Повний тунель і розділений тунель: чотири відмінності

Мітки тунелю описують, куди йде решта трафіку ноутбука, а не наскільки швидко він іде. У повному тунелі публічні запити проходять через VPN-шлюз, перш ніж вийти в інтернет. У розділеному тунелі приватні призначення використовують тунель, а все інше йде локальним шляхом. Обидва досягають внутрішньої програми, тому тест доступності, який люди роблять першим, нічого не каже про те, яку політику розгорнуто.

Натомість перевірте вихід: яку адресу повідомляє публічна сторінка відлуння і який резолвер відповів.

Міф: розділений тунель — це просто швидший варіант

Розділений тунель часто продають як функцію продуктивності, і він може нею бути, але це побічний ефект, а не визначення. Визначення — це рішення про маршрутизацію, які призначення потрапляють у тунель. Різниця у швидкості з'являється лише тоді, коли прямий шлях справді кращий за об'їзд через офіс. На перевантаженому домашньому каналі та слабо навантаженому шлюзі повний тунель може бути швидшим із двох.

Тож чесна постановка питання — про власність і контроль над шляхом, а продуктивність вимірюють пізніше. Політика, обрана заради швидкості й тихо переміщує ваш DNS і публічний вихід, обрана з неправильної причини.

Що насправді змінюється: вихід

У повному тунелі публічний сайт бачить адресу виходу офісу, а офісна фільтрація бачить запит. У розділеному тунелі той самий сайт бачить домашню адресу користувача, а офіс не бачить нічого. Це різні моделі видимості, і жодна не є автоматично безпечнішою. Корисне питання — яку з них організація справді може експлуатувати.

Перевірте це напряму, а не довіряйте значку Підключено. Публічне відлуння адреси показує вихід, а тест резолвера показує, чий DNS відповів.

Що тоді має нести шлюз

Шлюзу, який несе відеодзвінки, завантаження та приватні програми, потрібна ємність для зовсім іншого робочого навантаження, ніж тому, що несе лише внутрішні запити. Інтернет-з'єднання майданчика несе і прихід користувача, і подальший публічний вихід, тому дві лінії можуть насититися одночасно.

Локальний вихід прибирає це навантаження й об'їзд, і він не гарантує кращого досвіду, бо прямий шлях теж може бути перевантажений. Порівнюйте реальну програму, а не ставтеся до мітки маршрутизації як до вимірювання продуктивності.

У повному тунелі існують винятки

Маршрут за замовчуванням — це не опис кожного пакета. Конкретніші маршрути, дозволи для локальної мережі, винятки програм і окремі правила IPv6 — усе це рухає трафік, тому політика, описана як повний тунель, усе ще може протікати. Документація ОС щодо маршрутизації проводить цю відмінність для примусових тунелів за замовчуванням, а список винятків клієнта — це місце, де зазвичай живе витік. Перевіряйте поведінку, а не намір.

IPv6 заслуговує окремого погляду, бо тунель, що несе лише IPv4, залишає цілий стек поза політикою.

DNS — це окрема політика

Внутрішнім іменам потрібен резолвер, який їх знає, і цей резолвер може бути доступним лише через тунель. Браузер із власним зашифрованим DNS може повністю обходити системний резолвер, що створює поділ, де внутрішні імена не працюють, а публічні працюють, або навпаки.

Вирішіть, куди мають іти запити, потім узгодьте клієнт і браузер. Успішний публічний перегляд ніколи не перевіряє внутрішнє розв'язання імен, тому це неправильний доказ, коли сайт інтранету зникає.

Напишіть політику збою, потім перевірте її

Вирішіть, що відбувається, коли тунель падає: блокувати все, блокувати лише приватні ресурси або дозволити прямі з'єднання. Автоматичне перепідключення не відповідає на це питання, а вимикач, що покриває лише інтерфейс тунелю, може залишити виключені програми вільно говорити. Перевірте реальне відключення і зміну мережі, потім прочитайте стан клієнта, бо документація описує задуману, а не встановлену поведінку.

Запишіть приватні маршрути, публічний вихід, DNS-сервери, локальні винятки та поведінку під час збою в одній короткій нотатці. Саме ця нотатка робить політику перевірюваною для того, хто її не писав.