Formësimi i trafikut OpenVPN: cili ndërfaqe e sheh?

Kaloni nëpër katër kontrolle: çfarë dëshironi të kufizoni, cila paketë mbart informacionin që e identifikon, cili ndërfaqe e sheh formësuesi dhe çfarë përballon ruteri gjatë kriptimit. Ruterët vijnë edhe me një faqe OpenVPN edhe me një faqe të gjerësisë së brezit, dhe bashkëjetesa e tyre nuk provon asgjë për asnjërën. Rendi ka rëndësi, sepse një rregull i shkruar kundër paketës së gabuar nuk përputhet kurrë, sado i saktë qoftë shpejtësia e tij.

Filloni me qëllimin: kufizoni një pajisje, ndani kapacitetin në mënyrë të drejtë ose jepni përparësi një aplikacioni. Secili kërkon një përputhje të ndryshme.

Emërtoni qëllimin përpara rregullit

Një kufi për pajisje kërkon përputhje me adresën e asaj pajisjeje, e cila ekziston vetëm brenda tunelit. Drejtësia midis rrjedhave konkurruese kërkon një radhë që të gjitha e ndajnë, jo një rregull për çdo host. Përparësia e aplikacionit kërkon diçka që e identifikon aplikacionin, më e vështira e të treve pasi kriptimi i heq titujt e brendshëm nga pamja. Shkrimi i qëllimit në fillim ju tregon cilën fakt ju nevojitet dhe ku mund ta merrni.

Një kufi që funksionon në trafikun e drejtpërdrejtë WAN nuk është provë se i njëjti host mbulohet brenda tunelit. Rregulli mund të përputhet me një adresë që nuk shfaqet kurrë në titullin që sheh formësuesi.

Brenda tunelit ose jashtë tij

Me një klient VPN në ruter, shumë rrjedha LAN udhëtojnë brenda një transporti të vetëm të kriptuar. Përpara kapsulimit ruteri ende sheh burimin dhe destinacionin e brendshëm, kështu që politika e lidhur në atë fazë mund të klasifikojë sipas pajisjes. Pas kapsulimit, pajisjet e zakonshme shohin vetëm lidhjen e jashtme, dhe një përputhje me portën VPN nuk thotë asgjë se cila pajisje është përgjegjëse. Ky fakt i vetëm vendos se ku i takon rregulli.

Platformat ndryshojnë në mënyrën se si e ekspozojnë këtë. Disa ofrojnë një formësues që radhit dhe klasifikon në një ndërfaqe tuneli; të tjerë i trajtojnë kufizuesit si rregulla ndërfaqeje që sillen njësoj për trafikun VPN dhe atë jo VPN; disa bëjnë të dyja me aftësi të ndryshme. Lexoni dokumentacionin e vetë firmuerit për ndërfaqen që mbështet, në vend që të kopjoni një emër ndërfaqeje nga udhëzuesi i një prodhuesi tjetër.

Identifikoni ku adresat mbeten të disponueshme, ku ndodh përkthimi dhe cila radhë kontrollon në të vërtetë pikën e ngushtë.

Tre politika, tre lloje provash

Një kufi shpejtësie provohet nga një transferim i vazhdueshëm nga pajisja e kufizuar, ndërsa një tjetër transferon në të njëjtën kohë. Ndarja e drejtë provohet nga dy rrjedha që arrijnë shpejtësi të ngjashme në vend që njëra të mbetet pa asgjë, që është një matje tjetër. Përparësia e aplikacionit provohet nga një detyrë interaktive që mbetet e përgjegjshme gjatë një transferimi masiv, dhe duke kontrolluar nëse klasifikuesi e njohu fare rrjedhën. Secila politikë kërkon vëzhgimin e vet, dhe asnjëra nuk provohet nga një faqe konfigurimi.

Klasifikimi meriton dyshim të veçantë. Një përputhje me portën e jashtme të kriptuar nuk mund të rikuperojë identitetin e çdo aplikacioni të brendshëm, kështu që një rregull që duket se i jep përparësi një aplikacioni mund në praktikë t'i japë përparësi gjithçkaje që vjen nga ai tunel. Lexoni numëruesit e rregullit, jo qëllimin e tij.

Matni ngarkesën e kriptuar, jo atë të zhveshur

Formësimi, klasifikimi dhe kriptimi konkurrojnë për një CPU, dhe përshpejtimi harduerik mund ta kalojë trafikun përtej pikërisht atyre rregullave dhe numëruesve që po vëzhgoni. Një shifër xhiroje nga një test i thjeshtë rrugëtimi thotë pak për kutinë nën një ngarkesë të kriptuar dhe të formësuar. Testoni të dy drejtimet, disa klientë përfaqësues dhe një detyrë të vogël interaktive krahas transferimit masiv. Përgjegjshmëria nën ngarkesë ka më shumë rëndësi sesa numri maksimal në një lidhje të papunë.

Përfshini përjashtimet në matje: trafikun që duhet ta anashkalojë tunelin, të dyja familjet e adresave nëse të dyja janë në lojë, dhe çfarë ndodh kur tuneli është jashtë funksionit. Një politikë që sillet në mënyrë të arsyeshme vetëm sa kohë tuneli është i shëndetshëm është gjysmë politike.

Shkruajeni specifikimin si tre rreshta: përputhja e trafikut, pika e zbatimit dhe ngarkesa e matur. OpenVPN plus QoS nuk është specifikim.