Apparat NAT ofloud VPN marşrut qaydalarını pozurmu?

Apparat NAT sürətləndirməsini işə salmaq VPN quraşdırmasını sürətləndirə bilər, həm də heç bir xəta vermədən marşrut siyasətinin bəzi paketlərə tətbiq olunmasını dayandıra bilər. Bunlardan hansının baş verdiyi sürətli yolun nəyi atladığından asılıdır və bu, proqram təminatı, kernel versiyası və istifadə olunan sürətləndirmə növü arasında fərqlənir. Parametrlər menyusu nadir hallarda hansını işə saldığınızı deyir.

Sürətləndiricini günahlandırmazdan əvvəl iki iddianı ayırmaq lazımdır: qaydanın tətbiqinin dayandığı və sayğacın yenilənməsinin dayandığı. Bunlar eyni müşahidə deyil.

Üç fərqli sürətləndirmə bir-birinə qarışdırılır

Yönləndirmə oflounu, kriptoqrafik sürətləndirmə və tunel məlumat kanalı oflounu tez-tez bir açarı paylaşan ayrı mexanizmlərdir. Yönləndirmə oflounu qurulmuş axınlara normal yığının bir hissəsini atlamağa imkan verir, kriptoqrafik sürətləndirmə şifrə işini ucuzlaşdırır, tunel oflounu isə inkapsulyasiyanı aparata köçürür. Adi yönləndirilmiş trafiki sürətləndirən marşrutlaşdırıcı tunel trafikini tamamilə yavaş yolda buraxa bilər ki, bu, siyasət dəyişikliyi deyil, performans nəticəsidir. Əksi də mövcuddur: tunel trafiki oflouda ola bilər, halbuki ətrafdakı siyasət hələ də qiymətləndirilir.

Linux flowtable-ları oxumağa ən çox dəyən sənədləşdirilmiş haldır, çünki qurulmuş axınlar sürətli yola verilə bilər. Onların uçotu və vəziyyətin idarəsi klassik yönləndirmədən fərqlənir, buna görə də sayğaclar qəribə görünməyə başlayır.

Hərəkəti dayanan sayğac az şey sübut edir

Qayda sayğacları qaydadan keçən paketləri sayır və ofloudakı axın ilk paketdən sonra oradan bir daha keçməyə bilər. Bu, trafik davam etdiyi halda donan sayğac yaradır və rəqəmə güvənirsinizsə, tam olaraq yan keçmə kimi görünür. Sayğacı izləmək axının sayılan yoldan çıxdığına dair işarə kimi hələ də faydalıdır. Diaqnozun qalan hissəsi paketlərin həqiqətən hara getdiyindən gəlməlidir.

Əks çıxarış da eyni dərəcədə pis uğursuz olur. Sürətli yükləmə istisna qaydalarınızın və nasazlıq emalının hələ də tətbiq olunduğunu göstərmir, çünki o, bir axını sınaqdan keçirir, siyasəti yox.

Ofloun siyasəti pozub-pozmadığını üç şərt həll edir

Birinci şərt sürətli yolun siyasətinizin dayandığı qarmağı soruşub-soruşmamasıdır, çünki işarələr və marşrutlarla ifadə olunan siyasət hər paket üzrə filtrləmədən qurulmuş siyasətdən daha çox yaşayır. İkincisi, proqram təminatının bu birləşməyə ümumiyyətlə icazə verib-verməməsidir, çünki bəzi quruluşlar tunel və ya firewall funksiyası aktiv olduqda oflounu avtomatik söndürür. Üçüncüsü, trafikin uyğun olub-olmamasıdır, çünki sürətləndirmə adətən qurulmuş axınlara bağlanır və parçalanmış və ya qeyri-adi paketləri istisna edə bilər. Üçü də sürətləndirmənin lehinə olduqda siyasət yenə tətbiq olunur, birincisi uğursuz olduqda isə heç bir tənzimləmə onu bərpa etmir.

Ümumi marşrutlaşdırıcı modeli üçün deyil, işlətdiyiniz birləşmə üçün satıcı sənədlərini oxuyun. Proqram təminatı versiyaları bu cavabları səssizcə dəyişir.

Siyasəti sınaqdan keçirin, ötürmə qabiliyyətini yox

Siyasətin nəyə zəmanət verməli olduğunu ölçün, sonra nə qədər sürətli getdiyini. Aşağıdakı əmrlər flowtable-ın quraşdırılıb-quraşdırılmadığını, bağlantı izləmənin nə gördüyünü və müştərinin hansı ünvandan çıxdığını göstərir. Dəyişiklikdən sonra yeni bağlantını müqayisə edin, çünki qurulmuş bağlantı köhnə yolunu saxlaya bilər.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Tunel trafikini əhatə edən flowtable girişi sürətli yolun işdə olduğunu deyir, bağlantı cədvəli isə axının gözlədiyiniz kimi izlənib-izlənmədiyini göstərir. Ünvan yoxlaması siyasət internetə çıxışa aid olduqda çıxışı təsdiqləyir, ping isə əlçatan qalmalı olan şəxsi təyinatı təsdiqləyir. Eyni dəsti sürətləndirmə söndürülmüş, sonra işə salınmış halda çalışdırın və vaxtları deyil, nəticələri müqayisə edin.

Əvvəlki parametri qeyd edin ki, təcrübə geri qaytarıla bilsin. Oflounu hər yerdə söndürmək barədə ümumi göstəriş keçici həll sayılır, tapıntı yox.