อุโมงค์เต็มกับอุโมงค์แยก: ความต่างสี่ประการ

ป้ายอุโมงค์บอกว่าทราฟฟิกที่เหลือของแล็ปท็อปไปที่ไหน ไม่ใช่ว่าไปเร็วแค่ไหน ในอุโมงค์เต็ม คำขอสาธารณะจะผ่านเกตเวย์ VPN ก่อนออกสู่อินเทอร์เน็ต ในอุโมงค์แยก ปลายทางส่วนตัวใช้อุโมงค์ และทุกอย่างอื่นใช้เส้นทางท้องถิ่น ทั้งสองไปถึงแอปพลิเคชันภายใน ดังนั้นการทดสอบการเข้าถึงที่ผู้คนทำก่อนจึงไม่บอกอะไรเกี่ยวกับนโยบายที่ติดตั้งไว้

ทดสอบทางออกแทน: หน้าเสียงสะท้อนสาธารณะรายงานที่อยู่ใด และตัวแก้ไขชื่อใดตอบ

ความเชื่อผิด: อุโมงค์แยกเป็นเพียงตัวเลือกที่เร็วกว่า

อุโมงค์แยกมักถูกขายเป็นคุณสมบัติด้านประสิทธิภาพ และอาจเป็นเช่นนั้นได้ แต่สิ่งนั้นเป็นผลข้างเคียงไม่ใช่คำนิยาม คำนิยามคือการตัดสินใจด้านเส้นทางว่าปลายทางใดเข้าสู่อุโมงค์ ความต่างของความเร็วจะปรากฏก็ต่อเมื่อเส้นทางตรงดีกว่าการอ้อมผ่านสำนักงานจริง ๆ บนลิงก์บ้านที่แออัดและเกตเวย์ที่มีภาระเบา อุโมงค์เต็มอาจเป็นตัวเลือกที่เร็วกว่าในสองแบบ

ดังนั้นกรอบที่ซื่อตรงจึงเกี่ยวกับความเป็นเจ้าของและการควบคุมเส้นทาง โดยประสิทธิภาพเป็นสิ่งที่วัดภายหลัง นโยบายที่เลือกเพราะความเร็วแต่ย้าย DNS และทางออกสาธารณะของคุณอย่างเงียบ ๆ ถูกเลือกด้วยเหตุผลที่ผิด

สิ่งที่เปลี่ยนจริงคือ: ทางออก

ในอุโมงค์เต็ม เว็บไซต์สาธารณะเห็นที่อยู่ทางออกของสำนักงานและการกรองของสำนักงานเห็นคำขอ ในอุโมงค์แยก ไซต์เดียวกันเห็นที่อยู่บ้านของผู้ใช้และสำนักงานไม่เห็นอะไรเลย สิ่งเหล่านี้เป็นรูปแบบการมองเห็นที่ต่างกัน และไม่มีแบบใดปลอดภัยกว่าโดยอัตโนมัติ คำถามที่มีประโยชน์คือองค์กรสามารถดำเนินการแบบใดได้จริง

ตรวจสอบโดยตรงแทนที่จะเชื่อป้ายเชื่อมต่อแล้ว เสียงสะท้อนที่อยู่สาธารณะแสดงทางออก และการทดสอบตัวแก้ไขชื่อแสดงว่า DNS ของใครตอบ

แล้วเกตเวย์ต้องแบกอะไร

เกตเวย์ที่แบกการโทรวิดีโอ การดาวน์โหลด และแอปพลิเคชันส่วนตัวต้องมีความจุสำหรับภาระงานที่ต่างจากเกตเวย์ที่แบกเฉพาะคำขอภายในอย่างสิ้นเชิง การเชื่อมต่ออินเทอร์เน็ตของไซต์แบกทั้งการมาถึงของผู้ใช้และทางออกสาธารณะที่ตามมา ดังนั้นสองลิงก์จึงอิ่มตัวพร้อมกันได้

