Plný tunel verzus rozdelený tunel: štyri rozdiely

Štítky tunela opisujú, kam ide zvyšok prevádzky notebooku, nie ako rýchlo ide. Pri plnom tuneli prechádzajú verejné požiadavky cez VPN bránu, kým odídu na internet. Pri rozdelenom tuneli používajú súkromné určenia tunel a všetko ostatné ide miestnou cestou. Obe sa dostanú k internej aplikácii, takže test dostupnosti, ktorý ľudia robia ako prvý, nič nehovorí o tom, aká politika je nasadená.

Namiesto toho otestujte výstup: akú adresu hlási verejná ozvová stránka a ktorý prekladač odpovedal.

Mýtus: rozdelený tunel je len rýchlejšia voľba

Rozdelený tunel sa často predáva ako funkcia výkonu a môže ňou byť, ale to je vedľajší efekt, nie definícia. Definícia je rozhodnutie o smerovaní, ktoré určenia vstúpia do tunela. Rozdiel v rýchlosti sa objaví len vtedy, keď je priama cesta skutočne lepšia ako obchádzka cez kanceláriu. Na preťaženom domácom spojení a málo zaťaženej bráne môže byť plný tunel rýchlejší z dvoch.

Poctivé vymedzenie je teda o vlastníctve a kontrole cesty, pričom výkon je niečo, čo meriate až potom. Politika zvolená kvôli rýchlosti, ktorá potichu presúva váš DNS a verejný výstup, bola zvolená zo zlého dôvodu.

Čo sa skutočne mení: výstup

Pri plnom tuneli vidí verejný web výstupnú adresu kancelárie a kancelárske filtrovanie vidí požiadavku. Pri rozdelenom tuneli vidí ten istý web domácu adresu používateľa a kancelária nevidí nič. To sú rôzne modely viditeľnosti a ani jeden nie je automaticky bezpečnejší. Užitočná otázka je, ktorý z nich organizácia skutočne dokáže prevádzkovať.

Overte to priamo namiesto dôvery v odznak Pripojené. Verejná ozva adresy ukáže výstup a test prekladača ukáže, čí DNS odpovedal.

Čo potom musí brána niesť

Brána, ktorá nesie videohovory, sťahovania a súkromné aplikácie, potrebuje kapacitu na úplne inú pracovnú záťaž ako tá, ktorá nesie len interné požiadavky. Internetové pripojenie stránky nesie aj príchod používateľa, aj následný verejný výstup, takže dve linky sa môžu nasýtiť súčasne.

Miestny výstup odstraňuje túto záťaž aj obchádzku a nezaručuje lepší zážitok, pretože priama cesta môže byť tiež preťažená. Porovnajte skutočnú aplikáciu, namiesto toho, aby ste štítok smerovania považovali za meranie výkonu.

Pri plnom tuneli existujú výnimky

Predvolená trasa nie je inventárom každého paketu. Konkrétnejšie trasy, povolenia miestnej siete, vylúčenia aplikácií a samostatné pravidlá IPv6 všetky presúvajú prevádzku, preto politika opísaná ako plný tunel môže stále unikať. Dokumentácia operačného systému k smerovaniu robí tento rozdiel pri vynútených predvolených tuneloch a zoznam výnimiek klienta je miesto, kde únik zvyčajne žije. Overujte správanie, nie zámer.

IPv6 si zaslúži vlastný pohľad, pretože tunel, ktorý nesie len IPv4, necháva celý zásobník mimo politiky.

DNS je samostatná politika

Interné názvy potrebujú prekladač, ktorý ich pozná, a tento prekladač môže byť dostupný len cez tunel. Prehliadač s vlastným šifrovaným DNS môže systémový prekladač úplne obísť, čo vytvára rozdelenie, kde interné názvy zlyhávajú a verejné fungujú, alebo naopak.

Rozhodnite, kam majú dopytovať vyhľadávania, a potom zlaďte klienta a prehliadač. Úspešné verejné prehliadanie nikdy netestuje interné prekladanie názvov, takže je to nesprávny dôkaz, keď intranetová stránka zmizne.

Napíšte politiku zlyhania a potom ju otestujte

Rozhodnite, čo sa stane, keď tunel spadne: blokovať všetko, blokovať len súkromné zdroje alebo povoliť priame spojenia. Automatické opätovné pripojenie na túto otázku neodpovedá a vypínač, ktorý pokrýva len rozhranie tunela, môže nechať vylúčené aplikácie voľne rozprávať. Otestujte skutočné odpojenie a zmenu siete, potom prečítajte stav klienta, pretože dokumentácia opisuje zamýšľané správanie, nie nainštalované.

Zapíšte súkromné trasy, verejný výstup, servery DNS, miestne výnimky a správanie pri zlyhaní do jednej krátkej poznámky. Práve táto poznámka robí politiku overiteľnou pre niekoho, kto ju nenapísal.