Обликовање OpenVPN саобраћаја: који интерфејс га види?

Прођите кроз четири провере: шта желите да ограничите, који пакет носи информацију која то идентификује, који интерфејс обликовач види и шта рутер подноси док шифрује. Рутери долазе и са страницом OpenVPN и са страницом о пропусном опсегу, а њихово заједничко постојање не доказује ништа ни о једној. Редослед је важан, јер правило написано према погрешном пакету никада се не поклапа, колико год његова брзина била тачна.

Почните од циља: ограничите један уређај, правично поделите капацитет или дајте приоритет једној апликацији. Сваки тражи другачије подударање.

Именујте циљ пре правила

Ограничење по уређају тражи подударање са адресом тог уређаја, која постоји само унутар тунела. Правичност између токова који се такмиче тражи ред који сви деле, а не правило по домаћину. Приоритет апликације тражи нешто што апликацију идентификује, најтеже од троје када шифровање уклони унутрашње заглавља из вида. Ако циљ прво запишете, знаћете који податак вам треба и где га уопште можете добити.

Ограничење које ради на директном WAN саобраћају није доказ да је исти домаћин покривен унутар тунела. Правило се може поклапати са адресом која се никада не појављује у заглављу које обликовач види.

Унутар тунела или изван њега

Са VPN клијентом на рутеру, многи LAN токови путују унутар једног шифрованог преноса. Пре инкапсулације рутер још види унутрашњи извор и одредиште, па политика повезана у тој фази може да класификује по уређају. После инкапсулације обична опрема види само спољну везу, а подударање са VPN портом не говори ништа о томе који је уређај одговоран. Та једна чињеница одређује где правило припада.

Платформе се разликују по томе како ово излажу. Неке нуде обликовач који ређа и класификује на интерфејсу тунела; друге ограничаваче третирају као правила интерфејса која се понашају исто за VPN и не-VPN саобраћај; неке раде обоје са различитим могућностима. Уместо да копирате назив интерфејса из приручника другог произвођача, прочитајте документацију фирмвера за интерфејс који подржава.

Идентификујте где су адресе још доступне, где се обавља превођење и који ред заиста контролише уско грло.

Три политике, три врсте доказа

Ограничење брзине доказује се трајним преносом са ограниченог уређаја док други преноси истовремено. Правична подела доказује се двема токовима који постижу сличне брзине уместо да један гладује, што је другачије мерење. Приоритет апликације доказује се интерактивним задатком који остаје одзиван током масовног преноса и провером да ли је класификатор ток уопште препознао. Свака политика тражи сопствено посматрање, а ниједну не доказује страница конфигурације.

Класификација заслужује посебну сумњу. Подударање са спољним шифрованим портом не може да поврати идентитет сваке унутрашње апликације, па правило које изгледа да даје приоритет једној апликацији може у пракси да даје приоритет свему из тог тунела. Читајте бројаче правила, а не његову намеру.

Мерите шифровани терет, не голи

Обликовање, класификација и шифровање се такмиче за један CPU, а хардверско убрзање може да преусмери саобраћај поред управо оних правила и бројача које гледате. Бројка пропусности из обичног теста рутирања говори мало о уређају под шифрованим и обликованим теретом. Тестирајте оба смера, неколико репрезентативних клијената и мали интерактивни задатак уз масовни пренос. Одзивност под оптерећењем важнија је од највише бројке на неактивној вези.

Укључите изузетке у мерење: саобраћај који треба да заобиђе тунел, обе адресне фамилије ако су обе у игри и шта се дешава када је тунел недоступан. Политика која се разумно понаша само док је тунел здрав је пола политике.

Напишите спецификацију као три реда: подударање саобраћаја, тачку примене и измерени терет. OpenVPN плус QoS није спецификација.