Je popolno tuneliranje preprostejše od dolgega seznama razdeljenega tuneliranja?

Seznam razdeljenega tuneliranja se začne s tremi aplikacijami in na koncu pokrije večino računalnika, vsaka nova vrstica pa je nečija izjema. Takrat je seznam tiho postal privzeta nastavitev z dodatnimi koraki. Popolno tuneliranje obrne razporeditev: vse vstopi v tunel, razen če dokumentirana izključitev ne pravi drugače. Ali je to preprostejše, je odvisno od prehoda in od lokalnih storitev, ki bi jih pokvarili.

Začnite s štetjem pravil, ki jih vzdržujete

Preštejte vnose in nato preštejte, koliko jih ima imenovanega lastnika in datum zadnjega preverjanja. Pomembno je drugo število, ker izjeme brez lastnika ni mogoče oceniti, ko se programska oprema, na katero se nanaša, preimenuje ali zamenja. Pravila, vezana na pot do izvršljive datoteke, po posodobitvi tiho odpovejo, in napaka je videti kot nestabilen VPN, ne kot zastarelo pravilo. Zapišite seznam, preden si o njem ustvarite mnenje.

Vsak vnos bi moral odgovoriti na tri vprašanja: kaj se brez njega pokvari, kdo je to odločil in kako bi opazili, da je razlog potekel. Vnosi, ki ne morejo odgovoriti na vse tri, so kandidati za brisanje, ne za selitev, in če jih izbrišete najprej, je poznejša primerjava poštena.

Če večina vnosov usmerja velik delež prometa, že poganjate popoln tunel s priloženim bremenom vzdrževanja. Odločitev je potem o tem, kje živi privzeta nastavitev, ne o tem, ali naj bi jo imeli.

Preverite, ali prehod zmore privzeto nastavitev

Popolno tuneliranje premakne vsak paket na eno napravo, kar hkrati spremeni obremenitev CPU, tabelo conntrack, prevajanje naslovov in zahtevo po izhodni pasovni širini te naprave. Prehod, ki je udobno strežel nekaj notranjih podomrežij, morda ni bil dimenzioniran za vse brskanje enega uporabnika. Glejte na največje pričakovano število hkratnih sej, ne na povprečje, ker se vrh zlomi prvi.

ip -s link show dev tun0
conntrack -C
ss -s

Izmerite isto obremenitev pred spremembo in po njej, namesto da sklepate iz specifikacij. Eno popoldne običajne uporabe na enem računalniku bo pokazalo, ali je prehod blizu meje, in to ne stane nič v primerjavi z odkritjem v ponedeljek zjutraj.

Preverite tudi path MTU od konca do konca, ker popolna privzeta nastavitev izpostavi vsako aplikacijo največji velikosti paketa tunela. Aplikacije, ki so delovale zunaj tunela, so zdaj morda odvisne od vedenja fragmentacije, o katerem vam nikoli ni bilo treba razmišljati.

Potrdite, da lokalne storitve in zasebni DNS še delujejo

Naštejte, kaj mora ostati lokalno po protokolu, ne po imenu aplikacije: protokoli za odkrivanje tiskalnikov in zaslonov, most pametnega doma, upravljalna stran usmerjevalnika, lokalni razvojni strežnik, dosegljiv po imenu, ki se razreši samo v omrežju LAN. To se pokvari, ko privzeta pot začne kazati v tunel, in pokvari se tiho, ker se na odjemalcu nič ne zapiše kot napaka.

Zasebni DNS je druga odvisnost. Če je notranja imena prej razreševal razreševalnik tunela, se nič ne spremeni; če so se razreševala lokalno, jih mora popolna privzeta nastavitev pripeljati do razreševalnika, ki pozna območja. Po spremembi preizkusite eno notranje in eno javno ime, namesto da bi domnevali, da je seznam razreševalnikov preživel.

Zapišite lokalne izjeme v profil, ki jim je lastnik. Izjema, shranjena samo v nečijem spominu, je prva stvar, ki jo naslednja selitev izgubi.

Preselite en profil in preverite meje

Spremenite profil prek njegove lastne konfiguracije, namesto da bi na ročne poti, ki so ostale od prejšnjih poskusov, položili novo privzeto nastavitev. Te preostale poti so običajen vzrok selitve, ki se zdi, da deluje, in se dan kasneje obnaša nedosledno. Ohranite stari profil na voljo, da bo povrnitev izbira in ne ponovna gradnja.

Nato preverite dve meji ločeno: da javni in zasebni cilji delujejo, in da neželeni promet ne zapusti tunela. Uspešno nalaganje strani dokazuje prvo in o drugem ne pove nič.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Preverjanje ponovite po ponovni povezavi in po izpadu, ker je kill switch, ki med prekinitvijo blokira promet, druga lastnost kot pot, ki se nato pravilno obnovi. Preprostejša zasnova je tista, katere resnično pokritost še vedno znate razložiti po spremembi aplikacije ali omrežja.