הגדרת פיצול מנהרות (Split Tunneling): הפחתת עומס על השרת והאצת הגישה
מנהרה מלאה רגילה מעבירה את כל תעבורת המשתמשים—החל מעדכוני Windows וכלה בהזרמת YouTube—דרך שער הארגון. דבר זה מעמיס על הקישור ומגביר את זמן ההשהיה עבור יישומים קריטיים. בפרויקט אחד עם 300 עובדים, זמן ה-RTT הממוצע עבור ERP הגיע ל-120 אלפיות השנייה עקב תחרות עם תעבורת P2P. פיצול מנהרות פותר את הבעיה: רק תעבורה לרשתות משנה ארגוניות עוברת דרך המנהרה; השאר עובר ישירות לאינטרנט המקומי. החיסכון ברוחב הפס של השרת מגיע ל-60%, אשר בתעריפי הענן הנוכחיים מפחית את החשבון ב-800 דולר לחודש (ממוצע בפרויקטים שלנו). צרו קשר לקבלת הערכה של הפרויקט.
מדוע מנהרה מלאה מאטה את העבודה
מנהרה מלאה פירושה שכל תעבורת המשתמשים עטופה במנהרה, כולל סנכרון רקע, הזרמת וידאו ומסרים מיידיים. שער ה-VPN הארגוני חייב לעבד את כל החבילות הללו, מה שמוביל לזמן MTTR מוגבר וזמינות מופחתת. במקרה שלנו עם צוות מבוזר של 300 אנשים, המעבר לפיצול מנהרות חצה את עומס השרת (מ-2 Gbps ל-800 Mbps) והפחית את זמן התגובה של ERP מ-120 אלפיות השנייה ל-15 אלפיות השנייה. פיצול מנהרות מהיר עד פי 5 עבור המשתמש הקצה.
השוואה בין מנהרה מלאה לפיצול מנהרות
| פרמטר | מנהרה מלאה | פיצול מנהרות |
|---|---|---|
| נתיב ברירת מחדל | כל התעבורה דרך המנהרה | רק רשתות משנה ארגוניות |
| עומס על שרת ה-VPN | גבוה | נמוך (עד 60%- תעבורה) |
| גישה למשאבים מקומיים | רק דרך VPN | גישה ישירה |
| זמן השהיה למשתמש | +20–50 אלפיות השנייה | ללא שינוי |
| דרישות DNS | DNS יחיד | DNS מפוצל (חובה) |
כיצד להגדיר פיצול מנהרות ב-OpenVPN
הגדרת OpenVPN היא תהליך שלב אחר שלב:
- הסר את
redirect-gateway— אל תכלול הוראה זו בקובץ התצורה של הלקוח. - הוסף נתיבים לרשתות משנה ארגוניות באמצעות
push "route". - הגדר DNS באמצעות
push "dhcp-option DNS".
דוגמה לתצורת שרת:
push "route 10.0.0.0 255.255.0.0"
push "route 192.168.1.0 255.255.255.0"
push "dhcp-option DNS 10.0.0.53"לאחר הפעלה מחדש של הלקוח, משאבים ארגוניים נגישים דרך ה-VPN, בעוד שתעבורה אחרת (לדוגמה, YouTube) עוברת ישירות. לפרטים נוספים, ראו את תיעוד OpenVPN.
כיצד להגדיר פיצול מנהרות ב-WireGuard
WireGuard מוגדר באמצעות הפרמטר push "route 10.0.0.0 255.255.0.0" push "route 192.168.1.0 255.255.255.0" push "dhcp-option DNS 10.0.0.53" בצד הלקוח. ציינו רק את רשתות המשנה שצריכות להיות מנותבות דרך המנהרה:
AllowedIPs = 10.0.0.0/16, 192.168.1.0/24, 10.100.0.0/24 כדי להחריג רשתות משנה ספציפיות (פיצול הפוך), צרו את כל הנתיבים מלבד הרצויים—קיימים סקריפטים מוכנים לכך. האתר הרשמי של WireGuard מכיל דוגמאות תצורה.
