Breek hardeware-NAT-ontlasting jou VPN-roetebeleid?

Om hardeware-NAT-versnelling aan te skakel, kan 'n VPN-opstelling vinniger maak, en dit kan ook maak dat 'n roetebeleid ophou om op sommige pakkette van toepassing te wees sonder enige fout. Watter van die twee gebeur, hang af van wat die vinnige pad oorslaan, en dit verskil tussen firmware, kernelweergawe en die soort versnelling wat gebruik word. Die instellingskieslys vertel jou selde watter een jy pas geaktiveer het.

Twee bewerings verdien om geskei te word voordat die versneller geblameer word: dat 'n reël opgehou het om toegepas te word, en dat 'n teller opgehou het om opgedateer te word. Dit is nie dieselfde waarneming nie.

Drie verskillende versnellings word saamgegooi

Aanstuur-ontlasting, kriptografiese versnelling en tonnel-data-kanaal-ontlasting is afsonderlike meganismes wat dikwels een skakelaar deel. Aanstuur-ontlasting laat gevestigde strome 'n deel van die normale stapel oorslaan, kriptografiese versnelling maak syferwerk goedkoper, en tonnel-ontlasting skuif inkapseling na hardeware. 'n Roeteerder wat gewone geroteerde verkeer versnel, kan tonnelverkeer heeltemal op die stadige pad laat, wat 'n werkingsuitkoms is eerder as 'n beleidsverandering. Die omgekeerde bestaan ook, waar tonnelverkeer ontlas word terwyl die omliggende beleid steeds evalueer.

Linux-vloeitabelle is die gedokumenteerde geval wat die moeite werd is om te lees, aangesien gevestigde strome na 'n vinnige pad oorgedra kan word. Hul rekenskap en toestandhantering verskil dan van klassieke aanstuur, en daarom begin die tellers vreemd lyk.

'n Teller wat ophou beweeg, bewys min

Reëltellers tel die pakkette wat deur die reël gaan, en 'n ontlaste stroom mag dit ná die eerste pakket nooit weer passeer nie. Dit lewer 'n teller wat vries terwyl verkeer voortduur, en dit lyk presies soos 'n omleiding as jy die getal vertrou. Om die teller dop te hou, is steeds nuttig as 'n wenk dat die stroom die getelde pad verlaat het. Die res van die diagnose moet kom van waar die pakkette werklik heen gaan.

Die teenoorgestelde afleiding misluk net so erg. 'n Vinnige aflaai wys nie dat jou uitsonderingsreëls en fouthantering nog geld nie, want dit oefen een stroom uit en nie die beleid nie.

Drie voorwaardes bepaal of ontlasting beleid breek

Die eerste voorwaarde is of die vinnige pad die haak raadpleeg waarvan jou beleid afhang, want 'n beleid wat as merke en roetes uitgedruk word, oorleef dikwels meer as een wat uit per-pakket-filtering gebou is. Die tweede is of die firmware die kombinasie hoegenaamd toelaat, want sommige boustelle skakel ontlasting outomaties af wanneer 'n tonnel of 'n firewall-kenmerk aktief is. Die derde is of die verkeer in aanmerking kom, want versnelling is gewoonlik op gevestigde strome geskoei en sluit dalk gefragmenteerde of ongewone pakkette uit. Waar al drie versnelling bevoordeel, geld die beleid steeds, en waar die eerste een faal, herstel geen mate van fyninstelling dit nie.

Lees die verskaffer se dokumentasie vir die kombinasie wat jy gebruik, eerder as vir die roeteerder-model in die algemeen. Firmware-weergawes verander hierdie antwoorde stilweg.

Toets die beleid, nie die deurvoer nie

Meet wat die beleid veronderstel is om te waarborg voordat jy meet hoe vinnig dit gaan. Die opdragte hieronder wys of 'n vloeitabel geïnstalleer is, wat verbindingnasporing sien, en watter adres die kliënt verlaat. Vergelyk 'n nuwe verbinding ná die verandering, want 'n gevestigde een behou dalk sy ou pad.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

'n Vloeitabel-inskrywing wat die tonnelverkeer dek, sê vir jou die vinnige pad is in werking, en die verbindingtabel wys of die stroom gevolg word soos jy verwag. Die adreskontrole bevestig die uitgang wanneer die beleid internet-uitgang raak, terwyl die ping 'n private bestemming bevestig wat bereikbaar moet bly. Hardloop dieselfde stel met versnelling af en dan aan, en vergelyk die resultate eerder as die tye.

Teken die vorige instelling aan sodat die eksperiment omkeerbaar bly. 'n Algemene opdrag om ontlasting oral af te skakel, geld as 'n tydelike oplossing, nie as 'n bevinding nie.