzenia, który istnieje tylko wewnątrz tunelu. Sprawiedliwość między konkurującymi strumieniami wymaga kolejki, którą wszystkie dzielą, a nie reguły na każdego hosta. Priorytet aplikacji wymaga czegoś, co identyfikuje aplikację, co jest najtrudniejsze z trzech, gdy szyfrowanie usuwa wewnętrzne nagłówki z pola widzenia. Zapisanie celu najpierw mówi, jakiego faktu potrzebujesz i skąd możesz go uzyskać.

Limit działający na bezpośrednim ruchu WAN nie jest dowodem, że ten sam host jest objęty wewnątrz tunelu. Reguła może dopasowywać adres, który nigdy nie pojawia się w nagłówku widzianym przez kształtującego.

Wewnątrz tunelu czy na zewnątrz

Z klientem VPN należącym do routera wiele strumieni LAN podróżuje wewnątrz jednego szyfrowanego transportu. Przed enkapsulacją router nadal widzi wewnętrzne źródło i cel, więc polityka dołączona na tym etapie może klasyfikować na urządzenie. Po enkapsulacji zwykły sprzęt widzi tylko połączenie zewnętrzne, a dopasowanie na porcie VPN nic nie mówi o tym, które urządzenie jest odpowiedzialne. Ten jeden fakt decyduje, gdzie należy reguła.

Platformy różnią się sposobem ujawniania tego. Niektóre oferują kształtujący, który kolejkuje i klasyfikuje na interfejsie tunelu; inne traktują ograniczniki jako reguły interfejsu zachowujące się tak samo dla ruchu VPN i nie-VPN; jeszcze inne robią oba z różnymi możliwościami. Czytaj dokumentację samego oprogramowania układowego dla interfejsu, który obsługuje, zamiast kopiować nazwę interfejsu z przewodnika innego producenta.

Ustal, gdzie adresy pozostają dostępne, gdzie odbywa się tłumaczenie i która kolejka faktycznie kontroluje wąskie gardło.

Trzy zasady, trzy rodzaje dowodów

Limit szybkości dowodzi się trwałym transferem z ograniczonego urządzenia, podczas gdy inne przesyła w tym samym czasie. Sprawiedliwy podział dowodzi się dwoma strumieniami osiągającymi podobne szybkości zamiast głodzenia jednego, co jest innym pomiarem. Priorytet aplikacji dowodzi się tym, że zadanie interaktywne pozostaje responsywne podczas dużego transferu, oraz sprawdzeniem, czy klasyfikator w ogóle rozpoznał strumień. Każda zasada wymaga własnej obserwacji i żadnej nie dowodzi strona konfiguracji.

Klasyfikacja zasługuje na szczególną podejrzliwość. Dopasowanie na zewnętrznym szyfrowanym porcie nie może odtworzyć tożsamości każdej wewnętrznej aplikacji, więc reguła, która wygląda na priorytet jednej aplikacji, w praktyce może priorytetowo traktować wszystko z tego tunelu. Czytaj liczniki reguły, a nie jej intencję.

Mierz obciążenie szyfrowane, nie gołe

Kształtowanie, klasyfikacja i szyfrowanie konkurują o jeden procesor, a akceleracja sprzętowa może przeprowadzić ruch obok właśnie tych reguł i liczników, które obserwujesz. Liczba przepustowości z prostego testu routingu mówi niewiele o urządzeniu pod szyfrowanym i kształtowanym obciążeniem. Testuj oba kierunki, kilka reprezentatywnych klientów i małe zadanie interaktywne obok dużego transferu. Responsywność pod obciążeniem liczy się bardziej niż szczyt na bezczynnym łączu.

Uwzględnij wyjątki w pomiarze: ruch, który powinien omijać tunel, obie rodziny adresów, jeśli obie są w grze, i co się dzieje, gdy tunel jest wyłączony. Zasada, która zachowuje się rozsądnie tylko dopóki tunel jest zdrowy, to połowa zasady.

Zapisz specyfikację jako trzy wiersze: dopasowanie ruchu, punkt egzekwowania i zmierzone obciążenie. OpenVPN plus QoS nie jest specyfikacją.