L'acceleració NAT per maquinari trenca les regles d'encaminament de la VPN?

Activar l'acceleració NAT per maquinari pot fer més ràpida una configuració de VPN, i també pot fer que una política d'encaminament deixi d'aplicar-se a alguns paquets sense cap error. Quin dels dos casos es produeix depèn del que es salta el camí ràpid, i això varia segons el microprogramari, la versió del nucli i el tipus d'acceleració que s'utilitza. El menú de configuració poques vegades et diu quina acabes d'activar.

Dues afirmacions mereixen separar-se abans de culpar l'accelerador: que una regla ha deixat d'aplicar-se i que un comptador ha deixat d'actualitzar-se. No són la mateixa observació.

Tres acceleracions diferents es barregen

La descàrrega de l'encaminament, l'acceleració criptogràfica i la descàrrega del canal de dades del túnel són mecanismes separats que sovint comparteixen un sol commutador. La descàrrega de l'encaminament permet que els fluxos establerts saltin part de la pila normal, l'acceleració criptogràfica abarateix la feina de xifratge i la descàrrega del túnel porta l'encapsulament al maquinari. Un encaminador que accelera el trànsit encaminat ordinari pot deixar el trànsit del túnel completament al camí lent, cosa que és un resultat de rendiment i no un canvi de política. També existeix el cas invers, en què el trànsit del túnel es descarrega mentre la política del voltant encara s'avalua.

Les flowtables de Linux són el cas documentat que més val la pena llegir, ja que els fluxos establerts es poden lliurar a un camí ràpid. La seva comptabilitat i gestió d'estat divergeixen llavors de l'encaminament clàssic, i per això els comptadors comencen a semblar estranys.

Un comptador que deixa de moure's demostra poc

Els comptadors de regles compten els paquets que passen per la regla, i un flux descarregat pot no tornar-hi a passar mai després del primer paquet. Això produeix un comptador que es congela mentre el trànsit continua, i sembla exactament un salt si et refies del número. Observar el comptador continua sent útil com a indici que el flux ha deixat el camí comptat. La resta del diagnòstic ha de venir d'on van realment els paquets.

La inferència oposada falla igual de malament. Una baixada ràpida no demostra que les teves regles d'excepció i el tractament de fallades encara s'apliquin, perquè exercita un flux i no la política.

Tres condicions decideixen si la descàrrega trenca la política

La primera condició és si el camí ràpid consulta el ganxo del qual depèn la teva política, ja que una política expressada amb marques i rutes sobreviu més sovint que una de construïda amb filtratge per paquet. La segona és si el microprogramari permet aquesta combinació, perquè algunes compilacions desactiven la descàrrega automàticament quan hi ha un túnel o una funció de tallafoc activa. La tercera és si el trànsit és elegible, perquè l'acceleració normalment s'associa als fluxos establerts i pot excloure paquets fragmentats o inusuals. On les tres afavoreixen l'acceleració, la política encara s'aplica, i on falla la primera, cap ajust no la restaura.

Llegeix la documentació del fabricant per a la combinació que executes, no per al model d'encaminador en general. Les versions del microprogramari canvien aquestes respostes en silenci.

Prova la política, no el cabal

Mesura què ha de garantir la política abans de mesurar com de ràpid va. Les ordres següents mostren si hi ha una flowtable instal·lada, què veu el seguiment de connexions i des de quina adreça surt el client. Compara una connexió nova després del canvi, ja que una d'establerta pot conservar el camí antic.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Una entrada de flowtable que cobreix el trànsit del túnel t'indica que el camí ràpid està actiu, i la taula de connexions mostra si el flux es segueix com esperes. La comprovació d'adreça confirma la sortida quan la política afecta l'accés a internet, mentre que el ping confirma una destinació privada que ha de continuar sent accessible. Executa el mateix conjunt amb l'acceleració desactivada i després activada, i compara els resultats en lloc dels temps.

Anota la configuració anterior perquè l'experiment segueixi sent reversible. Una instrucció genèrica de desactivar la descàrrega a tot arreu compta com una solució alternativa, no com una troballa.