Paghubog ng Trapik ng OpenVPN: Aling Interface ang Nakakita Nito?

Daanan ang apat na pagsusuri: kung ano ang gusto mong limitahan, aling packet ang may dalang impormasyong kumikilala rito, aling interface ang nakikita ng shaper, at ano ang kayang gawin ng router habang nag-e-encrypt. May kasamang pahina ng OpenVPN at pahina ng bandwidth ang mga router, at walang pinatutunayan ang pagsasama nila tungkol sa alinman sa dalawa. Mahalaga ang pagkakasunod-sunod, dahil ang patakarang isinulat laban sa maling packet ay hinding-hindi magtutugma, gaano man katumpak ang rate nito.

Magsimula sa layunin: limitahan ang isang device, hatiin nang patas ang kapasidad, o bigyang priyoridad ang isang app. Bawat isa ay nangangailangan ng magkaibang pagtutugma.

Pangalanan ang Layunin Bago ang Patakaran

Ang takip kada device ay nangangailangan ng pagtutugma sa address ng device na iyon, na umiiral lamang sa loob ng tunnel. Ang pagiging patas sa pagitan ng nagkakumpitensiyang flow ay nangangailangan ng queue na pinagsasaluhan nilang lahat, hindi patakaran kada host. Ang priyoridad ng app ay nangangailangan ng isang bagay na kumikilala sa app, ang pinakamahirap sa tatlo kapag inalis na ng encryption ang mga panloob na header sa paningin. Ang pagsusulat muna ng layunin ay nagsasabi sa iyo kung aling katotohanan ang kailangan mo at saan mo ito posibleng makuha.

Ang takip na gumagana sa direktang trapik ng WAN ay hindi ebidensiya na ang parehong host ay sakop sa loob ng tunnel. Maaaring itinutugma ng patakaran ang isang address na hinding-hindi lumilitaw sa header na nakikita ng shaper.

Sa Loob ng Tunnel o Sa Labas Nito

Sa isang VPN client na pag-aari ng router, maraming flow ng LAN ang bumibiyahe sa loob ng isang naka-encrypt na transport. Bago ang encapsulation, nakikita pa rin ng router ang panloob na source at destination, kaya ang patakarang nakakabit sa yugtong iyon ay maaaring mag-uri-uri kada device. Pagkatapos ng encapsulation, ang ordinaryong kagamitan ay nakikita lamang ang panlabas na koneksyon, at ang pagtutugma sa port ng VPN ay walang sinasabi tungkol sa kung aling device ang may pananagutan. Ang isang katotohanang iyon ang nagpapasya kung saan nararapat ang patakaran.

Nagkakaiba ang mga platform sa paraan ng paglalantad nito. May nagbibigay ng shaper na nag-q-queue at nag-uuri sa interface ng tunnel; itinuturing ng iba ang mga limiter bilang mga patakaran ng interface na pareho ang kilos para sa trapik na VPN at hindi VPN; may gumagawa ng pareho na may magkaibang kakayahan. Basahin ang sariling dokumentasyon ng firmware para sa interface na sinusuportahan nito sa halip na kopyahin ang pangalan ng interface mula sa gabay ng ibang vendor.

Tukuyin kung saan nananatiling magagamit ang mga address, saan nangyayari ang translation at aling queue ang tunay na kumokontrol sa bottleneck.

Tatlong Patakaran, Tatlong Uri ng Ebidensiya

Ang takip sa rate ay napatutunayan ng tuloy-tuloy na paglilipat mula sa device na nilimitahan habang ang isa ay naglilipat sa parehong oras. Ang patas na paghahati ay napatutunayan ng dalawang flow na umaabot sa magkatulad na rate sa halip na magutom ang isa, na ibang pagsukat. Ang priyoridad ng app ay napatutunayan ng isang interactive na gawain na nananatiling tumutugon habang may malaking paglilipat, at sa pagsuri kung kinilala man ng classifier ang flow. Bawat patakaran ay nangangailangan ng sariling obserbasyon, at wala sa mga ito ang napatutunayan ng isang pahina ng configuration.

Ang pag-uuri ay dapat pag-isipan nang may partikular na pagdududa. Ang pagtutugma sa panlabas na naka-encrypt na port ay hindi makakabawi sa pagkakakilanlan ng bawat panloob na app, kaya ang patakarang mukhang nagbibigay priyoridad sa isang app ay maaaring sa praktika ay nagbibigay priyoridad sa lahat mula sa tunnel na iyon. Basahin ang mga counter ng patakaran, hindi ang layunin nito.

Sukatin ang Naka-encrypt na Workload, Hindi ang Hubad

Ang shaping, pag-uuri at encryption ay nagkukumpitensiya para sa isang CPU, at ang hardware acceleration ay maaaring magpaagos ng trapik na lampas sa mismong mga patakaran at counter na iyong binabantayan. Ang bilang ng throughput mula sa simpleng pagsubok ng routing ay kaunti ang sinasabi tungkol sa kahon sa ilalim ng naka-encrypt at na-shape na workload. Subukan ang dalawang direksyon, ilang representatibong kliyente, at isang maliit na interactive na gawain kasabay ng malaking paglilipat. Ang pagtugon sa ilalim ng load ay mas mahalaga kaysa sa pinakamataas na bilang sa isang bakanteng link.

Isama ang mga eksepsiyon sa pagsukat: trapik na dapat lumampas sa tunnel, parehong pamilya ng address kung pareho silang gumagana, at ano ang nangyayari kapag bumagsak ang tunnel. Ang patakarang kumikilos nang matino lamang habang malusog ang tunnel ay kalahating patakaran.

Isulat ang spesipikasyon bilang tatlong linya: ang pagtutugma ng trapik, ang punto ng pagpapatupad at ang sinusukat na workload. Ang OpenVPN kasama ang QoS ay hindi spesipikasyon.