Jeden tc shaper sám o sebe neobmedzí každého VPN klienta

Inštrukcia znie úplne: obmedz každého VPN klienta na 20 Mbit/s. Nie je úplná a jediná disciplína frontu na rozhraní tunela to nedodá. „Na klienta“ môže znamenať na adresu tunela, na zariadenie alebo na účet, a každá voľba klasifikuje pakety inak. Skôr než napíšeš akékoľvek pravidlo, rozhodni, ktorú z nich požiadavka vlastne pomenúva.

Všetko nižšie sa týka vzdialenosti medzi tou vetou a niečím, čo funguje.

Čo musí najprv znamenať „na klienta“

Adresa tunela sa ľahko klasifikuje a ľahko recykluje. Zariadenie je ťažšie, pretože jeden účet môže niesť niekoľko a zariadenie môže mať niekoľko adries, najmä s IPv6. Pre politiku spravodlivosti je účet najzmysluplnejšou jednotkou a najťažšie sa v hlavičke paketu pozoruje. Každá definícia implikuje vlastný kľúč počítania, takže politika, ktorá medzi nimi uniká, nebude robiť to, čo tvrdí opis.

Smer je druhé chýbajúce slovo. Nahrávanie, sťahovanie a kombinované sú tri rôzne požiadavky a jediné výstupné pravidlo na jednom rozhraní pokryje obe cesty len zriedka.

Vyberte bod, kde je klient ešte viditeľný

Každý smer sa definuje voči rozhraniu. To, čo opúšťa tunel servera smerom k vzdialenému klientovi, sa pre toho klienta počíta ako sťahovanie; to, čo klient odošle, vstúpi do tunela a potom vystúpi k svojmu cieľu. Vyberte plánovací bod pre každý smer a spýtajte sa, ktoré polia tam existujú. Pred zdrojovým NAT nesie nahrávanie stále vnútornú adresu klienta; po preklade ho jednoduchá zhoda zdroja už nemusí identifikovať.

Na šifrovanej ceste patria hlavičky VPN transportu, takže filter porovnávajúci vnútorné adresy nemá čo porovnávať. Návrh môže klasifikovať skôr a odovzdať značku neskoršiemu plánovaču, ale toto odovzdanie musí byť zámerné: značky paketov, značky spojenia a triedy plánovača sú rôzny stav, nie jedna odovzdávaná hodnota.

Vedrá nevznikajú samy

Vedro tokenov pripojené k rozhraniu tvaruje akúkoľvek prevádzku, ktorá ho používa; nevytvára nové vedro pre každú zdrojovú adresu. Návrh založený na triedach namiesto toho triedi vybranú prevádzku do tried, filtre rozhodujú o členstve a príručka HTB oddeľuje rýchlosť triedy od jej stropu, keď má rodič voľnú šírku pásma. Ak je zámerom tvrdý strop, nastavte strop a správanie požičiavania rozhodnite zámerne; neberte každé číslo rýchlosti ako absolútne maximum.

Keď je požiadavka na klienta, dvojica prenosov bežiacich súčasne by sa mala podeliť o jednu kvótu. Dávať každému toku plnú rýchlosť je iná politika a prejde každým testom, ktorý sleduje len jedno sťahovanie.

Dve zariadenia, jeden účet, jedna kvóta?

Oddelené obmedzenie dvoch adries zariadení sa nikdy nespočíta do jednej kvóty na úrovni účtu, ani keď sa obe zariadenia prihlasujú ako tá istá osoba. To isté platí pre celú LAN preloženú za jedného partnera alebo pre ďalšie adresy IPv6, ktoré klasifikátor nikdy nečakal. Udržujte asociáciu adresy a identity aktuálnu a pamätajte, že stabilná adresa mapu zjednoduší, no jej vlastníka neoverí.

Definujte aj správanie špičiek a front. Vedrá tokenov povoľujú krátke špičky nad priemerom a bufferovanie pridáva oneskorenie; policovanie prebytku a jeho zaradenie do frontu na neskôr sú rôzne rozhodnutia s rôznymi príznakmi.

Na overenie spustite dva prenosy z jedného klienta, pridajte druhého klienta a čítajte počítadlá tried v každom smere.