Kvari li hardversko NAT ubrzanje vaša VPN pravila usmjeravanja?

Uključivanje hardverskog NAT ubrzanja može učiniti VPN postavku bržom, a može i učiniti da politika usmjeravanja prestane da se primjenjuje na neke pakete bez ikakve greške. Koje će se od toga dogoditi zavisi od toga šta brza staza preskače, a to se razlikuje između firmvera, verzije kernela i vrste ubrzanja koja se koristi. Meni postavki vam rijetko kaže koju ste upravo omogućili.

Dvije tvrdnje zaslužuju razdvajanje prije nego što optužite ubrzivač: da je pravilo prestalo da se primjenjuje i da je brojač prestao da se ažurira. To nije isto zapažanje.

Tri različita ubrzanja se miješaju

Offload prosljeđivanja, kriptografsko ubrzanje i offload podatkovnog kanala tunela odvojeni su mehanizmi koji često dijele jedan prekidač. Offload prosljeđivanja omogućava uspostavljenim tokovima da preskoče dio normalnog steka, kriptografsko ubrzanje čini šifriranje jeftinijim, a offload tunela premješta enkapsulaciju u hardver. Ruter koji ubrzava običan usmjereni saobraćaj može u potpunosti ostaviti saobraćaj tunela na sporoj stazi, što je ishod performansi, a ne promjena politike. Postoji i obrnuto, gdje se saobraćaj tunela offloaduje dok se okolna politika još uvijek procjenjuje.

Linux flowtables su dokumentovani slučaj koji je najviše vrijedan čitanja, jer se uspostavljeni tokovi mogu predati brzoj stazi. Njihovo računovodstvo i obrada stanja tada se razlikuju od klasičnog prosljeđivanja, zbog čega brojači počinju izgledati čudno.

Brojač koji prestane da se kreće malo dokazuje

Brojači pravila broje pakete koji prođu kroz pravilo, a offloadovani tok možda nikada više neće proći kroz njega nakon prvog paketa. To stvara brojač koji se zamrzne dok saobraćaj traje, i izgleda tačno kao zaobilaženje ako vjerujete broju. Posmatranje brojača je i dalje korisno kao nagovještaj da je tok napustio brojanu stazu. Ostatak dijagnostike mora doći iz toga gdje paketi zapravo idu.

Suprotan zaključak pada jednako loše. Brzo preuzimanje ne pokazuje da se vaša pravila izuzetaka i obrada grešaka još primjenjuju, jer vježba jedan tok, a ne politiku.

Tri uslova odlučuju da li offload kvari politiku

Prvi uslov je da li brza staza konsultuje kuku od koje zavisi vaša politika, jer politika izražena oznakama i rutama preživljava češće od one izgrađene na filtriranju po paketu. Drugi je da li firmver uopšte dopušta tu kombinaciju, jer neke verzije automatski isključuju offload kada je aktivan tunel ili funkcija firewall-a. Treći je da li je saobraćaj podoban, jer je ubrzanje obično vezano za uspostavljene tokove i može isključiti fragmentisane ili neobične pakete. Gdje sva tri pogoduju ubrzanju, politika se još primjenjuje, a gdje prvi zakaže, nikakvo podešavanje ga ne vraća.

Čitajte dokumentaciju proizvođača za kombinaciju koju koristite, a ne za model rutera općenito. Verzije firmvera tiho mijenjaju te odgovore.

Testirajte politiku, a ne propusnost

Izmjerite šta politika treba da garantuje prije nego što izmjerite koliko brzo ide. Komande ispod pokazuju da li je flowtable instaliran, šta praćenje veza vidi i s koje adrese klijent izlazi. Uporedite novu vezu nakon promjene, jer uspostavljena veza može zadržati staru stazu.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Unos u flowtable koji pokriva saobraćaj tunela govori vam da je brza staza u igri, a tabela veza pokazuje da li se tok prati onako kako očekujete. Provjera adrese potvrđuje izlaz kada se politika tiče izlaska na internet, dok ping potvrđuje privatno odredište koje treba ostati dostupno. Pokrenite isti skup s isključenim, a zatim uključenim ubrzanjem i uporedite rezultate, a ne vremena.

Zabilježite prethodnu postavku da eksperiment ostane reverzibilan. Opšte uputstvo da se offload isključi svuda računa se kao zaobilazno rješenje, a ne kao nalaz.