To'liq tunnel uzoq bo'lingan tunnel ro'yxatidan soddaroqmi?

Bo'lingan tunnel ro'yxati uchta ilova bilan boshlanadi va mashinaning katta qismini qamrab oladi, har bir yangi satr birovning istisnosi. Shu nuqtada ro'yxat jimgina qo'shimcha qadamlar bilan standartga aylangan. To'liq tunnel tartibni teskari aylantiradi: hujjatlashtirilgan istisno boshqacha aytmasa, hamma narsa tunnelga kiradi. Bu soddaroqmi — shlyuzga va siz buzadigan mahalliy xizmatlarga bog'liq.

Siz yuritadigan qoidalarni sanashdan boshlang

Yozuvlarni sanang, so'ng nechtasida nomlangan egasi va oxirgi tekshirilgan sana borligini sanang. Ikkinchi raqam muhim, chunki egasi yo'q istisnoni u havola qilgan dastur nomi o'zgarganda yoki almashtirilganda baholab bo'lmaydi. Bajariladigan fayl yo'liga bog'langan qoidalar yangilanishdan keyin jimgina ishlamay qoladi, va nosozlik eski qoida emas, beqaror VPN kabi ko'rinadi. Ro'yxatni u haqida fikr bildirishdan oldin yozib qo'ying.

Har bir yozuv uchta savolga javob berishi kerak: usiz nima buziladi, buni kim hal qildi va sabab tugaganini qanday sezasiz. Uchalasiga javob bera olmaydigan yozuvlar ko'chirish emas, o'chirish nomzodlari, va ularni oldin o'chirish keyingi taqqoslashni halol qiladi.

Agar yozuvlarning ko'pchiligi trafikning katta qismini yo'naltirsa, siz allaqachon xizmat yuki bilan birga to'liq tunnel ishlatyapsiz. Qaror standartning qayerda yashashiga oid, unga ega bo'lish kerakmi degan savolga emas.

Shlyuz standartni ko'tara oladimi, tekshiring

To'liq tunnel har bir paketni bitta qurilmaga o'tkazadi, bu esa o'sha qurilmaning CPU yuklamasi, conntrack jadvali, manzil tarjimasi va yuqori oqim bandligi talabini bir vaqtda o'zgartiradi. Bir nechta ichki subnetlarga bemalol xizmat qilgan shlyuz bitta foydalanuvchining butun veb-ko'rishiga mo'ljallanmagan bo'lishi mumkin. O'rtachaga emas, kutgan eng katta bir vaqtdagi seanslar soniga qarang, chunki eng yuqori nuqta birinchi buziladi.

ip -s link show dev tun0
conntrack -C
ss -s

Spetsifikatsiyalardan fikr yuritish o'rniga o'zgarishdan oldin va keyin bir xil yuklamani o'lchang. Bitta mashinada oddiy foydalanishning bir tushdan keyingi qismi shlyuz chegaraga yaqinmi-yo'qmi ko'rsatadi va buni dushanba kuni ertalab bilib olish bilan solishtirganda hech qanday xarajat talab qilmaydi.

Yo'l MTU'sini ham uchidan uchigacha tekshiring, chunki to'liq standart har bir ilovani tunnelning eng katta paket hajmiga duchor qiladi. Tunneldan tashqarida ishlagan ilovalar endi siz hech qachon o'ylamagan bo'laklash xatti-harakatiga bog'liq bo'lishi mumkin.

Mahalliy xizmatlar va xususiy DNS hali ishlashini tasdiqlang

Ilova nomi bo'yicha emas, protokol bo'yicha mahalliy qolishi kerak bo'lgan narsalarni sanab chiqing: printerlar va displeylar uchun aniqlash protokollari, aqlli uy ko'prigi, routerning boshqaruv sahifasi, faqat LANda hal qilinadigan nom orqali yetib boriladigan mahalliy dasturlash serveri. Bular standart yo'l tunnelga qarata boshlaganda buziladi va mijozda hech qanday xato yozilmagani uchun jimgina buziladi.

Xususiy DNS — boshqa bog'liqlik. Agar ichki nomlar avval tunnel rezolveri tomonidan hal qilingan bo'lsa, hech narsa o'zgarmaydi; agar ular mahalliy hal qilingan bo'lsa, to'liq standart ularni zonalarni biladigan rezolverga olib borishi kerak. O'zgarishdan keyin bitta ichki va bitta ommaviy nomni sinab ko'ring, rezolverlar ro'yxati omon qoldi deb taxmin qilish o'rniga.

Mahalliy istisnolarni ularga egalik qiladigan profilga yozing. Faqat birovning xotirasida saqlangan istisno keyingi ko'chirish yo'qotadigan birinchi narsadir.

Bitta profilni ko'chiring va chegaralarni tekshiring

Profilni avvalgi tajribalardan qolgan qo'lda yo'llar ustiga yangi standart qo'shish o'rniga, unga egalik qiladigan konfiguratsiya orqali o'zgartiring. O'sha qolgan yo'llar ishlayotgandek ko'rinib, bir kun keyin nomuvofiq tutadigan ko'chirishning odatiy sababidir. Eski profilni foydalanishda saqlang, shunda orqaga qaytish qayta qurish emas, tanlov bo'ladi.

So'ngra ikki chegarani alohida tekshiring: ommaviy va xususiy manzillar ikkalasi ham ishlaydi, va istalmagan trafik tunneldan tashqariga chiqmaydi. Muvaffaqiyatli sahifa yuklanishi birinchisini isbotlaydi va ikkinchisi haqida hech narsa demaydi.

ip route get 203.0.113.10
ip route get 10.40.8.15
resolvectl query intranet.example
curl -sS -o /dev/null -w "%{remote_ip}\n" https://example.com

Tekshiruvni qayta ulangandan keyin va uzilishdan keyin takrorlang, chunki tushish vaqtida trafikni to'sadigan kill switch keyin to'g'ri tiklanadigan yo'ldan boshqa xususiyatdir. Sodda dizayn — ilova yoki tarmoq o'zgargandan keyin ham uning haqiqiy qamrovini hali tushuntira oladigan dizayndir.