Tvarovanie prevádzky OpenVPN: ktoré rozhranie ju vidí?

Prejdite štyrmi kontrolami: čo chcete obmedziť, ktorý paket nesie informáciu, ktorá to identifikuje, ktoré rozhranie tvarovač vidí a čo router zvládne počas šifrovania. Routery sa dodávajú so stránkou OpenVPN aj so stránkou o šírke pásma a ich spoločná existencia nepotvrdzuje nič o ani jednej z nich. Poradie je dôležité, pretože pravidlo napísané proti nesprávnemu paketu sa nikdy nezhodí, nech je jeho rýchlosť akokoľvek správna.

Začnite cieľom: obmedziť jedno zariadenie, spravodlivo rozdeliť kapacitu alebo uprednostniť jednu aplikáciu. Každý z nich potrebuje inú zhodu.

Pomenujte cieľ skôr než pravidlo

Obmedzenie na zariadenie potrebuje zhodu s adresou toho zariadenia, ktorá existuje iba vnútri tunela. Spravodlivosť medzi súťažiacimi tokmi potrebuje frontu, ktorú všetky zdieľajú, nie pravidlo pre každého hostiteľa. Priorita aplikácie potrebuje niečo, čo ju identifikuje, čo je po odstránení vnútorných hlavičiek šifrovaním najťažšie z troch. Zapísanie cieľa na začiatku vám povie, ktorý údaj potrebujete a kde ho vôbec môžete získať.

Obmedzenie, ktoré funguje na priamej prevádzke WAN, nie je dôkazom, že ten istý hostiteľ je pokrytý vnútri tunela. Pravidlo môže zodpovedať adrese, ktorá sa v hlavičke, ktorú tvarovač vidí, nikdy neobjaví.

Vnútri tunela alebo mimo neho

S klientskym VPN na routeri mnohé toky LAN cestujú v jednom šifrovanom transporte. Pred zapuzdrením router stále vidí vnútorný zdroj a cieľ, takže politika pripojená v tejto fáze môže klasifikovať podľa zariadenia. Po zapuzdrení bežné vybavenie vidí iba vonkajšie spojenie a zhoda s portom VPN nehovorí nič o tom, ktoré zariadenie je zodpovedné. Ten jediný fakt rozhoduje, kam pravidlo patrí.

Platformy sa líšia v tom, ako to sprístupňujú. Niektoré poskytujú tvarovač, ktorý zaraďuje do fronty a klasifikuje na rozhraní tunela; iné považujú limity za pravidlá rozhrania, ktoré sa správajú rovnako pre prevádzku VPN aj mimo nej; niektoré robia oboje s odlišnými možnosťami. Namiesto kopírovania názvu rozhrania z príručky iného výrobcu si prečítajte dokumentáciu firmvéru k rozhraniu, ktoré podporuje.

Určite, kde zostávajú adresy dostupné, kde dochádza k prekladu a ktorý front skutočne riadi úzke miesto.

Tri politiky, tri druhy dôkazov

Limit rýchlosti sa preukáže trvalým prenosom z obmedzeného zariadenia, zatiaľ čo iné prenáša v tom istom čase. Spravodlivé zdieľanie sa preukáže dvoma tokmi dosahujúcimi podobné rýchlosti namiesto jedného hladujúceho, čo je iné meranie. Priorita aplikácie sa preukáže interaktívnou úlohou, ktorá zostane responzívna počas hromadného prenosu, a overením, či klasifikátor tok vôbec rozpoznal. Každá politika potrebuje vlastné pozorovanie a žiadnu nepreukáže konfiguračná stránka.

Klasifikácia si zaslúži osobitnú nedôveru. Zhoda s vonkajším šifrovaným portom nemôže obnoviť identitu každej vnútornej aplikácie, takže pravidlo, ktoré vyzerá, že uprednostňuje jednu aplikáciu, môže v praxi uprednostňovať všetko z tohto tunela. Čítajte počítadlá pravidla, nie jeho zámer.

Merajte šifrovanú záťaž, nie holú

Tvarovanie, klasifikácia a šifrovanie súťažia o jeden CPU a hardvérové zrýchlenie môže presunúť prevádzku mimo práve tých pravidiel a počítadiel, ktoré sledujete. Číslo priepustnosti z obyčajného testu smerovania hovorí málo o zariadení pod šifrovanou a tvarovanou záťažou. Testujte oba smery, niekoľko reprezentatívnych klientov a malú interaktívnu úlohu popri hromadnom prenose. Responzívnosť pri zaťažení je dôležitejšia než špičkové číslo na nečinnej linke.

Do merania zahrňte výnimky: prevádzku, ktorá má tunel obchádzať, obe adresné rodiny, ak sú v hre obe, a čo sa stane, keď je tunel nedostupný. Politika, ktorá sa správa rozumne iba vtedy, keď je tunel zdravý, je polovičná politika.

Napíšte špecifikáciu ako tri riadky: zhoda prevádzky, miesto presadenia a meraná záťaž. OpenVPN plus QoS nie je špecifikácia.