השוואת תצורה בין פרוטוקולים שונים
| פרוטוקול | פרמטר | הערה |
|---|---|---|
| OpenVPN | ללא AllowedIPs + AllowedIPs = 10.0.0.0/16, 192.168.1.0/24, 10.100.0.0/24 |
דורש הפעלה מחדש של הלקוח |
| WireGuard | redirect-gateway |
יישום מיידי |
| IPSec | מדיניות ממשק (split‑key) | תלוי ביישום |
| Tailscale | push "route" |
ניתוב אוטומטי |
DNS מפוצל — מדוע הוא חובה
ללא DNS מפוצל, שמות פנימיים (לדוגמה, AllowedIPs) אינם נפתרים. שאילתות DNS עוברות לפתרון ציבורי, והמשתמש אינו יכול להתחבר לשירותים ארגוניים לפי שם. הגדרת סיומות DNS ושרתים עבור מתאם ה-VPN פותרת את הבעיה. דוגמה עבור macOS/Linux באמצעות systemd-resolved:
[Resolve] DNS=10.0.0.53 Domains=~corp.company.com ~internal ב-Windows באמצעות PowerShell:
Set-DnsClientServerAddress -InterfaceAlias "VPN" -ServerAddresses 10.0.0.53 טעויות נפוצות בהגדרת DNS מפוצל
- שכחת הוספת
accept-routes(tilde) לפני הדומיין בלינוקס—אחרת הוא אינו מטופל כסיומת חיפוש. - ציון שרת DNS ללא בדיקת נגישותו מרשתת המשנה של ה-VPN.
- אי בדיקת פתרון שמות במערכות הפעלה שונות—ל-iOS ול-Android יש מאפיינים משלהן.
מה כוללת הגדרת פיצול מנהרות
- ביקורת על תשתית ה-VPN הקיימת: שרתים, גרסאות פרוטוקול, מערכות הפעלה של לקוחות.
- תכנון סכמת ניתוב לרשתות משנה ארגוניות.
- הגדרת שרתי OpenVPN, WireGuard או פרוטוקולים אחרים.
- הגדרת DNS מפוצל עבור Windows, macOS, Linux, iOS ו-Android.
- בדיקות על 5–10 משתמשי פיילוט.
- תיעוד תפעולי והוראות למשתמשים.
- הדרכת מנהלים (שעתיים מקוונות).
בעיות נפוצות ופתרונותיהן
- התנגשות כתובות: הרשת המקומית של המשתמש (לדוגמה, 192.168.1.0/24) תואמת לרשת משנה ארגונית. פתרון: השתמשו בטווחים לא סטנדרטיים עבור VPN (172.16.x.x) או תאמו כתובות עם בעלי הרשתות המקומיות.
- שמות פנימיים אינם נפתרים: שאילתות DNS עוברות לפתרון ציבורי. פתרון: הגדירו DNS מפוצל כמתואר לעיל.
- עלייה בתעבורה לאחר הפעלת פיצול מנהרות: אם עובדים משתמשים ב-P2P או בהזרמה, העומס על האינטרנט המקומי עולה. פתרון: יישמו מדיניות תעבורה בחומת האש או השתמשו ב-QoS.
קבלת הגדרת פיצול מנהרות
אנו מבצעים הגדרה סוהר תוך 1–2 ימים ומספקים אחריות של 30 יום על התצורה. נבצע הערכה של הפרויקט שלכם—פשוט צרו קשר. הניסיון שלנו כולל למעלה מ-50 התקנות פיצול מנהרות בחברות המונות בין 50 ל-5000 עובדים. מומחים מוסמכים ב-OpenVPN וב-WireGuard. קבלו ייעוץ ממומחה מוסמך עוד היום! החיסכון השנתי הממוצע לפרויקט עומד על כ-2000 דולר עקב הפחתת העומס.