Polni tunel proti razdeljenemu tunelu: štiri razlike

Oznake tunela opisujejo, kam gre preostali promet prenosnika, ne kako hitro gre. Pri polnem tunelu javne zahteve preidejo skozi VPN prehod, preden odidejo v internet. Pri razdeljenem tunelu zasebni cilji uporabljajo tunel in vse ostalo gre po lokalni poti. Oba dosežeta notranjo aplikacijo, zato test dosegljivosti, ki ga ljudje opravijo prvega, ne pove ničesar o tem, katera politika je nameščena.

Namesto tega preverite izhod: kateri naslov poroča javna odmevna stran in kateri razreševalnik je odgovoril.

Mit: razdeljeni tunel je samo hitrejša možnost

Razdeljeni tunel se pogosto prodaja kot funkcija delovanja in je lahko to, vendar je to stranski učinek in ne definicija. Definicija je odločitev o usmerjanju, kateri cilji vstopijo v tunel. Razlika v hitrosti se pokaže šele, ko je neposredna pot resnično boljša od ovinka skozi pisarno. Na preobremenjeni domači povezavi in rahlo obremenjenem prehodu je lahko polni tunel hitrejši od obeh.

Pošteno okviren opis torej zadeva lastništvo in nadzor poti, medtem ko je delovanje nekaj, kar izmerite pozneje. Politika, izbrana zaradi hitrosti in ki tiho premakne vaš DNS in javni izhod, je bila izbrana iz napačnega razloga.

Kaj se dejansko spremeni: izhod

Pri polnem tunelu javno spletno mesto vidi izhodni naslov pisarne in pisarniško filtriranje vidi zahtevo. Pri razdeljenem tunelu isto mesto vidi domači naslov uporabnika in pisarna ne vidi ničesar. To sta različna modela vidnosti in nobeden ni samodejno varnejši. Uporabno vprašanje je, katerega lahko organizacija resnično upravlja.

Preverite neposredno, namesto da zaupate znački Povezano. Javni odmev naslova pokaže izhod, test razreševalnika pa pokaže, čigav DNS je odgovoril.

Kaj mora nato nositi prehod

Prehod, ki nosi videoklice, prenose in zasebne aplikacije, potrebuje zmogljivost za povsem drugačno delovno obremenitev kot tisti, ki nosi samo notranje zahteve. Internetna povezava mesta nosi tako prihod uporabnika kot poznejši javni izhod, zato se lahko dve povezavi hkrati nasičita.

Lokalni izhod odpravi to obremenitev in ovinek, ne zagotavlja pa boljše izkušnje, ker je lahko tudi neposredna pot preobremenjena. Primerjajte dejansko aplikacijo, namesto da oznako usmerjanja obravnavate kot meritev delovanja.

Pri polnem tunelu obstajajo izjeme

Privzeta pot ni popis vsakega paketa. Natančnejše poti, dovoljenja za lokalno omrežje, izključitve aplikacij in ločena pravila IPv6 vse premikajo promet, zato lahko politika, opisana kot polni tunel, še vedno pušča. Dokumentacija operacijskega sistema o usmerjanju naredi to razliko pri vsiljenih privzetih tunelih, seznam izjem odjemalca pa je mesto, kjer puščanje običajno živi. Preverjajte vedenje, ne namena.

IPv6 si zasluži svoj pogled, ker tunel, ki nosi samo IPv4, pusti cel sklad zunaj politike.

DNS je ločena politika

Notranja imena potrebujejo razreševalnik, ki jih pozna, in ta razreševalnik je morda dosegljiv le skozi tunel. Brskalnik z lastnim šifriranim DNS lahko popolnoma obide sistemski razreševalnik, kar ustvari razcep, kjer notranja imena odpovedo in javna delujejo, ali obratno.

Odločite, kam naj gredo iskanja, nato uskladite odjemalca in brskalnik. Uspešno javno brskanje nikoli ne preizkusi notranjega razreševanja imen, zato je to napačen dokaz, ko intranetno mesto izgine.

Napišite politiko napake in jo nato preizkusite

Odločite, kaj se zgodi, ko tunel pade: blokirajte vse, blokirajte samo zasebne vire ali dovolite neposredne povezave. Samodejno ponovno povezovanje ne odgovori na to vprašanje, in stikalo za izklop, ki pokriva samo vmesnik tunela, lahko pusti izključene aplikacije prosto govoriti. Preizkusite resnično prekinitev in spremembo omrežja, nato preberite stanje odjemalca, ker dokumentacija opisuje predvideno in ne nameščeno vedenje.

Zapišite zasebne poti, javni izhod, strežnike DNS, lokalne izjeme in vedenje ob napaki v eno kratko opombo. Prav ta opomba naredi politiko preverljivo za nekoga, ki je ni napisal.