هل يُعطّل تسريع NAT العتادي قواعد توجيه VPN لديك؟

قد يجعل تشغيل تسريع NAT العتادي إعداد VPN أسرع، وقد يجعله أيضًا يوقف تطبيق سياسة توجيه على بعض الحزم من دون أي خطأ على الإطلاق. وأي الأمرين يحدث يعتمد على ما يتخطاه المسار السريع، وهذا يختلف بين البرنامج الثابت وإصدار النواة ونوع التسريع المستخدم. ونادرًا ما تخبرك قائمة الإعدادات أي واحد منها شغّلت للتو.

هناك ادعاءان يستحقان الفصل قبل لوم المسرّع: أن قاعدة ما توقفت عن التطبيق، وأن عدادًا ما توقف عن التحديث. وهما ليسا الملاحظة نفسها.

ثلاثة أنواع مختلفة من التسريع تُخلط معًا

تفريغ التمرير والتسريع التشفيري وتفريغ قناة بيانات النفق آليات منفصلة غالبًا ما تتشارك مفتاحًا واحدًا. فتفريغ التمرير يسمح للتدفقات القائمة بتخطي جزء من المكدس الطبيعي، والتسريع التشفيري يجعل عمل التشفير أرخص، وتفريغ النفق ينقل التغليف إلى العتاد. وقد يترك الموجه الذي يسرّع حركة التمرير العادية حركة النفق بالكامل على المسار البطيء، وهذا نتيجة أداء لا تغيير في السياسة. ويوجد العكس أيضًا، حيث تُفرَّغ حركة النفق بينما لا تزال السياسة المحيطة تُقيَّم.

جداول التدفق في Linux هي الحالة الموثقة الأجدر بالقراءة، إذ يمكن تسليم التدفقات القائمة إلى مسار سريع. وتختلف بعد ذلك محاسبتها ومعالجتها للحالة عن التمرير الكلاسيكي، ولهذا تبدأ العدادات في الظهور بشكل غريب.

العداد الذي يتوقف عن الحركة لا يثبت شيئًا

تعد عدادات القواعد الحزم التي تمر عبر القاعدة، وقد لا يمر التدفق المُفرَّغ عبرها مرة أخرى بعد الحزمة الأولى. وينتج عن ذلك عداد يتجمد بينما تستمر الحركة، ويبدو تمامًا كتجاوز للقاعدة إذا وثقت بالرقم. ولا تزال مراقبة العداد مفيدة كتلميح إلى أن التدفق غادر المسار المعدود. أما بقية التشخيص فيجب أن يأتي من الوجهة التي تذهب إليها الحزم فعليًا.

الاستنتاج المعاكس يفشل بالقدر نفسه من السوء. فالتنزيل السريع لا يُظهر أن قواعد الاستثناء لديك ومعالجة الأعطال ما زالت تنطبق، لأنه يختبر تدفقًا واحدًا لا السياسة.

ثلاثة شروط تحدد ما إذا كان التفريغ يكسر السياسة

الشرط الأول هو ما إذا كان المسار السريع يستشير الخطاف الذي تعتمد عليه سياستك، لأن السياسة المعبَّر عنها بالعلامات والمسارات تصمد أكثر من سياسة مبنية على الترشيح لكل حزمة. والثاني هو ما إذا كان البرنامج الثابت يسمح بهذا المزيج أصلًا، لأن بعض الإصدارات تعطّل التفريغ تلقائيًا عند تنشيط نفق أو ميزة جدار حماية. والثالث هو ما إذا كانت الحركة مؤهلة، لأن التسريع يرتبط عادةً بالتدفقات القائمة وقد يستبعد الحزم المجزأة أو غير المعتادة. وحيث تفضّل الشروط الثلاثة التسريع تظل السياسة مطبقة، وحيث يفشل الشرط الأول لا يعيدها أي قدر من الضبط.

اقرأ وثائق البائع للمزيج الذي تشغّله، لا لطراز الموجه بشكل عام. فإصدارات البرنامج الثابت تغيّر هذه الإجابات بهدوء.

اختبر السياسة، لا معدل النقل

قِس ما يُفترض أن تضمنه السياسة قبل قياس مدى سرعتها. توضح الأوامر أدناه ما إذا كان جدول التدفق مثبتًا، وما الذي يراه تتبع الاتصالات، وأي عنوان يخرج منه العميل. وقارن اتصالًا جديدًا بعد التغيير، لأن الاتصال القائم قد يحتفظ بمساره القديم.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

إن وجود إدخال في جدول التدفق يغطي حركة النفق يخبرك بأن المسار السريع عامل، ويوضح جدول الاتصالات ما إذا كان التدفق متتبعًا بالطريقة التي تتوقعها. ويؤكد فحص العنوان المنفذ حين تتعلق السياسة بالخروج إلى الإنترنت، بينما يؤكد ping وجهة خاصة ينبغي أن تبقى قابلة للوصول. شغّل المجموعة نفسها مع إيقاف التسريع ثم تشغيله، وقارن النتائج لا الأزمنة.

سجّل الإعداد السابق ليبقى الاختبار قابلًا للعكس. والتعليمات العامة بتعطيل التفريغ في كل مكان تُعد حلًا ملتويًا، لا نتيجة.