Да ли је потпуно тунелирање једноставније од дуге листе подељеног тунелирања?

Листа подељеног тунелирања почиње са три апликације и на крају покрива већи део рачунара, а сваки нови ред је нечији изузетак. У том тренутку листа је тихо постала подразумевана вредност са додатним корацима. Потпуно тунелирање окреће распоред: све улази у тунел осим ако документовани изузетак не каже другачије. Да ли је то једноставније зависи од мрежног пролаза и од локалних сервиса које бисте покварили.

Почните бројањем правила која одржавате

Пребројте уносе, а затим пребројте колико их има именованог власника и датум последње провере. Други број је онај који је важан, јер изузетак без власника не може се проценити када се софтвер на који упућује преименује или замени. Правила везана за путању извршне датотеке тихо откажу након ажурирања, а квар изгледа као нестабилан VPN, а не као застарело правило. Запишите листу пре него што о њој створите мишљење.

Сваки унос требало би да одговори на три питања: шта се квари без њега, ко је то одлучио и како бисте приметили да је разлог истекао. Уноси који не могу да одговоре на сва три кандидати су за брисање, а не за миграцију, а њихово брисање најпре чини касније поређење искреним.

Ако већина уноса усмерава велики део саобраћаја, већ водите потпуни тунел са приложеним теретом одржавања. Одлука је тада о томе где подразумевана вредност станује, а не о томе треба ли је имати.

Проверите да ли мрежни пролаз може да носи подразумевану вредност

Потпуно тунелирање премешта сваки пакет на један уређај, што истовремено мења оптерећење процесора, conntrack табелу, превођење адреса и потребу за излазном пропусношћу тог уређаја. Мрежни пролаз који је удобно служио неколико интерних подмрежа можда није био димензионисан за целокупно прегледање једног корисника. Гледајте на највећи очекивани број истовремених сесија, а не на просек, јер се врх први квари.

ip -s link show dev tun0
conntrack -C
ss -s

Измерите исто оптерећење пре и после промене уместо да закључујете из спецификација. Једно поподне уобичајене употребе на једном рачунару показаће да ли је мрежни пролаз близу границе, и то не кошта ништа у поређењу са откривањем у понедељак ујутру.

Проверите и path MTU од краја до краја, јер потпуна подразумевана вредност излаже сваку апликацију највећој величини пакета тунела. Апликације које су радиле изван тунела сада могу зависити од понашања фрагментације о коме никада нисте морали да размишљате.

Потврдите да локални сервиси и приватни DNS још раде

Попишите шта мора да остане локално према протоколу, а не према називу апликације: протоколи за откривање штампача и екрана, мост паметног дома, административна страница рутера, локални развојни сервер доступан под именом које се разрешава само на LAN-у. То се квари када подразумевана рута почне да показује у тунел, и квари се тихо јер се на клијенту ништа не бележи као грешка.

Приватни DNS је друга зависност. Ако је интерна имена раније разрешавао резолвер тунела, ништа се не мења; ако су се разрешавала локално, потпуна подразумевана вредност мора да их доведе до резолвера који познаје зоне. Тестирајте једно интерно и једно јавно име након промене уместо да претпоставите да је листа резолвера преживела.

Запишите локалне изузетке у профил који их поседује. Изузетак који постоји само у нечијем памћењу прво је што следећа миграција изгуби.

Мигрирајте један профил и проверите границе

Промените профил кроз његову сопствену конфигурацију, уместо да на ручне руте које су остале од претходних експеримената наложите нову подразумевану вредност. Те преостале руте уобичајен су узрок миграције која изгледа да ради и дан касније се понаша недоследно. Држите стари профил доступним како би повратак био избор, а не поновна изградња.

Затим проверите две границе одвојено: да јавна и приватна одредишта раде, и да нежељени саобраћај не излази изван тунела. Успешно учитавање странице доказује прво и не говори ништа о другом.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Поновите проверу након поновног повезивања и након прекида, јер је kill switch који блокира саобраћај током пада друго својство од руте која се затим исправно обнови. Једноставнији је онај дизајн чију стварну покривеност још можете да објасните након што се апликација или мрежа промени.