Het ’n VPN-skootrekenaar IP-aanstuur nodig om vinniger te werk te gaan?

Om die skootrekenaar in ’n router te verander, is ’n gewilde manier om die verkeerde probleem op te los. Aanstuur bestaan sodat ’n masjien pakkette kan deurstuur waarvan die bestemming nie hy self is nie, en dit het geen mening oor hoe vinnig ’n blaaier op dieselfde masjien ’n bladsy laai nie. Die twee bane lyk net eenders omdat albei verkeer deur een tonnel stuur. Skei hulle een keer, en baie advies oor die aktiveer van aanstuur of die oopmaak van die firewall blyk ’n topologie te beskryf wat jy nie het nie.

Twee pakketbane wat van die lessenaar af identies lyk

’n Blaaier op die skootrekenaar skep sy eie versoek. Die gasheer kies die tonnelroete, die kliëntproses verpak die pakket en stuur dit na die eweknie, en die antwoord kom terug na die toepassing. Niks in daardie volgorde kruis ’n aanstuur-besluit nie, want hierdie masjien is beide die bron en die bestemming van die gesprek.

Plaas nou ’n ander toestel op ’n doelbewus opgestelde Ethernet-segment en maak die skootrekenaar sy verstek-gateway. Daardie toestel begin die versoek, die skootrekenaar ontvang ’n pakket wat na iets anders gerig is, en die kernel moet besluit of hy dit verder moet stuur. Dit is die aanstuurrol, en dit kom met voorvereistes wat die kliëntrol nooit nodig gehad het nie: ’n toegelate deurvoerpad, roetes aan beide kante, en ’n terugpad wat steeds werk as vertaling deel van die ontwerp is.

Wat ip_forward werklik verander

Die kernel se IPv4-sysctl-dokumentasie beskryf ip_forward as die skakelaar wat ’n gasheer toelaat om pakkette tussen koppelvlakke aan te stuur. Dit is nie ’n vinnige baan vir verkeer wat die gasheer self geskep het nie, en geen interpretasie van daardie parameter maak ’n plaaslike blaaier vinniger nie. Inteendeel, aanstuur voeg toestand en beleid by ’n masjien wat voorheen minder werk gedoen het.

Dieselfde dokumentasie waarsku dat die verandering van die waarde ander IPv4-parameters na hul host- of router-verstekke terugstel. Dit maak die skakelaar ’n konfigurasiegebeurtenis eerder as ’n toets: ingestelde waardes kan onder jou voete terugkeer, en die verandering kan verantwoordelik wees vir ’n regressie wat niemand daaraan sou toeskryf nie. Dit beteken ook die skakelaar moet een keer, doelbewus, gestel word deur wie ook al die gateway-rol besit. Om dit tydens ’n ondersoek na ’n verlangsaming om te draai, is die een geval waar die newe-effek gewaarborgd verwar word met die simptoom.

Drie firewall-vrae wat nie dieselfde vraag is nie

Om ’n VPN-luisteraar toe te laat, om dienste toe te laat wat die skootrekenaar bedryf, en om verkeer toe te laat om deur die skootrekenaar te beweeg, is drie afsonderlike toestemmings. Die eerste laat ’n eweknie ’n daemon bereik, die tweede stel iets plaaslik bloot, en die derde verander die masjien in deurvoer vir iemand anders. Elkeen het ’n ander omvang, en die laaste is veel breër as die antwoorde wat ’n gewone uitgaande toepassing nodig het.

Wanneer ’n spesifieke vloei geblokkeer is, noem sy bron, bestemming, rigting en beleideienaar voordat jy ’n reël wysig. ’n Smal reël vir daardie vloei is ’n regstelling; om alles op die tonnelkoppelvlak te aanvaar, is ’n beleidswysiging wat toevallig die regstelling insluit. ’n Blaaier wat daarna werk, bewys die vloei werk, nie dat die breë reël nodig was nie.

Begin eers meet wanneer die pad korrek is

Meet met dieselfde bestemming, dieselfde werklading en vergelykbare toestande, en verander een veranderlike op ’n keer. ’n Toets wat ’n aanstuurverandering, ’n firewall-verbreding en ’n gekopieerde syferinstelling saambondel, lewer ’n getal en geen verklaring nie, want niks daarin sê watter van die drie die uitslag beweeg het nie.

Hou roete- en oplosserfoute heeltemal uit die prestasiegesprek. ’n Naam wat stadig oplos, is nie ’n deurvoerprobleem nie, en ’n oordrag wat by een vaste grootte vasval, is gewoonlik ’n MTU-vraag eerder as ’n spoedbeperking. Teken aan watter van dié drie jy werklik gesien het voordat jy enige getalle vergelyk. Anders erf die volgende leser ’n maatstaf wat die verkeerde ding meet en ’n verandering wat niemand kan regverdig nie.

Beskryf die topologie wat jy het, nie die etiket op die kliënt nie

’n Skootrekenaar wat sy verbinding deel, ’n gerouteerde houernnetwerk huisves of verkeer vir ’n virtuele masjien dra, is ’n gateway, ongeag wat die sagteware homself noem. Die woord kliënt beskryf hoe die tonnel opgestel is, nie of pakkette aan iemand anders deurgegee word nie.

Maak die rol eksplisiet in die bedryfshandleiding: wat verkeer begin, wat die masjien moet deurkruis, en waaroor die huidige taak gaan. Aktiveer die gateway-rol wanneer dit by die ondersteunde plan hoort, nie as ’n onverklaarde spoedaanpassing op ’n topologie wat nooit een nodig gehad het nie.