Modelar o tráfego do OpenVPN: qual interface o vê?

Percorra quatro verificações: o que você quer limitar, qual pacote carrega a informação que o identifica, qual interface o modelador consegue ver e o que o roteador aguenta enquanto criptografa. Os roteadores vêm com uma página de OpenVPN e uma página de largura de banda, e a coexistência das duas não prova nada sobre nenhuma delas. A ordem importa, porque uma regra escrita contra o pacote errado nunca corresponde, por mais correta que seja sua taxa.

Comece pelo objetivo: limitar um único dispositivo, compartilhar a capacidade de forma justa ou priorizar um aplicativo. Cada um exige uma correspondência diferente.

Nomeie o objetivo antes da regra

Um limite por dispositivo exige uma correspondência no endereço desse dispositivo, que só existe dentro do túnel. A justiça entre fluxos concorrentes exige uma fila que todos compartilham, não uma regra por host. A prioridade de aplicativo exige algo que identifique o aplicativo, o mais difícil dos três depois que a criptografia remove os cabeçalhos internos da vista. Escrever o objetivo primeiro diz qual fato você precisa e onde poderia obtê-lo.

Um limite que funciona no tráfego direto de WAN não é prova de que o mesmo host esteja coberto dentro do túnel. A regra pode estar correspondendo a um endereço que nunca aparece no cabeçalho que o modelador vê.

Dentro do túnel ou fora

Com um cliente VPN de propriedade do roteador, muitos fluxos de LAN viajam dentro de um único transporte criptografado. Antes da encapsulação o roteador ainda vê a origem e o destino internos, então a política anexada nessa etapa pode classificar por dispositivo. Depois da encapsulação, o equipamento comum vê apenas a conexão externa, e uma correspondência na porta VPN não diz nada sobre qual dispositivo é responsável. Esse único fato decide onde a regra pertence.

As plataformas diferem na forma como expõem isso. Algumas oferecem um modelador que enfileira e classifica em uma interface de túnel; outras tratam os limitadores como regras de interface que se comportam igual para tráfego VPN e não VPN; algumas fazem as duas coisas com capacidades diferentes. Leia a documentação do próprio firmware para a interface que ele suporta, em vez de copiar um nome de interface do guia de outro fabricante.

Identifique onde os endereços permanecem disponíveis, onde a tradução acontece e qual fila realmente controla o gargalo.

Três políticas, três tipos de prova

Um limite de velocidade é provado por uma transferência sustentada do dispositivo limitado enquanto outro transfere ao mesmo tempo. A divisão justa é provada por dois fluxos que atingem taxas semelhantes em vez de um passar fome, o que é uma medição diferente. A prioridade de aplicativo é provada por uma tarefa interativa que permanece ágil durante uma transferência massiva, e verificando se o classificador reconheceu o fluxo. Cada política exige sua própria observação, e nenhuma é provada por uma página de configuração.

A classificação merece suspeita especial. Uma correspondência na porta criptografada externa não consegue recuperar a identidade de cada aplicativo interno, então uma regra que parece priorizar um aplicativo pode, na prática, estar priorizando tudo que sai daquele túnel. Leia os contadores da regra em vez da intenção.

Meça a carga criptografada, não a nua

Modelagem, classificação e criptografia competem por uma única CPU, e a aceleração por hardware pode fazer o tráfego passar pelas mesmas regras e contadores que você observa. Um número de throughput de um teste de roteamento simples diz pouco sobre a caixa sob uma carga criptografada e modelada. Teste as duas direções, vários clientes representativos e uma pequena tarefa interativa junto à transferência massiva. A agilidade sob carga importa mais que o pico em um link ocioso.

Inclua as exceções na medição: o tráfego que deve contornar o túnel, as duas famílias de endereços se as duas estiverem em jogo, e o que acontece quando o túnel está fora do ar. Uma política que só se comporta com sensatez enquanto o túnel está saudável é meia política.

Escreva a especificação em três linhas: a correspondência de tráfego, o ponto de aplicação e a carga medida. OpenVPN mais QoS não é uma especificação.