Oblikovanje prometa OpenVPN: kateri vmesnik ga vidi?

Pojdite skozi štiri preverjanja: kaj želite omejiti, kateri paket nosi informacijo, ki to prepozna, kateri vmesnik vidi oblikovalnik in kaj usmerjevalnik zmore med šifriranjem. Usmerjevalniki se dobavljajo s stranjo OpenVPN in s stranjo o pasovni širini, njuno soobstajanje pa ne dokazuje ničesar o nobeni od njiju. Vrstni red je pomemben, ker se pravilo, napisano za napačen paket, nikoli ne ujame, ne glede na to, kako pravilna je njegova hitrost.

Začnite s ciljem: omejiti eno napravo, pravično deliti zmogljivost ali dati prednost eni aplikaciji. Vsak potrebuje drugačno ujemanje.

Poimenujte cilj pred pravilom

Omejitev na napravo potrebuje ujemanje z naslovom te naprave, ki obstaja samo znotraj predora. Pravičnost med tekmujočimi tokovi potrebuje čakalno vrsto, ki jo vsi delijo, ne pravila na gostitelja. Prednost aplikacije potrebuje nekaj, kar aplikacijo prepozna, kar je po tem, ko šifriranje odstrani notranje glave, najtežje od treh. Če cilj zapišete najprej, veste, kateri podatek potrebujete in kje ga sploh lahko dobite.

Omejitev, ki deluje na neposrednem prometu WAN, ni dokaz, da je isti gostitelj pokrit znotraj predora. Pravilo se lahko ujema z naslovom, ki se v glavi, ki jo vidi oblikovalnik, nikoli ne pojavi.

Znotraj predora ali zunaj njega

Pri odjemalcu VPN na usmerjevalniku veliko tokov LAN potuje v enem šifriranem transportu. Pred zapakiranjem usmerjevalnik še vedno vidi notranji vir in cilj, zato lahko politika, pritrjena na tej stopnji, razvršča po napravi. Po zapakiranju običajna oprema vidi le zunanjo povezavo, ujemanje s pristaniščem VPN pa ne pove ničesar o tem, katera naprava je odgovorna. To eno dejstvo odloči, kam pravilo sodi.

Platforme se razlikujejo po tem, kako to izpostavijo. Nekatere ponujajo oblikovalnik, ki daje v čakalno vrsto in razvršča na vmesniku predora; druge omejevalnike obravnavajo kot pravila vmesnika, ki se obnašajo enako za promet VPN in ne-VPN; nekatere počnejo oboje z različnimi zmožnostmi. Namesto da bi ime vmesnika prepisali iz priročnika drugega proizvajalca, preberite dokumentacijo strojne programske opreme za vmesnik, ki ga podpira.

Ugotovite, kje so naslovi še na voljo, kje poteka prevajanje in katera čakalna vrsta dejansko nadzoruje ozko grlo.

Tri politike, tri vrste dokazov

Omejitev hitrosti se dokaže s trajnim prenosom z omejene naprave, medtem ko druga prenaša sočasno. Pravična delitev se dokaže z dvema tokovoma, ki dosežeta podobni hitrosti, namesto da bi eden stradal, kar je drugačna meritev. Prednost aplikacije se dokaže z interaktivno nalogo, ki ostane odzivna med množičnim prenosom, in s preverjanjem, ali je klasifikator tok sploh prepoznal. Vsaka politika potrebuje svoje opazovanje in nobene ne dokaže konfiguracijska stran.

Razvrščanje si zasluži posebno nezaupljivost. Ujemanje z zunanjim šifriranim pristaniščem ne more obnoviti identitete vsake notranje aplikacije, zato lahko pravilo, ki se zdi, da daje prednost eni aplikaciji, v praksi daje prednost vsemu iz tega predora. Berite števce pravila, ne njegovega namena.

Merite šifrirano obremenitev, ne golo

Oblikovanje, razvrščanje in šifriranje si delijo en CPU, strojna pospešitev pa lahko premakne promet mimo prav tistih pravil in števcev, ki jih opazujete. Številka prepustnosti iz preprostega preskusa usmerjanja pove malo o napravi pod šifrirano in oblikovano obremenitvijo. Preizkusite obe smeri, več reprezentativnih odjemalcev in majhno interaktivno nalogo ob množičnem prenosu. Odzivnost pod obremenitvijo je pomembnejša od najvišje številke na brezdelni povezavi.

V meritev vključite izjeme: promet, ki naj bi predor obšel, obe naslovni družini, če sta v igri obe, in kaj se zgodi, ko predor ni dosegljiv. Politika, ki se obnaša smiselno le, dokler je predor zdrav, je polovična politika.

Specifikacijo napišite kot tri vrstice: ujemanje prometa, mesto uveljavljanja in izmerjena obremenitev. OpenVPN plus QoS ni specifikacija.