Je, tunnel kamili ni rahisi zaidi kuliko orodha ndefu ya tunnel iliyogawanywa?

Orodha ya tunnel iliyogawanywa huanza na programu tatu na kuishia kushughulikia sehemu kubwa ya mashine, na kila mstari mpya ni kighairi cha mtu fulani. Wakati huo orodha imekuwa chaguo-msingi lenye hatua za ziada kwa utulivu. Tunnel kamili hubadilisha mpangilio: kila kitu huingia kwenye tunnel isipokuwa kighairi kilichoandikwa kiseme vinginevyo. Ikiwa hiyo ni rahisi zaidi inategemea lango na huduma za ndani ambazo ungevunja.

Anza kwa kuhesabu kanuni unazozihudumia

Hesabu maingizo, kisha hesabu ni ngapi zina mmiliki aliyetajwa na tarehe ya uthibitisho wa mwisho. Nambari ya pili ndiyo yenye maana, kwa sababu kighairi kisicho na mmiliki hakiwezi kutathminiwa wakati programu inayokirejelea inabadilishwa jina au kubadilishwa. Kanuni zinazohusiana na njia ya kifaa cha kutekeleza hushindwa kimya baada ya sasisho, na hitilafu inaonekana kama VPN isiyo imara badala ya kanuni iliyopitwa na wakati. Andika orodha kabla ya kuwa na maoni kuhusu hiyo.

Kila ingizo linapaswa kujibu maswali matatu: nini huvunjika bila hilo, nani aliamua hivyo, na ungeona vipi ikiwa sababu imeisha muda. Maingizo yasiyoweza kujibu yote matatu ni watahiniwa wa kufutwa badala ya kuhamishwa, na kuyafuta kwanza hufanya ulinganisho wa baadaye uwe wa kweli.

Ikiwa maingizo mengi yanaelekeza sehemu kubwa ya trafiki, tayari unaendesha tunnel kamili yenye mzigo wa matengenezo. Uamuzi wakati huo unahusu chaguo-msingi linaishi wapi, si kama unapaswa kuwa nalo.

Angalia kama lango linaweza kubeba chaguo-msingi

Tunnel kamili huhamisha kila pakiti kwenda kifaa kimoja, jambo ambalo hubadilisha kwa wakati mmoja mzigo wa CPU, jedwali la conntrack, tafsiri ya anwani na mahitaji ya bandwidth ya juu ya kifaa hicho. Lango lililohudumia kwa raha subneti chache za ndani linaweza lisikuwa limepimwa kwa urambazaji wote wa mtumiaji mmoja. Angalia idadi kubwa zaidi ya vikao vya wakati mmoja unayotarajia, si wastani, kwa sababu kilele ndicho kinachovunjika kwanza.

ip -s link show dev tun0
conntrack -C
ss -s

Pima mzigo huo huo kabla na baada ya mabadiliko badala ya kufikiri kutoka kwa vipimo. Mchana mmoja wa matumizi ya kawaida kwenye mashine moja utaonyesha kama lango liko karibu na kikomo, na haina gharama yoyote ikilinganishwa na kugundua hilo asubuhi ya Jumatatu.

Angalia pia path MTU kutoka mwanzo hadi mwisho, kwa sababu chaguo-msingi kamili huweka kila programu kwenye ukubwa wa juu wa pakiti wa tunnel. Programu zilizofanya kazi nje ya tunnel sasa zinaweza kutegemea tabia ya kugawanyika ambayo hukuwahi kufikiria.

Thibitisha kuwa huduma za ndani na DNS ya kibinafsi bado zinafanya kazi

Orodhesha kinachopaswa kubaki cha ndani kwa itifaki badala ya jina la programu: itifaki za ugunduzi za vichapishi na skrini, daraja la nyumba mahiri, ukurasa wa usimamizi wa router, seva ya maendeleo ya ndani inayofikiwa kwa jina linalotatuliwa kwenye LAN pekee. Hivi huvunjika wakati njia ya chaguo-msingi inapoanza kuelekeza ndani ya tunnel, na huvunjika kimya kwa sababu hakuna kinachorekodi hitilafu kwa mteja.

DNS ya kibinafsi ni tegemezi lingine. Ikiwa majina ya ndani yalitatuliwa na resolver ya tunnel hapo awali, hakuna kinachobadilika; ikiwa yalitatuliwa ndani, chaguo-msingi kamili linapaswa kuyapeleka kwa resolver inayojua kanda. Jaribu jina moja la ndani na jina moja la umma baada ya mabadiliko badala ya kudhani orodha ya resolver ilinusurika.

Andika vighairi vya ndani kwenye wasifu unaovimiliki. Kighairi kinachohifadhiwa tu kwenye kumbukumbu ya mtu ndicho kitu cha kwanza kupotea kwenye uhamisho unaofuata.

Hamisha wasifu mmoja na uthibitisha mipaka

Badilisha wasifu kupitia usanidi unaoumiliki, badala ya kuweka chaguo-msingi kipya juu ya njia za mkono zilizoachwa na majaribio ya awali. Njia hizo zilizobaki ndizo sababu ya kawaida ya uhamisho unaoonekana kufanya kazi na kuwa na tabia isiyo sawa siku moja baadaye. Weka wasifu wa zamani upatikane ili kurudi nyuma kuwe chaguo na si ujenzi upya.

Kisha uthibitisha mipaka miwili tofauti: kwamba maeneo ya umma na ya kibinafsi yanafanya kazi yote mawili, na kwamba trafiki isiyotakiwa haitoki nje ya tunnel. Upakuaji wa ukurasa uliofanikiwa huthibitisha la kwanza na hausemi chochote kuhusu la pili.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Rudia ukaguzi baada ya kuunganisha tena na baada ya kukatika, kwa sababu kill switch inayozuia trafiki wakati wa kukatika ni sifa tofauti na njia inayorekebishwa vizuri baadaye. Muundo rahisi zaidi ni ule ambao bado unaweza kueleza ufuniko wake halisi baada ya programu au mtandao kubadilika.