Një formësues tc nuk e kufizon vetë çdo klient VPN

Udhëzimi tingëllon i plotë: kufizo çdo klient VPN në 20 Mbit/s. Nuk është i plotë, dhe një disiplinë e vetme radhe në ndërfaqen e tunelit nuk do t'i japë ato. Për çdo klient mund të thotë për çdo adresë tuneli, për çdo pajisje ose për çdo llogari, dhe çdo zgjedhje i klasifikon paketat ndryshe. Përpara se të shkruash çdo rregull, vendos cilën prej tyre kërkesa emërton vërtet.

Gjithçka më poshtë ka të bëjë me distancën midis asaj fjalie dhe diçkaje që funksionon.

Çfarë duhet të thotë së pari «për çdo klient»

Një adresë tuneli klasifikohet lehtë dhe riciklohet lehtë. Një pajisje është më e vështirë, sepse një llogari mund të mbajë disa, dhe një pajisje mund të ketë disa adresa, sidomos me IPv6. Për një politikë drejtësie llogaria është njësia më kuptimplotë, dhe më e vështira për t'u dalluar në një kokë pakete. Çdo përkufizim nënkupton çelësin e vet të numërimit, prandaj një politikë që lëkundet midis tyre nuk do të bëjë atë që pohon përshkrimi.

Drejtimi është fjala e dytë që mungon. Ngarkimi, shkarkimi dhe kombinimi janë tre kërkesa të ndryshme, dhe një rregull i vetëm daljeje në një ndërfaqe rrallë mbulon të dyja rrugët.

Zgjidhni një pikë ku klienti është ende i dukshëm

Çdo drejtim përcaktohet kundrejt një ndërfaqeje. Ajo që largohet nga tuneli i serverit drejt një klienti të largët llogaritet si shkarkim për atë klient; ajo që klienti dërgon hyn në tunel dhe më pas del drejt destinacionit të vet. Zgjidhni një pikë planifikimi për çdo drejtim dhe pyesni cilat fusha ekzistojnë atje. Përpara NAT të burimit, ngarkimi ende mban adresën e brendshme të klientit; pas përkthimit, një përputhje e thjeshtë burimi mund të mos e identifikojë më.

Në rrugën e kriptuar kokëzat i përkasin transportit VPN, prandaj një filtër që përputh adresa të brendshme nuk ka çfarë të përputhë. Një projekt mund të klasifikojë më herët dhe t'i dorëzojë një shenjë një planifikuesi më të vonë, por kjo dorëzim duhet të jetë i qëllimshëm: shenjat e paketës, shenjat e lidhjes dhe klasat e planifikuesit janë gjendje të ndryshme, jo një vlerë e vetme që kalon tutje.

Kovat nuk shfaqen vetë

Një kovë tokenësh e lidhur me një ndërfaqe formëson çdo trafik që e përdor atë; nuk pret një kovë të re për çdo adresë burimi. Një projekt i bazuar në klasa rendit në vend të kësaj trafikun e zgjedhur në klasa, filtrat vendosin anëtarësinë, dhe manuali i HTB-së ndan shkallën e një klase nga tavani i saj kur prindi ka gjerësi bande të lirë. Nëse qëllimi është një tavan i fortë, vendos tavanin dhe vendos me qëllim sjelljen e huamarrjes; mos e trajto çdo shifër shkalle si maksimum absolut.

Kur kërkesa është për çdo klient, dy transferta që ecin njëkohësisht duhet të ndajnë një kuotë të vetme. T'i japësh çdo rrjedhe shkallën e plotë është politikë tjetër, dhe i mbijeton çdo testi që vëzhgon vetëm një shkarkim.

Dy pajisje, një llogari, një kuotë?

Kufizimi i dy adresave të pajisjeve veçmas nuk mblidhet kurrë në një kuotë të vetme në nivel llogarie, edhe kur të dyja pajisjet hyjnë si i njëjti person. E njëjta gjë vlen për një LAN të tërë të përkthyer pas një partneri, ose për adresa shtesë IPv6 që klasifikuesi nuk i priste kurrë. Mbaj lidhjen mes adresës dhe identitetit të përditësuar, dhe mba mend se një adresë e qëndrueshme e thjeshton hartën pa vërtetuar pronarin e saj.

Përcakto edhe sjelljen e shpërthimit dhe të radhës. Kovat e tokenëve lejojnë shpërthime të shkurtra mbi mesataren, dhe buferizimi shton vonesë; të policosh tepricën dhe ta vendosësh në radhë për më vonë janë vendime të ndryshme me simptoma të ndryshme.

Për të vërtetuar, nis dy transferta nga një klient, shto një klient të dytë, dhe lexo numëruesit e klasave në çdo drejtim.