Fähigkeiten

Über mehrere Strecken läuft das Netz selbst, nicht eine einzelne Anwendung

Fünf Dinge, die Transport auf IP-Ebene von einem Proxy und von gewöhnlicher Streckenbündelung trennen.

Transparentes VPN

VPN / 01

Jeder erlaubte IP-Verkehr, ohne Client in der Anwendung

Ein voller Tunnel oder ausgewählte Routen laufen über utun. Darin leben IPv4 und IPv6, TCP, UDP, DNS, ICMP und die übrigen erlaubten Protokolle. Der Endpunkt des Transports selbst bleibt vom Tunnel ausgenommen, und zwar hart: fällt diese Regel aus, bricht die Verbindung ab, statt daneben abzufließen.

Eine Systemschnittstelle statt eines SOCKS- oder HTTP-Proxys
Eine ausdrückliche MTU und die eigene Fragmentierung des Transports
Rohes IP wird aus dem eigenen Kopf eingestuft, und bei knapper Frist gibt die Massenklasse zuerst nach

Mehrwegigkeit und Umschaltung

PATH / 02

Eine Strecke lebt erst, wenn ihr tatsächlicher Ausgang geprüft ist

Einen Socket an eine Adresse zu binden genügt nicht. PLY unterscheidet PROBING, ACTIVE, MUTED und DEAD, bestätigt per Sonde, dass die Strecken unabhängig sind, und gibt nie zwei Zeilen einer Tabelle als zwei physische Strecken aus.

Sonden erreichen den Server von verschiedenen öffentlichen Adressen
Die Umschaltung übersteht WLAN-Wechsel und Mobilfunkübergabe
Die Zähler sind im Client und in Prometheus auf dem Server zu sehen

Bandbreite oder Verluste

MODE / 03

Drei Stufen, und man sieht, was jede kostet

Mehrere Strecken bringen zwei verschiedene Dinge: mehr Bandbreite oder weniger Verluste. balanced überlässt Mechanismus und Anzahl der Kopien dem Zuteiler, der sie je Nachricht bestimmt. copies-N legt eine Kopie auf die N besten brauchbaren Strecken, N von 2 bis 255. all-paths schickt jede Nachricht über jede brauchbare Strecke und kostet Bandbreite im Verhältnis zu ihrer Zahl.

balanced ist die Voreinstellung und leitet Redundanz je Nachricht ab, nicht je Verkehrsklasse
Jede Richtung wird für sich eingestellt: [app] redundancy beim Client, [egress] redundancy beim Server
Auf dem Draht gibt es kein Modusfeld, deshalb folgt die Rückrichtung der Servereinstellung und nicht einem Wunsch des Clients

Ausgang über den Server

EGRESS / 04

Beliebiges TCP und UDP verlässt die Adresse des Servers

Der Server hält ein dauerhaftes TUN und entscheidet je Paket: über einen Uplink mit umgeschriebener Adresse hinaus, oder unverändert weiterrouten.

Ein und derselbe Datenpfad bedient beide Betriebsarten
Die Richtlinie wird als Liste von Netzen geschrieben, nicht als Satz von Ports
Geänderte Rechte entziehen die alte Sitzung, statt ihr Ende abzuwarten

Zugriff und Beobachtbarkeit

POLICY / 05

L3-Rechte werden getrennt vergeben und bei jedem Paket geprüft

Ein Gerät erhält eine feste Adresse, eine erlaubte Betriebsart und eine Liste von Netzen. Ein Paket, dessen Quelle nicht zur zugeteilten Adresse passt, kommt nicht durch.

Geräteaufnahme, Schlüsselfingerabdruck und erneuter Handschlag
Prometheus, Ereignisprotokoll, Traces und Offline-Diagnosepaket
Absturzdaten verlassen den Perimeter des Kunden nie

Serverbetriebsarten

Ein Datenpfad, zwei Wege den Verkehr hinauszulassen

`forward`

Erlaubte Pakete gehen über den gewählten Uplink mit MASQUERADE hinaus. Von außen sieht es wie gewöhnlicher Serververkehr aus.

`tun`

Derselbe Datenpfad routet die Pakete weiter, ohne die Adressen anzufassen. Passend, wenn Netze verbunden statt versteckt werden sollen.