Full tunnel kontra delad tunnel: de fyra skillnaderna
Etiketten avgör var resten av en bärbar dators trafik går ut, inte hur snabb den är. Jämför utgång, belastning, DNS och felbeteende innan du väljer.
Tunneletiketter beskriver vart resten av en bärbar dators trafik tar vägen, inte hur snabbt den går. Med full tunnel passerar offentliga förfrågningar VPN-gatewayen innan de lämnar för internet. Med delad tunnel använder privata destinationer tunneln och allt annat tar den lokala vägen. Båda når den interna applikationen, så tillgänglighetstestet som folk kör först säger ingenting om vilken policy som är utrullad.
Testa utgången i stället: vilken adress en offentlig ekosida rapporterar, och vilken resolver som svarade.
Myt: delad tunnel är bara det snabbare alternativet
Delad tunnel säljs ofta som en prestandafunktion, och det kan den vara, men det är en bieffekt och inte definitionen. Definitionen är ett routingbeslut om vilka destinationer som går in i tunneln. Hastighetsskillnaden syns bara när den direkta vägen verkligen är bättre än omvägen genom kontoret. På en överbelastad hemmaförbindelse och en lätt belastad gateway kan full tunnel vara den snabbaste av de två.
Så den ärliga ramen handlar om vägens ägande och kontroll, med prestanda som något man mäter efteråt. En policy vald för hastighet som tyst flyttar din DNS och din offentliga utgång valdes av fel anledning.
Vad som faktiskt ändras: utgången
Under full tunnel ser en offentlig webbplats kontorets utgångsadress och kontorets filtrering ser begäran. Under delad tunnel ser samma webbplats användarens hemadress och kontoret ser ingenting. Det är olika synlighetsmodeller, och ingen av dem är automatiskt säkrare. Den användbara frågan är vilken organisationen faktiskt kan driva.
Kontrollera det direkt i stället för att lita på ett Ansluten-märke. En offentlig adresseko visar utgången, och ett resolvertest visar vems DNS som svarade.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Vad gatewayen då måste bära
En gateway som bär videosamtal, nedladdningar och privata applikationer behöver kapacitet för en helt annan arbetsbelastning än en som bara bär interna förfrågningar. Webbplatsens internetanslutning bär både användarens ankomst och den efterföljande offentliga utgången, så två länkar kan mättas samtidigt.
Lokal utgång tar bort den belastningen och omvägen, och den garanterar inte en bättre upplevelse, eftersom den direkta vägen också kan vara överbelastad. Jämför den faktiska applikationen i stället för att behandla en routingetikett som en prestandamätning.
Det finns undantag under en full tunnel
En standardrout är inte en förteckning över varje paket. Mer specifika rutter, tillstånd för lokala nätverk, applikationsundantag och separata IPv6-regler flyttar all trafik, och därför kan en policy som beskrivs som full tunnel fortfarande läcka. Operativsystemets routingdokumentation gör den skillnaden för tvingade tunnelstandarder, och klientens undantagslista är där läckan vanligtvis bor. Verifiera beteende, inte avsikt.
IPv6 förtjänar en egen titt, eftersom en tunnel som bara bär IPv4 lämnar en hel stack utanför policyn.
DNS är en egen policy
Interna namn behöver en resolver som känner dem, och den resolvern kan bara vara nåbar genom tunneln. En webbläsare med egen krypterad DNS kan kringgå systemets resolver helt, vilket skapar en delning där interna namn misslyckas och offentliga fungerar, eller tvärtom.
Bestäm vart uppslagningar ska gå, och få sedan klienten och webbläsaren att vara överens. Lyckad offentlig surfning testar aldrig intern namnmatchning, så det är fel bevis att hänvisa till när en intranätsajt försvinner.
Skriv felpolicyn och testa den sedan
Bestäm vad som händer när tunneln faller: blockera allt, blockera bara privata resurser eller tillåt direkta anslutningar. Automatisk återanslutning svarar inte på den frågan, och en dödmansbrytare som bara täcker tunnelns gränssnitt kan låta undantagna applikationer tala fritt. Testa en riktig frånkoppling och en nätverksändring och läs sedan klientens tillstånd, eftersom dokumentationen beskriver det avsedda beteendet och inte det installerade.
Skriv ned de privata rutterna, den offentliga utgången, DNS-servrarna, de lokala undantagen och felbeteendet i en kort anteckning. Det är den anteckningen som gör policyn verifierbar för någon som inte skrev den.