Mas simple ba ang buong tunneling kaysa sa mahabang listahan ng split-tunnel?

Ang listahan ng split-tunnel ay nagsisimula sa tatlong application at nauuwi sa pagsakop sa karamihan ng makina, at bawat bagong linya ay eksepsiyon ng isang tao. Sa puntong iyon ang listahan ay tahimik na naging default na may dagdag na hakbang. Binabaligtad ng buong tunneling ang kaayusan: lahat ay pumapasok sa tunnel maliban kung may dokumentadong pagbubukod na nagsasabi ng iba. Kung mas simple iyon ay nakasalalay sa gateway at sa mga lokal na serbisyo na masisira mo.

Magsimula sa pagbilang ng mga panuntunang pinapanatili mo

Bilangin ang mga entry, pagkatapos bilangin kung ilan ang may pinangalanang may-ari at petsa ng huling pagpapatunay. Ang pangalawang bilang ang mahalaga, dahil ang eksepsiyon na walang may-ari ay hindi masusuri kapag ang software na tinutukoy nito ay pinalitan ng pangalan o pinalitan. Ang mga panuntunang nakaangkla sa path ng executable ay tahimik na nabibigo pagkatapos ng update, at ang kabiguan ay mukhang hindi matatag na VPN sa halip na lumang panuntunan. Isulat ang listahan bago ka magkaroon ng opinyon tungkol dito.

Ang bawat entry ay dapat sumagot sa tatlong tanong: ano ang masisira kung wala ito, sino ang nagpasya niyon, at paano mo mapapansin kung nag-expire ang dahilan. Ang mga entry na hindi makasagot sa tatlo ay mga kandidato para sa pagbura sa halip na paglipat, at ang pagbura sa kanila muna ay ginagawang tapat ang huling paghahambing.

Kung karamihan ng entry ay nagro-route ng malaking bahagi ng trapiko, nagpapatakbo ka na ng buong tunnel na may kalakip na pasanin sa pagpapanatili. Ang desisyon ay tungkol sa kung saan nakatira ang default, hindi kung dapat mayroon.

Suriin kung kaya ng gateway na dalhin ang default

Ang buong tunneling ay naglilipat ng bawat packet sa isang device, na sabay na nagbabago sa CPU load, conntrack table, address translation at pangangailangan sa upstream bandwidth ng device na iyon. Ang gateway na kumportableng naglilingkod sa ilang internal subnet ay maaaring hindi nasukat para sa lahat ng pagba-browse ng isang user. Tingnan ang pinakamalaking bilang ng sabay na session na inaasahan mo sa halip na ang average, dahil ang tuktok ang unang nabibiyak.

ip -s link show dev tun0
conntrack -C
ss -s

Sukatin ang parehong workload bago at pagkatapos ng pagbabago sa halip na mangatwiran mula sa mga spec. Ang isang hapon ng ordinaryong paggamit sa isang makina ay magpapakita kung malapit na ang gateway sa limitasyon, at wala itong gastos kumpara sa pagtuklas nito sa isang Lunes ng umaga.

Suriin din ang path MTU mula dulo hanggang dulo, dahil ang buong default ay naglalantad sa bawat application sa pinakamataas na laki ng packet ng tunnel. Ang mga application na gumana sa labas ng tunnel ay maaaring umasa na ngayon sa pag-uugali ng fragmentation na hindi mo kailangang isipin.

Kumpirmahin na gumagana pa ang mga lokal na serbisyo at pribadong DNS

Ilahad kung ano ang dapat manatiling lokal ayon sa protocol sa halip na ayon sa pangalan ng application: mga discovery protocol para sa printer at display, isang smart-home bridge, ang admin page ng router, isang lokal na development server na naabot sa isang pangalang nare-resolve lamang sa LAN. Ang mga ito ay nasisira kapag ang default na ruta ay nagsimulang tumuro sa tunnel, at tahimik silang nasisira dahil walang naglo-log ng error sa client.

Ang pribadong DNS ang ibang dependency. Kung ang mga panloob na pangalan ay nare-resolve dati ng resolver ng tunnel, wala nagbabago; kung lokal silang nare-resolve, kailangang dalhin ng buong default ang mga ito sa resolver na alam ang mga zone. Subukan ang isang panloob at isang pampublikong pangalan pagkatapos ng pagbabago sa halip na ipagpalagay na nabuhay ang listahan ng resolver.

Isulat ang mga lokal na eksepsiyon sa profile na nagmamay-ari sa kanila. Ang eksepsiyon na itinatago lamang sa memorya ng isang tao ang unang nawawala sa susunod na paglipat.

Ilipat ang isang profile at i-verify ang mga hangganan

Baguhin ang profile sa pamamagitan ng configuration na nagmamay-ari nito, sa halip na magpatong ng bagong default sa mga manual na ruta na naiwan ng mga dating eksperimento. Ang mga natirang rutang iyon ang karaniwang dahilan ng paglipat na tila gumagana at kakaiba ang kilos makalipas ang isang araw. Panatilihing magagamit ang lumang profile upang ang pag-rollback ay isang pagpipilian at hindi isang muling pagtatayo.

Pagkatapos ay i-verify nang hiwalay ang dalawang hangganan: na gumagana ang parehong pampubliko at pribadong destinasyon, at na ang hindi gustong trapiko ay hindi lumalabas sa tunnel. Ang matagumpay na pag-load ng pahina ay nagpapatunay sa una at walang sinasabi tungkol sa pangalawa.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Ulitin ang pagsusuri pagkatapos ng muling pagkonekta at pagkatapos ng pagkawala, dahil ang kill switch na humaharang sa trapiko habang may pagkaantala ay ibang katangian kaysa sa rutang maayos na naibalik pagkatapos. Ang mas simpleng disenyo ay ang isa na maipapaliwanag mo pa rin ang tunay na saklaw pagkatapos magbago ang isang application o network.