การจัดรูปทราฟฟิก OpenVPN: อินเทอร์เฟซใดมองเห็น?

ตรวจสอบสี่ข้อ: สิ่งที่คุณต้องการจำกัด แพ็กเก็ตใดที่พาข้อมูลซึ่งระบุสิ่งนั้น อินเทอร์เฟซใดที่ตัวจัดรูปมองเห็น และอะไรที่เราเตอร์รับไหวขณะเข้ารหัส เราเตอร์มาพร้อมทั้งหน้า OpenVPN และหน้าแบนด์วิดท์ และการที่ทั้งสองอยู่ด้วยกันไม่ได้พิสูจน์สิ่งใดเกี่ยวกับหน้าใดเลย ลำดับมีความสำคัญ เพราะกฎที่เขียนกับแพ็กเก็ตผิดจะไม่มีวันตรงกัน ไม่ว่าอัตราของกฎนั้นจะถูกต้องเพียงใด

เริ่มจากเป้าหมาย: จำกัดอุปกรณ์ตัวเดียว แบ่งความจุอย่างเป็นธรรม หรือให้ความสำคัญกับแอปหนึ่งตัว แต่ละอย่างต้องใช้การจับคู่ที่ต่างกัน

ตั้งชื่อเป้าหมายก่อนเขียนกฎ

การจำกัดต่ออุปกรณ์ต้องจับคู่กับที่อยู่ของอุปกรณ์นั้น ซึ่งมีอยู่เฉพาะภายในอุโมงค์ ความเป็นธรรมระหว่างโฟลว์ที่แข่งขันกันต้องใช้คิวที่ทุกโฟลว์ใช้ร่วมกัน ไม่ใช่กฎต่อโฮสต์ ลำดับความสำคัญของแอปต้องใช้สิ่งที่ระบุแอปได้ ซึ่งเป็นข้อที่ยากที่สุดในสามข้อเมื่อการเข้ารหัสนำหัวข้อชั้นในออกไปจากสายตา การเขียนเป้าหมายลงไปก่อนจะบอกคุณว่าต้องใช้ข้อเท็จจริงใดและจะหาข้อเท็จจริงนั้นได้จากที่ใด

การจำกัดที่ได้ผลกับทราฟฟิก WAN โดยตรงไม่ใช่หลักฐานว่าโฮสต์เดียวกันนั้นถูกครอบคลุมภายในอุโมงค์ กฎอาจจับคู่กับที่อยู่ที่ไม่เคยปรากฏในหัวข้อที่ตัวจัดรูปมองเห็น

ภายในอุโมงค์หรือภายนอก

ด้วยไคลเอนต์ VPN ที่อยู่บนเราเตอร์ โฟลว์ LAN จำนวนมากเดินทางภายในช่องขนส่งที่เข้ารหัสช่องเดียว ก่อนการห่อหุ้มเราเตอร์ยังมองเห็นต้นทางและปลายทางชั้นใน ดังนั้นนโยบายที่ผูกในขั้นตอนนั้นจึงจำแนกตามอุปกรณ์ได้ หลังการห่อหุ้ม อุปกรณ์ทั่วไปมองเห็นเพียง การเชื่อมต่อชั้นนอก และการจับคู่ที่พอร์ต VPN ไม่ได้บอกอะไรว่าอุปกรณ์ใดเป็นผู้รับผิดชอบ ข้อเท็จจริงข้อเดียวนี้กำหนดว่ากฎควรอยู่ที่ใด

แพลตฟอร์มต่างกันในการเปิดเผยสิ่งนี้ บางแห่งมีตัวจัดรูปที่จัดคิวและจำแนกบนอินเทอร์เฟซอุโมงค์ บางแห่งถือว่าตัวจำกัดเป็นกฎอินเทอร์เฟซที่ทำงานเหมือนกันกับทราฟฟิก VPN และที่ไม่ใช่ VPN บางแห่งทำทั้งสองอย่างด้วยความสามารถต่างกัน อ่านเอกสารของเฟิร์มแวร์เองสำหรับอินเทอร์เฟซที่รองรับ แทนที่จะคัดลอกชื่ออินเทอร์เฟซจากคู่มือของผู้ผลิตอีกราย

ระบุว่าที่อยู่ยังคงใช้ได้ที่ใด การแปลที่อยู่เกิดขึ้นที่ใด และคิวใดควบคุมคอขวดจริง

สามนโยบาย สามชนิดของหลักฐาน

การจำกัดอัตราพิสูจน์ได้ด้วยการถ่ายโอนต่อเนื่องจากอุปกรณ์ที่ถูกจำกัดขณะที่อีกเครื่องถ่ายโอนในเวลาเดียวกัน การแบ่งอย่างเป็นธรรมพิสูจน์ได้ด้วยสองโฟลว์ที่ได้อัตราใกล้เคียงกันแทนที่จะมีโฟลว์หนึ่งอดอยาก ซึ่งเป็นการวัดอีกแบบหนึ่ง ลำดับความสำคัญของแอปพิสูจน์ได้ด้วยงานโต้ตอบที่ยังตอบสนองได้ระหว่างการถ่ายโอนขนาดใหญ่ และด้วยการตรวจสอบว่าตัวจำแนกรู้จักโฟลว์นั้นหรือไม่ แต่ละนโยบายต้องมีการสังเกตของตัวเอง และไม่มีข้อใดพิสูจน์ได้ด้วยหน้าตั้งค่า

การจำแนกสมควรได้รับความสงสัยเป็นพิเศษ การจับคู่ที่พอร์ตชั้นนอกที่เข้ารหัสไม่สามารถกู้คืนตัวตนของทุกแอปชั้นในได้ ดังนั้นกฎที่ดูเหมือนให้ความสำคัญกับแอปหนึ่งอาจให้ความสำคัญกับทุกสิ่งจากอุโมงค์นั้นในทางปฏิบัติ อ่านตัวนับของกฎ ไม่ใช่เจตนาของมัน

วัดภาระงานที่เข้ารหัส ไม่ใช่วัดเปล่า

การจัดรูป การจำแนก และการเข้ารหัสแข่งกันใช้ CPU ตัวเดียว และการเร่งด้วยฮาร์ดแวร์อาจพาทราฟฟิกข้ามกฎและตัวนับที่คุณกำลังดูอยู่ ตัวเลขทราฟฟิกจากทดสอบการกำหนดเส้นทางธรรมดาบอกได้น้อยเกี่ยวกับอุปกรณ์ภายใต้ภาระที่เข้ารหัสและจัดรูป ทดสอบทั้งสองทิศทาง ไคลเอนต์ตัวแทนหลายตัว และงานโต้ตอบเล็ก ๆ ควบคู่กับการถ่ายโอนขนาดใหญ่ การตอบสนองภายใต้ภาระสำคัญกว่าตัวเลขสูงสุดบนลิงก์ที่ว่าง

รวมข้อยกเว้นไว้ในการวัด: ทราฟฟิกที่ควรข้ามอุโมงค์ ทั้งสองตระกูลที่อยู่หากทั้งคู่ทำงานอยู่ และสิ่งที่เกิดขึ้นเมื่ออุโมงค์ล่ม นโยบายที่ทำงานสมเหตุสมผลเฉพาะเมื่ออุโมงค์แข็งแรงคือครึ่งหนึ่งของนโยบาย

เขียนข้อกำหนดเป็นสามบรรทัด: การจับคู่ทราฟฟิก จุดบังคับใช้ และภาระงานที่วัดได้ OpenVPN บวก QoS ไม่ใช่ข้อกำหนด