Помага ли препращането на IP на VPN лаптоп да работи по-бързо?
Препращането прехвърля пакети между интерфейси; то не ускорява локален браузър. Разделете клиентската роля от ролята на шлюз, преди да разширявате правило.
Превръщането на лаптопа в рутер е популярен начин да се реши грешният проблем. Препращането съществува, за да може машината да предава пакети, чиято дестинация не е тя самата, и то няма мнение колко бързо браузър на същата машина зарежда страница. Двата пътя изглеждат еднакви само защото и двата изпращат трафик през един тунел. Разделете ги веднъж и голяма част от съветите за включване на препращане или отваряне на защитната стена се оказват описание на топология, която нямате.
Два пътя на пакетите, които изглеждат еднакви от бюрото
Браузърът на лаптопа създава собствена заявка. Хостът избира маршрута през тунела, клиентският процес обвива пакета и го изпраща към партньора, а отговорът се връща в приложението. Нищо в тази последователност не преминава през решение за препращане, защото тази машина е едновременно източник и дестинация на разговора.
Сега поставете друго устройство на умишлено конфигуриран Ethernet сегмент и направете лаптопа негов шлюз по подразбиране. Това устройство поражда заявката, лаптопът получава пакет, адресиран някъде другаде, и ядрото трябва да реши дали да го предаде нататък. Това е ролята на препращане и тя идва с предпоставки, които клиентската роля никога не е изисквала: разрешен транзитен път, маршрути от двете страни и обратен път, който още работи, ако преводът е част от дизайна.
| Role | Who originates the traffic | What has to be true |
|---|---|---|
| Client only | The laptop itself | Tunnel route, working resolver, supported profile |
| Gateway | Another device | Forwarding enabled, permitted transit, routes both ways, return-path decision |
Какво всъщност променя ip_forward
Документацията на ядрото за IPv4 sysctl описва ip_forward като превключвателя, който позволява на хост да препраща пакети между интерфейси. Той не е бърз път за трафик, който хостът сам е генерирал, и никое четене на този параметър не прави локален браузър по-бърз. Ако не друго, препращането добавя състояние и политика към машина, която преди е вършела по-малко работа.
Същата документация предупреждава, че промяната на стойността връща други IPv4 параметри към стойностите им по подразбиране за хост или рутер. Това превръща превключвателя в конфигурационно събитие, а не в проба: настроените параметри могат да се върнат под вас и промяната може да е причина за регресия, която никой не би се сетил да ѝ припише. Това също означава, че превключвателят трябва да се зададе веднъж, съзнателно, от този, който притежава ролята на шлюз. Обръщането му по време на разследване на забавяне е единственият случай, в който страничният ефект гарантирано се бърка със симптома.
Три въпроса за защитната стена, които не са един и същ въпрос
Разрешаването на VPN слушател, на услугите, които лаптопът изпълнява, и на трафик да преминава през лаптопа са три отделни разрешения. Първото позволява на партньор да достигне демон, второто излага нещо локално, а третото превръща машината в транзит за някой друг. Всяко има различен обхват и последното е много по-широко от отговорите, които едно обикновено изходящо приложение изисква.
Когато конкретен поток е блокиран, назовете неговия източник, дестинация, посока и собственик на политиката, преди да редактирате правило. Тясно правило за този поток е поправка; приемането на всичко по тунелния интерфейс е промяна на политиката, която случайно включва поправката. Браузър, който работи след това, доказва, че потокът работи, а не че широкото правило е било необходимо.
Измерете едва когато пътят е правилен
Измерете със същата дестинация, същата натовареност и сравними условия и променяйте по една променлива наведнъж. Тест, който съчетава промяна в препращането, разширяване на защитната стена и копирана настройка на шифъра, дава число и никакво обяснение, защото нищо в него не ви казва кое от трите е преместило резултата.
Дръжте отказите на маршрути и резолвер напълно извън разговора за производителност. Име, което се резолвва бавно, не е проблем с пропускателната способност, а трансфер, който засича на един фиксиран размер, обикновено е въпрос на MTU, а не ограничение на скоростта. Запишете кое от тези три наистина сте наблюдавали, преди да сравнявате каквито и да е числа. Иначе следващият читател наследява бенчмарк, който измерва грешното нещо, и промяна, която никой не може да обоснове.
Опишете топологията, която имате, а не етикета върху клиента
Лаптоп, който споделя връзката си, хоства маршрутизирана контейнерна мрежа или носи трафик за виртуална машина, е шлюз, както и да се нарича софтуерът. Думата клиент описва как е конфигуриран тунелът, а не дали пакетите се предават на някой друг.
Направете ролята изрична в документацията за експлоатация: какво поражда трафик, какво трябва да премине през машината и за кое от двете е текущата задача. Включвайте ролята на шлюз, когато тя принадлежи към поддържания план, а не като необяснима корекция на скоростта, приложена към топология, която никога не е имала нужда от нея.