Tunnel toàn phần và tunnel chia tách: bốn điểm khác biệt
Nhãn quyết định phần còn lại của lưu lượng laptop đi ra ở đâu, không phải tốc độ nhanh hay chậm. Hãy so sánh lối ra, tải, DNS và hành vi khi lỗi trước khi chọn.
Nhãn tunnel mô tả phần còn lại của lưu lượng laptop đi đâu, không phải nó đi nhanh đến mức nào. Với tunnel toàn phần, các yêu cầu công cộng đi qua cổng VPN trước khi ra internet. Với tunnel chia tách, các điểm đến riêng tư dùng tunnel và mọi thứ khác đi theo đường cục bộ. Cả hai đều đến được ứng dụng nội bộ, nên bài kiểm tra khả năng đến mà mọi người thường làm trước không cho biết chính sách nào đang được triển khai.
Thay vào đó hãy kiểm tra lối ra: trang dội công cộng báo cáo địa chỉ nào, và trình phân giải nào đã trả lời.
Lầm tưởng: tunnel chia tách chỉ là lựa chọn nhanh hơn
Tunnel chia tách thường được bán như một tính năng hiệu năng, và có thể đúng là vậy, nhưng đó là tác dụng phụ chứ không phải định nghĩa. Định nghĩa là quyết định định tuyến về việc điểm đến nào đi vào tunnel. Chênh lệch tốc độ chỉ xuất hiện khi đường trực tiếp thực sự tốt hơn đường vòng qua văn phòng. Trên một đường mạng gia đình tắc nghẽn và một cổng ít tải, tunnel toàn phần có thể là lựa chọn nhanh hơn trong hai.
Vì vậy cách đặt vấn đề trung thực là về quyền sở hữu và kiểm soát đường đi, còn hiệu năng là thứ đo sau đó. Một chính sách được chọn vì tốc độ mà âm thầm chuyển DNS và lối ra công cộng của bạn đã được chọn vì lý do sai.
Điều thực sự thay đổi: lối ra
Dưới tunnel toàn phần, một trang web công cộng thấy địa chỉ ra của văn phòng và bộ lọc của văn phòng thấy yêu cầu. Dưới tunnel chia tách, cùng trang đó thấy địa chỉ nhà của người dùng và văn phòng không thấy gì. Đó là những mô hình hiển thị khác nhau và không cái nào tự động an toàn hơn. Câu hỏi hữu ích là tổ chức thực sự có thể vận hành cái nào.
Hãy kiểm tra trực tiếp thay vì tin vào huy hiệu Đã kết nối. Dội địa chỉ công cộng cho thấy lối ra, và bài kiểm tra trình phân giải cho thấy DNS của ai đã trả lời.
| Question | Full tunnel | Split tunnel |
|---|---|---|
| Public exit address | Office egress | Local connection |
| Gateway load | All covered traffic | Private destinations only |
| Office visibility | Requests and destinations | Private resource access only |
Sau đó cổng phải mang gì
Một cổng mang cuộc gọi video, tải xuống và ứng dụng riêng tư cần dung lượng cho khối lượng công việc rất khác so với cổng chỉ mang yêu cầu nội bộ. Kết nối internet của trang mang cả sự xuất hiện của người dùng và lối ra công cộng tiếp theo, nên hai liên kết có thể bão hòa cùng lúc.
Lối ra cục bộ loại bỏ tải đó và đường vòng, và nó không bảo đảm trải nghiệm tốt hơn, vì đường trực tiếp cũng có thể tắc. Hãy so sánh ứng dụng thực tế thay vì coi nhãn định tuyến là phép đo hiệu năng.
Có những ngoại lệ dưới tunnel toàn phần
Tuyến mặc định không phải bản kiểm kê mọi gói tin. Các tuyến cụ thể hơn, quyền cho mạng cục bộ, loại trừ ứng dụng và quy tắc IPv6 riêng đều di chuyển lưu lượng, nên một chính sách được mô tả là tunnel toàn phần vẫn có thể rò rỉ. Tài liệu định tuyến của hệ điều hành tạo ra sự phân biệt đó cho các mặc định tunnel cưỡng bức, và danh sách ngoại lệ của máy khách là nơi rò rỉ thường sống. Hãy xác minh hành vi, không phải ý định.
IPv6 đáng được nhìn riêng, vì một tunnel chỉ mang IPv4 để cả một ngăn xếp ngoài chính sách.
DNS là một chính sách riêng
Tên nội bộ cần một trình phân giải biết chúng, và trình phân giải đó có thể chỉ truy cập được qua tunnel. Một trình duyệt có DNS mã hóa riêng có thể bỏ qua hoàn toàn trình phân giải của hệ thống, tạo ra sự chia tách trong đó tên nội bộ thất bại và tên công cộng hoạt động, hoặc ngược lại.
Hãy quyết định các truy vấn nên đi đâu, sau đó làm cho máy khách và trình duyệt đồng ý. Duyệt web công cộng thành công không bao giờ kiểm tra việc phân giải tên nội bộ, nên đó là bằng chứng sai khi một trang intranet biến mất.
Hãy viết chính sách lỗi, rồi kiểm tra nó
Hãy quyết định điều gì xảy ra khi tunnel sập: chặn mọi thứ, chỉ chặn tài nguyên riêng tư, hoặc cho phép kết nối trực tiếp. Tự động kết nối lại không trả lời câu hỏi đó, và một công tắc ngắt chỉ che giao diện tunnel có thể để các ứng dụng bị loại trừ nói chuyện tự do. Hãy thử ngắt kết nối thật và thay đổi mạng, rồi đọc trạng thái của máy khách, vì tài liệu mô tả hành vi dự định chứ không phải hành vi đã cài.
Ghi lại các tuyến riêng tư, lối ra công cộng, máy chủ DNS, ngoại lệ cục bộ và hành vi khi lỗi trong một ghi chú ngắn. Chính ghi chú đó làm cho chính sách có thể xác minh bởi người không viết ra nó.