Puni tunel nasuprot podijeljenom tunelu: četiri stvari koje se razlikuju

Oznake tunela opisuju kuda ide ostatak prometa prijenosnog računala, a ne koliko brzo ide. Kod punog tunela javni zahtjevi prolaze kroz VPN pristupnik prije nego što odu na internet. Kod podijeljenog tunela privatna odredišta koriste tunel, a sve ostalo ide lokalnim putem. Oba dolaze do interne aplikacije, pa test dostupnosti koji ljudi prvi rade ne govori ništa o tome koja je politika primijenjena.

Umjesto toga provjerite izlaz: koju adresu prijavljuje javna stranica za jeku i koji je razrješivač odgovorio.

Mit: podijeljeni tunel je samo brža opcija

Podijeljeni tunel često se prodaje kao značajka izvedbe i može to biti, ali to je nuspojava, a ne definicija. Definicija je odluka o usmjeravanju o tome koja odredišta ulaze u tunel. Razlika u brzini pojavljuje se samo kada je izravni put doista bolji od obilaska kroz ured. Na zagušenoj kućnoj vezi i slabo opterećenom pristupniku puni tunel može biti brži od dvaju.

Zato je iskren okvir o vlasništvu i kontroli puta, a izvedba je nešto što mjerite poslije. Politika odabrana zbog brzine koja tiho premješta vaš DNS i javni izlaz odabrana je iz pogrešnog razloga.

Što se zapravo mijenja: izlaz

Kod punog tunela javna web stranica vidi izlaznu adresu ureda, a uredsko filtriranje vidi zahtjev. Kod podijeljenog tunela ista stranica vidi kućnu adresu korisnika, a ured ne vidi ništa. To su različiti modeli vidljivosti i nijedan nije automatski sigurniji. Korisno pitanje je koji od njih organizacija doista može upravljati.

Provjerite to izravno umjesto da vjerujete znački Povezano. Javna jeka adrese pokazuje izlaz, a test razrješivača pokazuje čiji je DNS odgovorio.

Što pristupnik zatim mora nositi

Pristupnik koji nosi videopozive, preuzimanja i privatne aplikacije treba kapacitet za posve drugačije opterećenje od onoga koji nosi samo interne zahtjeve. Internetska veza stranice nosi i dolazak korisnika i naknadni javni izlaz, pa se dvije veze mogu zasititi istodobno.

Lokalni izlaz uklanja to opterećenje i obilazak i ne jamči bolje iskustvo, jer i izravni put može biti zagušen. Usporedite stvarnu aplikaciju umjesto da oznaku usmjeravanja tretirate kao mjerenje izvedbe.

Postoje iznimke pod punim tunelom

Zadana ruta nije popis svakog paketa. Specifičnije rute, dopuštenja za lokalnu mrežu, izuzeci aplikacija i zasebna IPv6 pravila svi pomiču promet, zato politika opisana kao puni tunel ipak može propuštati. Dokumentacija operacijskog sustava o usmjeravanju pravi tu razliku za prisilne tunelske zadane postavke, a popis izuzetaka klijenta mjesto je gdje obično živi propuštanje. Provjerite ponašanje, ne namjeru.

IPv6 zaslužuje zaseban pogled jer tunel koji nosi samo IPv4 ostavlja cijeli sloj izvan politike.

DNS je zasebna politika

Internim imenima treba razrješivač koji ih poznaje, a taj je razrješivač možda dostupan samo kroz tunel. Preglednik s vlastitim šifriranim DNS-om može posve zaobići sistemski razrješivač, što stvara podjelu u kojoj interna imena ne uspijevaju, a javna rade, ili obrnuto.

Odlučite kamo pretrage trebaju ići, zatim uskladite klijenta i preglednik. Uspješno javno pregledavanje nikad ne testira interno razrješavanje imena, pa je to pogrešan dokaz kada intranet stranica nestane.

Napišite politiku kvara, zatim je testirajte

Odlučite što se događa kada tunel padne: blokirajte sve, blokirajte samo privatne resurse ili dopustite izravne veze. Automatsko ponovno povezivanje ne odgovara na to pitanje, a prekidač koji pokriva samo sučelje tunela može ostaviti izuzete aplikacije da slobodno govore. Testirajte stvarni prekid i promjenu mreže, zatim pročitajte stanje klijenta, jer dokumentacija opisuje namjeravano, a ne instalirano ponašanje.

Zapišite privatne rute, javni izlaz, DNS poslužitelje, lokalne iznimke i ponašanje pri kvaru u jednoj kratkoj bilješci. Ta bilješka čini politiku provjerljivom nekome tko je nije napisao.