Полный туннель и раздельный туннель: четыре различия
Метка определяет, куда уходит остальной трафик ноутбука, а не насколько он быстрый. Сравните выход, нагрузку, DNS и поведение при сбое, прежде чем выбирать.
Метки туннеля описывают, куда идёт остальной трафик ноутбука, а не насколько быстро он идёт. В полном туннеле публичные запросы проходят через VPN-шлюз, прежде чем выйти в интернет. В раздельном туннеле частные назначения используют туннель, а всё остальное идёт локальным путём. Оба достигают внутреннего приложения, поэтому тест доступности, который люди делают первым, ничего не говорит о том, какая политика развёрнута.
Вместо этого проверьте выход: какой адрес сообщает публичная страница эха и какой резолвер ответил.
Миф: раздельный туннель — это просто более быстрый вариант
Раздельный туннель часто продают как функцию производительности, и им он может быть, но это побочный эффект, а не определение. Определение — это решение о маршрутизации, какие назначения попадают в туннель. Разница в скорости проявляется только тогда, когда прямой путь действительно лучше обхода через офис. На перегруженном домашнем канале и слабо нагруженном шлюзе полный туннель может быть быстрее из двух.
Поэтому честная постановка вопроса — о владении путём и контроле над ним, а производительность измеряют потом. Политика, выбранная ради скорости и тихо переносящая ваш DNS и публичный выход, выбрана по неверной причине.
Что на самом деле меняется: выход
В полном туннеле публичный сайт видит адрес выхода офиса, а офисная фильтрация видит запрос. В раздельном туннеле тот же сайт видит домашний адрес пользователя, а офис не видит ничего. Это разные модели видимости, и ни одна не является автоматически безопаснее. Полезный вопрос — какую из них организация действительно может эксплуатировать.
Проверьте это напрямую, а не доверяйте значку Подключено. Публичное эхо адреса показывает выход, а тест резолвера показывает, чей DNS ответил.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Что тогда должен нести шлюз
Шлюзу, несущему видеозвонки, загрузки и частные приложения, нужна ёмкость для совсем другой рабочей нагрузки, чем тому, что несёт только внутренние запросы. Интернет-соединение площадки несёт и приход пользователя, и последующий публичный выход, поэтому две линии могут насытиться одновременно.
Локальный выход убирает эту нагрузку и обход, и он не гарантирует лучший опыт, потому что прямой путь тоже может быть перегружен. Сравнивайте реальное приложение, а не относитесь к метке маршрутизации как к измерению производительности.
В полном туннеле существуют исключения
Маршрут по умолчанию — не опись каждого пакета. Более конкретные маршруты, разрешения для локальной сети, исключения приложений и отдельные правила IPv6 — всё это перемещает трафик, поэтому политика, описанная как полный туннель, всё ещё может протекать. Документация ОС по маршрутизации проводит это различие для принудительных туннелей по умолчанию, а список исключений клиента — это место, где утечка обычно живёт. Проверяйте поведение, а не намерение.
IPv6 заслуживает отдельного взгляда, потому что туннель, несущий только IPv4, оставляет целый стек вне политики.
DNS — это отдельная политика
Внутренним именам нужен резолвер, который их знает, и этот резолвер может быть доступен только через туннель. Браузер с собственным зашифрованным DNS может полностью обходить системный резолвер, что создаёт разделение, где внутренние имена не работают, а публичные работают, или наоборот.
Решите, куда должны идти запросы, затем согласуйте клиент и браузер. Успешный публичный сёрфинг никогда не проверяет внутреннее разрешение имён, поэтому это неверное доказательство, когда сайт интранета пропадает.
Напишите политику сбоя, затем проверьте её
Решите, что происходит, когда туннель падает: блокировать всё, блокировать только частные ресурсы или разрешить прямые подключения. Автоматическое переподключение не отвечает на этот вопрос, а выключатель, покрывающий только интерфейс туннеля, может оставить исключённые приложения свободно говорить. Проверьте реальное отключение и смену сети, затем прочитайте состояние клиента, потому что документация описывает задуманное поведение, а не установленное.
Запишите частные маршруты, публичный выход, DNS-серверы, локальные исключения и поведение при сбое в одной короткой заметке. Именно эта заметка делает политику проверяемой для того, кто её не писал.