Jedan tc oblikovatelj ne ograničava svakog VPN klijenta sam po sebi

Uputa zvuči potpuno: ograniči svakog VPN klijenta na 20 Mbit/s. Nije potpuna, i jedna disciplina reda čekanja na sučelju tunela to neće isporučiti. Po klijentu može značiti po adresi tunela, po uređaju ili po računu, a svaki izbor drugačije klasificira pakete. Prije pisanja bilo kojeg pravila, odluči koje zahtjev zapravo imenuje.

Sve ispod tiče se razmaka između te rečenice i nečega što radi.

Što najprije mora značiti «po klijentu»

Adresa tunela lako se klasificira i lako reciklira. Uređaj je teži, jer jedan račun može nositi nekoliko, a uređaj može držati nekoliko adresa, posebno s IPv6. Za politiku pravičnosti račun je najsmislenija jedinica, i najteža za uočiti u zaglavlju paketa. Svaka definicija podrazumijeva vlastiti ključ brojanja, pa politika koja lebdi među njima neće raditi ono što opis tvrdi.

Smjer je druga riječ koja nedostaje. Prijenos, preuzimanje i kombinirano tri su različita zahtjeva, a jedno izlazno pravilo na jednom sučelju rijetko pokriva oba puta.

Odaberite točku gdje je klijent još vidljiv

Svaki smjer definiran je prema sučelju. Ono što napušta poslužiteljev tunel prema udaljenom klijentu računa se kao preuzimanje za tog klijenta; ono što klijent pošalje ulazi u tunel i zatim izlazi prema odredištu. Odaberite točku zakazivanja za svaki smjer i pitajte koja polja tamo postoje. Prije izvornog NAT-a prijenos još nosi unutrašnju adresu klijenta; nakon prevođenja jednostavno podudaranje izvora možda ga više ne prepoznaje.

Na šifriranom putu zaglavlja pripadaju VPN prijevozu, pa filtar koji uparuje unutrašnje adrese nema što upariti. Dizajn može klasificirati ranije i predati oznaku kasnijem zakazivaču, ali to predavanje mora biti namjerno: oznake paketa, oznake veze i klase zakazivača različito su stanje, a ne jedna vrijednost koja se prenosi dalje.

Kante se ne pojavljuju same

Kanta tokena pričvršćena na sučelje oblikuje bilo koji promet koji je koristi; ne stvara novu kantu po izvornoj adresi. Dizajn zasnovan na klasama umjesto toga razvrstava odabrani promet u klase, filtri odlučuju članstvo, a HTB priručnik odvaja brzinu klase od njezina stropa kad roditelj ima rezervnu širinu pojasa. Ako je namjera tvrdi limit, postavite strop i namjerno odlučite o ponašanju posuđivanja; ne tretirajte svaku brojku brzine kao apsolutni maksimum.

Kad je zahtjev po klijentu, dva prijenosa koja idu istodobno trebala bi podijeliti jedan limit. Dati svakom toku punu brzinu druga je politika, i ona prolazi svaki test koji gleda samo jedno preuzimanje.

Dva uređaja, jedan račun, jedan limit?

Odvojeno ograničavanje dviju adresa uređaja nikad se ne zbraja u jedan limit na razini računa, čak i kad se oba uređaja prijavljuju kao ista osoba. Isto vrijedi za cijelu LAN mrežu prevedenu iza jednog peera, ili za dodatne IPv6 adrese koje klasifikator nije očekivao. Održavajte vezu adrese i identiteta ažurnom, i zapamtite da stabilna adresa pojednostavljuje kartu bez toga da potvrđuje vlasnika.

Definirajte i ponašanje praska i reda. Kante tokena dopuštaju kratke praske iznad prosjeka, a međuspremanje dodaje kašnjenje; policiranje suviška i njegovo kasnije stavljanje u red različite su odluke s različitim simptomima.

Za provjeru pokrenite dva prijenosa s jednog klijenta, dodajte drugi klijent i čitajte brojače klasa u svakom smjeru.