Пуни тунел наспрам подељеног тунела: четири разлике

Ознаке тунела описују где иде остатак саобраћаја преносног рачунара, а не колико брзо иде. Код пуног тунела, јавни захтеви пролазе кроз VPN пролаз пре него што изађу на интернет. Код подељеног тунела, приватне одреднице користе тунел, а све остало иде локалним путем. Оба стижу до унутрашње апликације, тако да тест доступности који људи први раде не говори ништа о томе која је политика распоређена.

Уместо тога проверите излаз: коју адресу пријављује јавна страница одјека и који је резолвер одговорио.

Мит: подељени тунел је само бржа опција

Подељени тунел се често продаје као функција перформанси и може то бити, али то је нуспојава, а не дефиниција. Дефиниција је одлука о усмеравању о томе које одреднице улазе у тунел. Разлика у брзини се појављује само када је директни пут заиста бољи од заобилажења кроз канцеларију. На преоптерећеној кућној вези и слабо оптерећеном пролазу, пуни тунел може бити бржи од два.

Зато је искрени оквир о власништву и контроли пута, а перформансе су нешто што се мери касније. Политика изабрана због брзине која тихо помера ваш DNS и јавни излаз изабрана је из погрешног разлога.

Шта се заправо мења: излаз

Код пуног тунела, јавни веб-сајт види излазну адресу канцеларије, а канцеларијско филтрирање види захтев. Код подељеног тунела, исти сајт види кућну адресу корисника, а канцеларија не види ништа. То су различити модели видљивости и ниједан није аутоматски безбеднији. Корисно питање је који од њих организација заиста може да одржава.

Проверите то директно уместо да верујете ознаци Повезано. Јавни одјек адресе показује излаз, а тест резолвера показује чији је DNS одговорио.

Шта онда пролаз мора да носи

Пролаз који носи видео-позиве, преузимања и приватне апликације треба капацитет за сасвим другачије радно оптерећење од оног који носи само унутрашње захтеве. Интернет веза сајта носи и долазак корисника и наредни јавни излаз, тако да две везе могу да се засите истовремено.

Локални излаз уклања то оптерећење и заобилажење и не гарантује бољи доживљај, јер и директни пут може бити преоптерећен. Упоредите стварну апликацију уместо да ознаку усмеравања третирате као мерење перформанси.

Постоје изузеци под пуним тунелом

Подразумевана рута није попис сваког пакета. Прецизније руте, дозволе за локалну мрежу, изузеци апликација и одвојена IPv6 правила сви померају саобраћај, зато политика описана као пуни тунел ипак може да цури. Документација оперативног система о усмеравању прави ту разлику за присилне подразумеване тунеле, а листа изузетака клијента је место где цурење обично живи. Проверите понашање, не намеру.

IPv6 заслужује посебан поглед, јер тунел који носи само IPv4 оставља цео стек ван политике.

DNS је одвојена политика

Унутрашња имена захтевају резолвер који их познаје, а тај резолвер можда је доступан само кроз тунел. Прегледач са сопственим шифрованим DNS-ом може потпуно да заобиђе системски резолвер, што ствара поделу у којој унутрашња имена не успевају, а јавна раде, или обрнуто.

Одлучите где претраге треба да иду, затим усагласите клијента и прегледач. Успешно јавно прегледање никада не тестира унутрашње разрешавање имена, зато је то погрешан доказ када интранет сајт нестане.

Напишите политику квара, затим је тестирајте

Одлучите шта се дешава када тунел падне: блокирајте све, блокирајте само приватне ресурсе или дозволите директне везе. Аутоматско поновно повезивање не одговара на то питање, а прекидач који покрива само интерфејс тунела може да остави изузете апликације да слободно говоре. Тестирајте стварно искључење и промену мреже, затим прочитајте стање клијента, јер документација описује предвиђено, а не инсталирано понашање.

Запишите приватне руте, јавни излаз, DNS сервере, локалне изузетке и понашање при квару у једну кратку белешку. Управо та белешка чини политику проверљивом за некога ко је није написао.