Tunel i plotë kundrejt tunelit të ndarë: katër dallimet

Etiketat e tunelit përshkruajnë ku shkon pjesa tjetër e trafikut të një laptopi, jo sa shpejt shkon. Me një tunel të plotë, kërkesat publike kalojnë përmes portës VPN përpara se të dalin në internet. Me tunel të ndarë, destinacionet private përdorin tunelin dhe gjithçka tjetër merr rrugën lokale. Të dyja arrijnë aplikacionin e brendshëm, prandaj testi i arritshmërisë që njerëzit bëjnë i pari nuk thotë asgjë për politikën e vendosur.

Testoni daljen në vend të kësaj: cila adresë raportohet nga një faqe jehone publike dhe cili zgjidhës u përgjigj.

Miti: tuneli i ndarë është thjesht opsioni më i shpejtë

Tuneli i ndarë shpesh shitet si veçori performanse dhe mund të jetë i tillë, por ky është një efekt anësor dhe jo përkufizimi. Përkufizimi është një vendim rrugëtimi për atë se cilat destinacione hyjnë në tunel. Diferenca e shpejtësisë shfaqet vetëm kur rruga e drejtpërdrejtë është vërtet më e mirë se devijimi përmes zyrës. Në një lidhje shtëpiake të mbingarkuar dhe një portë me ngarkesë të lehtë, tuneli i plotë mund të jetë më i shpejti i të dyve.

Prandaj korniza e ndershme ka të bëjë me pronësinë dhe kontrollin e rrugës, ndërsa performanca është diçka që matet më pas. Një politikë e zgjedhur për shpejtësi që lëviz në heshtje DNS-në dhe daljen tuaj publike është zgjedhur për arsyen e gabuar.

Çfarë ndryshon vërtet: dalja

Nën një tunel të plotë, një faqe interneti publike sheh adresën e daljes së zyrës dhe filtrimi i zyrës sheh kërkesën. Nën një tunel të ndarë, e njëjta faqe sheh adresën e shtëpisë së përdoruesit dhe zyra nuk sheh asgjë. Këto janë modele të ndryshme dukshmërie dhe asnjëri nuk është automatikisht më i sigurt. Pyetja e dobishme është cilin prej tyre organizata mund ta operojë vërtet.

Kontrollojeni drejtpërdrejt në vend që të besoni një shenjë Lidhur. Jehona e adresës publike tregon daljen dhe testi i zgjidhësit tregon DNS-në e kujt u përgjigj.

Çfarë duhet të mbajë më pas porta

Një portë që mban video-thirrje, shkarkime dhe aplikacione private ka nevojë për kapacitet për një ngarkesë pune krejt të ndryshme nga ajo që mban vetëm kërkesa të brendshme. Lidhja e internetit e faqes mban si mbërritjen e përdoruesit ashtu edhe daljen publike pasuese, prandaj dy lidhje mund të ngopen njëkohësisht.

Dalja lokale heq atë ngarkesë dhe devijimin, dhe nuk garanton një përvojë më të mirë, sepse edhe rruga e drejtpërdrejtë mund të jetë e mbingarkuar. Krahasoni aplikacionin aktual në vend që ta trajtoni etiketën e rrugëtimit si matje performance.

Ka përjashtime nën një tunel të plotë

Rruga e paracaktuar nuk është inventar i çdo pakete. Rrugë më specifike, leje për rrjetin lokal, përjashtime aplikacionesh dhe rregulla të veçanta IPv6 të gjitha lëvizin trafikun, prandaj një politikë e përshkruar si tunel i plotë mund të rrjedhë akoma. Dokumentacioni i rrugëtimit i sistemit operativ bën atë dallim për parazgjedhjet e tunelit të detyruar, dhe lista e përjashtimeve e klientit është vendi ku rrjedhja zakonisht jeton. Verifikoni sjelljen, jo qëllimin.

IPv6 meriton një vështrim më vete, sepse një tunel që mban vetëm IPv4 lë një stivë të tërë jashtë politikës.

DNS është një politikë e veçantë

Emrat e brendshëm kanë nevojë për një zgjidhës që i njeh, dhe ky zgjidhës mund të jetë i arritshëm vetëm përmes tunelit. Një shfletues me DNS-në e vet të enkriptuar mund të anashkalojë plotësisht zgjidhësin e sistemit, gjë që prodhon një ndarje ku emrat e brendshëm dështojnë dhe ata publikë funksionojnë, ose e kundërta.

Vendosni ku duhet të shkojnë kërkimet, më pas bëni klientin dhe shfletuesin të pajtohen. Shfletimi publik i suksesshëm nuk teston kurrë zgjidhjen e emrave të brendshëm, prandaj është dëshmia e gabuar për t'u cituar kur një faqe intraneti zhduket.

Shkruani politikën e dështimit, më pas testojeni

Vendosni çfarë ndodh kur tuneli bie: bllokoni gjithçka, bllokoni vetëm burimet private ose lejoni lidhje të drejtpërdrejta. Rilidhja automatike nuk i përgjigjet asaj pyetjeje, dhe një çelës vrasës që mbulon vetëm ndërfaqen e tunelit mund t'i lërë aplikacionet e përjashtuara të flasin lirshëm. Testoni një shkëputje reale dhe një ndryshim rrjeti, më pas lexoni gjendjen e klientit, sepse dokumentacioni përshkruan sjelljen e synuar dhe jo atë të instaluar.

Regjistroni rrugët private, daljen publike, serverët DNS, përjashtimet lokale dhe sjelljen në dështim në një shënim të shkurtër. Ai shënim është ai që e bën politikën të verifikueshme nga dikush që nuk e shkroi.