Potřebuje notebook s VPN přesměrování IP, aby byl rychlejší?
Přesměrování přeposílá pakety mezi rozhraními; místní prohlížeč nezrychlí. Oddělte roli klienta od role brány, než rozšíříte pravidlo.
Přeměna notebooku na router je oblíbený způsob, jak řešit špatný problém. Přesměrování existuje proto, aby stroj mohl předávat pakety, jejichž cílem není on sám, a nemá názor na to, jak rychle prohlížeč na stejném stroji načte stránku. Obě cesty vypadají stejně jen proto, že obě posílají provoz jedním tunelem. Oddělte je jednou a velká část rad o zapnutí přesměrování nebo otevření firewallu se ukáže jako popis topologie, kterou nemáte.
Dvě cesty paketů, které od stolu vypadají stejně
Prohlížeč na notebooku vytváří vlastní požadavek. Host zvolí trasu tunelu, klientský proces paket zabalí a odešle protějšku a odpověď se vrací do aplikace. Nic v tomto sledu neprochází rozhodnutím o přesměrování, protože tento stroj je zároveň zdrojem i cílem konverzace.
Teď postavte jiné zařízení na záměrně nakonfigurovaný ethernetový segment a udělejte z notebooku jeho výchozí bránu. Toto zařízení zahájí požadavek, notebook obdrží paket adresovaný jinam a jádro musí rozhodnout, zda ho předá dál. To je role přesměrování a přichází s předpoklady, které klientská role nikdy nepotřebovala: povolená tranzitní cesta, trasy na obou stranách a zpáteční cesta, která stále funguje, je-li součástí návrhu překlad.
| Role | Who originates the traffic | What has to be true |
|---|---|---|
| Client only | The laptop itself | Tunnel route, working resolver, supported profile |
| Gateway | Another device | Forwarding enabled, permitted transit, routes both ways, return-path decision |
Co ip_forward vlastně mění
Dokumentace jádra k IPv4 sysctl popisuje ip_forward jako přepínač, který hostiteli umožňuje předávat pakety mezi rozhraními. Není to rychlá cesta pro provoz, který hostitel sám vytvořil, a žádné čtení tohoto parametru místní prohlížeč nezrychlí. Spíše naopak: přesměrování přidává stav a politiku stroji, který dřív dělal méně práce.
Stejná dokumentace varuje, že změna hodnoty vrátí ostatní parametry IPv4 na jejich výchozí hodnoty pro hostitele nebo router. To dělá z přepínače konfigurační událost, nikoli sondu: vyladěná nastavení se mohou vrátit pod vámi a změna může být příčinou regrese, kterou by jí nikdo nepřipsal. Znamená to také, že přepínač má být nastaven jednou, vědomě, tím, kdo vlastní roli brány. Přepnutí během vyšetřování zpomalení je jediný případ, kdy se vedlejší účinek zaručeně zamění se symptomem.
Tři otázky firewallu, které nejsou stejnou otázkou
Povolit naslouchající službu VPN, povolit služby, které notebook provozuje, a povolit provozu procházet notebookem jsou tři samostatná oprávnění. První umožní protějšku dosáhnout démona, druhé vystaví něco místního a třetí promění stroj v tranzit pro někoho jiného. Každé má jiný rozsah a poslední je mnohem širší než odpovědi, které běžná odchozí aplikace potřebuje.
Když je konkrétní tok zablokován, pojmenujte jeho zdroj, cíl, směr a vlastníka politiky, než upravíte pravidlo. Úzké pravidlo pro tento tok je oprava; přijetí všeho na tunelovém rozhraní je změna politiky, která náhodou zahrnuje opravu. Prohlížeč, který potom funguje, dokazuje, že tok funguje, ne že široké pravidlo bylo nutné.
Měřte až tehdy, když je cesta správná
Měřte se stejným cílem, stejnou zátěží a srovnatelnými podmínkami a měňte jednu proměnnou po druhé. Test, který spojí změnu přesměrování, rozšíření firewallu a opsané nastavení šifry, dá číslo a žádné vysvětlení, protože nic v něm neříká, která ze tří věcí výsledkem pohnula.
Selhání tras a resolveru držte zcela mimo rozhovor o výkonu. Jméno, které se pomalu překládá, není problém propustnosti a přenos, který se zastaví na jedné pevné velikosti, je obvykle otázka MTU, nikoli limit rychlosti. Zapište, kterou z těchto tří věcí jste skutečně pozorovali, než porovnáte jakákoli čísla. Jinak další čtenář zdědí měření, které měří špatnou věc, a změnu, kterou nikdo nedokáže zdůvodnit.
Popište topologii, kterou máte, ne štítek na klientovi
Notebook, který sdílí své připojení, hostuje směrovanou kontejnerovou síť nebo nese provoz pro virtuální stroj, je brána, ať si software říká jakkoli. Slovo klient popisuje, jak je tunel nakonfigurován, ne zda se pakety předávají někomu jinému.
Udělejte roli explicitní v provozní příručce: co vytváří provoz, co musí projít strojem a o které z těch dvou věcí je současný úkol. Zapínejte roli brány, když patří k podporovanému plánu, ne jako nevysvětlenou úpravu rychlosti aplikovanou na topologii, která ji nikdy nepotřebovala.