Tam tünel ile bölünmüş tünel: dört fark
Etiket, bir dizüstü bilgisayarın kalan trafiğinin nereden çıktığını belirler, ne kadar hızlı olduğunu değil. Seçmeden önce çıkışı, yükü, DNS'i ve hata davranışını karşılaştırın.
Tünel etiketleri, bir dizüstü bilgisayarın kalan trafiğinin nereye gittiğini anlatır, ne kadar hızlı gittiğini değil. Tam tünelde, genel istekler internete çıkmadan önce VPN geçidinden geçer. Bölünmüş tünelde, özel hedefler tüneli kullanır ve diğer her şey yerel yolu izler. İkisi de dahili uygulamaya ulaşır, bu yüzden insanların ilk yaptığı erişilebilirlik testi hangi politikanın dağıtıldığı hakkında hiçbir şey söylemez.
Bunun yerine çıkışı test edin: genel bir yankı sayfası hangi adresi bildiriyor ve hangi çözümleyici yanıtladı.
Efsane: bölünmüş tünel yalnızca daha hızlı seçenektir
Bölünmüş tünel sıklıkla bir performans özelliği olarak satılır ve öyle olabilir, ancak bu tanım değil yan etkidir. Tanım, hangi hedeflerin tünele girdiğine dair bir yönlendirme kararıdır. Hız farkı yalnızca doğrudan yol, ofis üzerinden dolambaçlı yoldan gerçekten daha iyiyse ortaya çıkar. Tıkalı bir ev bağlantısında ve hafif yüklü bir geçitte, tam tünel ikisinden daha hızlı olabilir.
Yani dürüst çerçeve yolun sahipliği ve kontrolüyle ilgilidir; performans ise sonradan ölçülen bir şeydir. Hız için seçilen ve DNS'inizi ve genel çıkışınızı sessizce taşıyan bir politika yanlış nedenle seçilmiştir.
Gerçekte ne değişir: çıkış
Tam tünelde, genel bir web sitesi ofisin çıkış adresini görür ve ofis filtrelemesi isteği görür. Bölünmüş tünelde, aynı site kullanıcının ev adresini görür ve ofis hiçbir şey görmez. Bunlar farklı görünürlük modelleridir ve hiçbiri otomatik olarak daha güvenli değildir. Yararlı soru, kuruluşun hangisini gerçekten işletebileceğidir.
Bağlı rozetine güvenmek yerine doğrudan kontrol edin. Genel adres yankısı çıkışı gösterir ve çözümleyici testi kimin DNS'inin yanıtladığını gösterir.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Sonra geçit ne taşımalı
Görüntülü aramalar, indirmeler ve özel uygulamalar taşıyan bir geçit, yalnızca dahili istekler taşıyan bir geçitten çok farklı bir iş yükü için kapasiteye ihtiyaç duyar. Sitenin internet bağlantısı hem kullanıcının gelişini hem de sonraki genel çıkışı taşır, bu yüzden iki bağlantı aynı anda doyabilir.
Yerel çıkış bu yükü ve dolambacı ortadan kaldırır ve daha iyi bir deneyim garanti etmez, çünkü doğrudan yol da tıkalı olabilir. Yönlendirme etiketini performans ölçüsü saymak yerine gerçek uygulamayı karşılaştırın.
Tam tünel altında istisnalar vardır
Varsayılan rota her paketin envanteri değildir. Daha belirgin rotalar, yerel ağ izinleri, uygulama hariç tutmaları ve ayrı IPv6 kuralları hepsi trafiği hareket ettirir, bu yüzden tam tünel olarak tanımlanan bir politika yine de sızabilir. İşletim sisteminin yönlendirme belgeleri zorunlu tünel varsayılanları için bu ayrımı yapar ve istemcinin istisna listesi sızıntının genellikle yaşadığı yerdir. Davranışı doğrulayın, niyeti değil.
IPv6 kendi bakışını hak eder, çünkü yalnızca IPv4 taşıyan bir tünel bütün yığını politikanın dışında bırakır.
DNS ayrı bir politikadır
Dahili adların onları tanıyan bir çözümleyiciye ihtiyacı vardır ve bu çözümleyici yalnızca tünel üzerinden erişilebilir olabilir. Kendi şifreli DNS'ine sahip bir tarayıcı sistem çözümleyicisini tamamen atlayabilir; bu, dahili adların başarısız olduğu ve genel adların çalıştığı bir bölünme yaratır ya da tersi.
Aramaların nereye gitmesi gerektiğine karar verin, sonra istemci ile tarayıcıyı uyumlu hale getirin. Başarılı genel gezinme dahili ad çözümlemesini asla test etmez, bu yüzden bir intranet sitesi kaybolduğunda yanlış kanıttır.
Hata politikasını yazın, sonra test edin
Tünel düştüğünde ne olacağına karar verin: her şeyi engelle, yalnızca özel kaynakları engelle veya doğrudan bağlantılara izin ver. Otomatik yeniden bağlanma bu soruyu yanıtlamaz ve yalnızca tünel arayüzünü kapsayan bir öldürme anahtarı, hariç tutulan uygulamaların serbestçe konuşmasına izin verebilir. Gerçek bir bağlantı kesilmesini ve ağ değişikliğini test edin, sonra istemcinin durumunu okuyun, çünkü belgeler amaçlanan davranışı anlatır, kurulu olanı değil.
Özel rotaları, genel çıkışı, DNS sunucularını, yerel istisnaları ve hata davranışını kısa bir notta kaydedin. Politikayı onu yazmayan biri için doğrulanabilir kılan şey o nottur.