Један tc обликовач сам по себи не ограничава сваког VPN клијента

Упутство звучи потпуно: ограничи сваког VPN клијента на 20 Mbit/s. Али није потпуно, и једна дисциплина реда на интерфејсу тунела то неће обезбедити. „По клијенту“ може да значи по адреси тунела, по уређају или по налогу, и сваки избор другачије класификује пакете. Пре него што напишеш било које правило, одлучи које од њих захтев заиста именује.

Све испод се односи на растојање између те реченице и нечега што функционише.

Шта прво мора да значи „по клијенту“

Адреса тунела се лако класификује и лако рециклира. Уређај је тежи, јер један налог може да носи неколико, а уређај може да има неколико адреса, посебно са IPv6. За политику правичности налог је најсмисленија јединица и најтеже се примећује у заглављу пакета. Свака дефиниција подразумева сопствени кључ за бројање, па политика која лебди између њих неће да ради оно што опис тврди.

Смер је друга реч која недостаје. Отпремање, преузимање и комбиновано су три различита захтева, а једно излазно правило на једном интерфејсу ретко покрива оба пута.

Изабери тачку где је клијент још видљив

Сваки смер се дефинише у односу на интерфејс. Оно што напушта тунел сервера ка удаљеном клијенту рачуна се као преузимање за тог клијента; оно што клијент пошаље улази у тунел и затим излази ка својој дестинацији. Изабери тачку за заказивање за сваки смер и питај која поља тамо постоје. Пре изворног NAT-а отпремање још носи унутрашњу адресу клијента; после превода, једноставно подударање извора можда га више не идентификује.

На шифрираном путу заглавља припадају VPN транспорту, па филтер који подудара унутрашње адресе нема шта да подудари. Пројекат може да класификује раније и преда ознаку каснијем заказивачу, али то предавање мора бити намерно: ознаке пакета, ознаке везе и класе заказивача су различито стање, а не једна вредност која се преноси даље.

Кофе не настају саме

Кофа са токенима причвршћена на интерфејс обликује саобраћај који је користи; она не кује нову кофу за сваку изворну адресу. Пројекат заснован на класама уместо тога разврстава изабрани саобраћај у класе, филтери одлучују о чланству, а HTB приручник одваја брзину класе од њеног плафона када родитељ има слободан пропусни опсег. Ако је намера чврст плафон, постави плафон и намерно одлучи понашање позајмљивања; не третирај сваку бројку брзине као апсолутни максимум.

Када је захтев по клијенту, два преноса која теку истовремено треба да поделе једну квоту. Дати сваком току пуну брзину је друга политика и опстаје на сваком тесту који гледа само једно преузимање.

Два уређаја, један налог, једна квота?

Одвојено ограничавање две адресе уређаја никада се не сабира у једну квоту на нивоу налога, чак и када се оба уређаја пријављују као иста особа. Исто важи за целу LAN мрежу преведену иза једног партнера, или за додатне IPv6 адресе које класификатор никада није очекивао. Одржавај везу адресе и идентитета ажурном и запамти да стабилна адреса поједностављује мапу без потврђивања њеног власника.

Дефиниши и понашање изблика и реда. Кофе са токенима допуштају кратке изблике изнад просека, а баферовање додаје кашњење; полицирање вишка и његово касније стављање у ред су различите одлуке са различитим симптомима.

За проверу, покрени два преноса са једног клијента, додај други клијент и читај бројаче класа у сваком смеру.