ทางออกท้องถิ่นขจัดภาระและการอ้อมนั้น และไม่รับประกันประสบการณ์ที่ดีกว่า เพราะเส้นทางตรงก็อาจแออัดได้ เปรียบเทียบแอปพลิเคชันจริงแทนที่จะถือป้ายเส้นทางเป็นมาตรวัดประสิทธิภาพ

มีข้อยกเว้นภายใต้อุโมงค์เต็ม

เส้นทางเริ่มต้นไม่ใช่บัญชีของทุกแพ็กเก็ต เส้นทางที่เฉพาะเจาะจงกว่า การอนุญาตเครือข่ายท้องถิ่น การยกเว้นแอปพลิเคชัน และกฎ IPv6 แยกต่างหาก ล้วนย้ายทราฟฟิก ดังนั้นนโยบายที่อธิบายว่าเป็นอุโมงค์เต็มจึงยังรั่วได้ เอกสารเส้นทางของระบบปฏิบัติการสร้างความแตกต่างนั้นสำหรับค่าเริ่มต้นอุโมงค์แบบบังคับ และรายการยกเว้นของไคลเอนต์คือที่ที่การรั่วไหลมักอาศัยอยู่ ตรวจสอบพฤติกรรม ไม่ใช่เจตนา

IPv6 สมควรได้รับการมองแยก เพราะอุโมงค์ที่แบกเฉพาะ IPv4 ปล่อยสแต็กทั้งหมดไว้นอกนโยบาย

DNS เป็นนโยบายแยกต่างหาก

ชื่อภายในต้องใช้ตัวแก้ไขชื่อที่รู้จักชื่อเหล่านั้น และตัวแก้ไขชื่อนั้นอาจเข้าถึงได้ผ่านอุโมงค์เท่านั้น เบราว์เซอร์ที่มี DNS เข้ารหัสของตัวเองสามารถข้ามตัวแก้ไขชื่อของระบบได้ทั้งหมด ซึ่งสร้างการแยกที่ชื่อภายในล้มเหลวและชื่อสาธารณะทำงาน หรือตรงกันข้าม

ตัดสินใจว่าการค้นหาควรไปที่ไหน แล้วทำให้ไคลเอนต์และเบราว์เซอร์เห็นตรงกัน การท่องเว็บสาธารณะที่สำเร็จไม่เคยทดสอบการแก้ชื่อภายใน ดังนั้นจึงเป็นหลักฐานที่ผิดเมื่อไซต์อินทราเน็ตหายไป

เขียนนโยบายความล้มเหลว แล้วทดสอบ

ตัดสินใจว่าเกิดอะไรขึ้นเมื่ออุโมงค์ล่ม: บล็อกทุกอย่าง บล็อกเฉพาะทรัพยากรส่วนตัว หรืออนุญาตการเชื่อมต่อโดยตรง การเชื่อมต่อใหม่อัตโนมัติไม่ได้ตอบคำถามนั้น และสวิตช์ฆ่าที่ครอบคลุมเฉพาะอินเทอร์เฟซอุโมงค์อาจปล่อยให้แอปพลิเคชันที่ถูกยกเว้นพูดได้อย่างอิสระ ทดสอบการตัดการเชื่อมต่อจริงและการเปลี่ยนเครือข่าย แล้วอ่านสถานะของไคลเอนต์ เพราะเอกสารอธิบายพฤติกรรมที่ตั้งใจ ไม่ใช่ที่ติดตั้งไว้

บันทึกเส้นทางส่วนตัว ทางออกสาธารณะ เซิร์ฟเวอร์ DNS ข้อยกเว้นท้องถิ่น และพฤติกรรมเมื่อล้มเหลวไว้ในบันทึกสั้น ๆ หนึ่งฉบับ บันทึกนั้นคือสิ่งที่ทำให้นโยบายตรวจสอบได้โดยคนที่ไม่ได้เขียนมัน