Modelarea traficului OpenVPN: ce interfață îl vede?

Parcurgeți patru verificări: ce doriți să limitați, ce pachet poartă informația care îl identifică, ce interfață poate vedea modelatorul și ce suportă routerul în timp ce criptează. Routerele vin atât cu o pagină OpenVPN, cât și cu o pagină de lățime de bandă, iar coexistența lor nu dovedește nimic despre niciuna. Ordinea contează, pentru că o regulă scrisă împotriva pachetului greșit nu se potrivește niciodată, oricât de corectă ar fi rata ei.

Începeți cu obiectivul: limitarea unui singur dispozitiv, partajarea corectă a capacității sau prioritizarea unei aplicații. Fiecare necesită o potrivire diferită.

Numiți obiectivul înainte de regulă

O limită pe dispozitiv necesită o potrivire pe adresa acelui dispozitiv, care există doar în interiorul tunelului. Corectitudinea între fluxurile concurente necesită o coadă pe care toate o partajează, nu o regulă pentru fiecare gazdă. Prioritatea aplicației necesită ceva care identifică aplicația, cea mai grea dintre cele trei după ce criptarea elimină anteturile interne din vedere. Scrierea obiectivului mai întâi vă spune de ce fapt aveți nevoie și de unde l-ați putea obține.

O limită care funcționează pe trafic WAN direct nu este dovada că aceeași gazdă este acoperită în interiorul tunelului. Regula poate potrivi o adresă care nu apare niciodată în antetul pe care îl vede modelatorul.

În interiorul tunelului sau în afara lui

Cu un client VPN deținut de router, multe fluxuri LAN călătoresc într-un singur transport criptat. Înainte de încapsulare routerul vede încă sursa și destinația interne, așa că politica atașată în acea etapă poate clasifica pe dispozitiv. După încapsulare, echipamentul obișnuit vede doar conexiunea externă, iar o potrivire pe portul VPN nu spune nimic despre ce dispozitiv este responsabil. Acel singur fapt decide unde aparține regula.

Platformele diferă în modul în care expun acest lucru. Unele oferă un modelator care pune în coadă și clasifică pe o interfață de tunel; altele tratează limitatoarele ca reguli de interfață care se comportă la fel pentru traficul VPN și non-VPN; unele fac ambele cu capacități diferite. Citiți documentația firmware-ului însuși pentru interfața pe care o acceptă, în loc să copiați un nume de interfață din ghidul altui producător.

Identificați unde adresele rămân disponibile, unde are loc traducerea și ce coadă controlează de fapt blocajul.

Trei politici, trei tipuri de dovezi

O limită de viteză este dovedită printr-un transfer susținut de pe dispozitivul limitat în timp ce altul transferă simultan. Partajarea corectă este dovedită prin două fluxuri care ating rate similare în loc ca unul să înfometeze, ceea ce este o măsurătoare diferită. Prioritatea aplicației este dovedită printr-o sarcină interactivă care rămâne receptivă în timpul unui transfer masiv, și prin verificarea faptului că clasificatorul a recunoscut fluxul. Fiecare politică necesită propria observație, iar niciuna nu este dovedită de o pagină de configurare.

Clasificarea merită o suspiciune deosebită. O potrivire pe portul criptat extern nu poate recupera identitatea fiecărei aplicații interne, așa că o regulă care pare să prioritizeze o aplicație poate în practică să prioritizeze tot ce iese din acel tunel. Citiți contoarele regulii, nu intenția ei.

Măsurați sarcina criptată, nu pe cea goală

Modelarea, clasificarea și criptarea concurează pentru un singur procesor, iar accelerarea hardware poate duce traficul pe lângă exact regulile și contoarele pe care le urmăriți. O cifră de debit dintr-un test simplu de rutare spune puțin despre cutia sub o sarcină criptată și modelată. Testați ambele direcții, mai mulți clienți reprezentativi și o mică sarcină interactivă alături de transferul masiv. Receptivitatea sub sarcină contează mai mult decât vârful pe o legătură inactivă.

Includeți excepțiile în măsurare: traficul care ar trebui să ocolească tunelul, ambele familii de adrese dacă ambele sunt în joc, și ce se întâmplă când tunelul este căzut. O politică ce se comportă rezonabil doar cât timp tunelul este sănătos este jumătate de politică.

Scrieți specificația ca trei linii: potrivirea traficului, punctul de aplicare și sarcina măsurată. OpenVPN plus QoS nu este o specificație.