A yw dadlwytho NAT caledwedd yn torri eich rheolau llwybro VPN?

Gall troi dadlwytho NAT caledwedd ymlaen wneud gosodiad VPN yn gyflymach, a gall hefyd wneud i bolisi llwybro roi'r gorau i fod yn berthnasol i rai pecynnau heb unrhyw wall o gwbl. Pa un o'r ddau sy'n digwydd sy'n dibynnu ar yr hyn y mae'r llwybr cyflym yn ei neidio, ac mae hynny'n amrywio rhwng cadarnwedd, fersiwn y cnewyllyn a'r math o gyflymu a ddefnyddir. Anaml y mae'r ddewislen osodiadau'n dweud pa un rydych newydd ei alluogi.

Mae dau honiad yn haeddu eu gwahanu cyn beio'r cyflymydd: bod rheol wedi rhoi'r gorau i gael ei gorfodi, a bod rhifydd wedi rhoi'r gorau i gael ei ddiweddaru. Nid yr un arsylwi yw'r rhain.

Mae tri chyflymiad gwahanol yn cael eu cymysgu

Mae dadlwytho anfon ymlaen, cyflymu cryptograffig a dadlwytho sianel ddata'r twnnel yn fecanweithiau ar wahân sy'n aml yn rhannu un switsh. Mae dadlwytho anfon ymlaen yn gadael i lifau sefydledig neidio rhan o'r stac arferol, mae cyflymu cryptograffig yn gwneud gwaith seiffr yn rhatach, ac mae dadlwytho twnnel yn symud y cwmpasu i galedwedd. Gall llwybrydd sy'n cyflymu traffig llwybredig cyffredin adael traffig y twnnel yn gyfan gwbl ar y llwybr araf, sy'n ganlyniad perfformiad yn hytrach na newid polisi. Mae'r gwrthwyneb hefyd yn bodoli, lle mae traffig y twnnel yn cael ei ddadlwytho tra bod y polisi o'i gwmpas yn dal i gael ei werthuso.

Flowtables Linux yw'r achos dogfennedig sy'n werth ei ddarllen fwyaf, gan y gellir rhoi llifau sefydledig i lwybr cyflym. Mae eu cyfrifo a'u trin cyflwr wedyn yn wahanol i anfon ymlaen clasurol, a dyna pam mae'r rhifyddion yn dechrau edrych yn rhyfedd.

Ychydig y mae rhifydd sy'n stopio symud yn ei brofi

Mae rhifyddion rheol yn cyfrif y pecynnau sy'n mynd trwy'r rheol, ac efallai na fydd llif wedi'i ddadlwytho yn mynd trwyddi byth eto ar ôl y pecyn cyntaf. Mae hynny'n cynhyrchu rhifydd sy'n rhewi tra bod traffig yn parhau, ac mae'n edrych yn union fel osgoi os ydych yn ymddiried yn y rhif. Mae gwylio'r rhifydd yn dal yn ddefnyddiol fel awgrym bod y llif wedi gadael y llwybr a gyfrifwyd. Rhaid i weddill y diagnosis ddod o ble mae'r pecynnau'n mynd mewn gwirionedd.

Mae'r casgliad cyferbyn yn methu yr un mor ddrwg. Nid yw lawrlwytho cyflym yn dangos bod eich rheolau eithriad a'ch trin methiannau yn dal i fod yn berthnasol, oherwydd mae'n arfer un llif ac nid y polisi.

Mae tri amod yn penderfynu a yw dadlwytho'n torri polisi

Yr amod cyntaf yw a yw'r llwybr cyflym yn ymgynghori â'r bachyn y mae eich polisi'n dibynnu arno, oherwydd mae polisi a fynegir fel marciau a llwybrau yn goroesi'n amlach na pholisi a adeiladir o hidlo fesul pecyn. Yr ail yw a yw'r gadarnwedd yn caniatáu'r cyfuniad o gwbl, oherwydd mae rhai adeilediadau'n analluogi dadlwytho'n awtomatig pan fydd twnnel neu nodwedd wal dân yn weithredol. Y trydydd yw a yw'r traffig yn gymwys, oherwydd mae cyflymu fel arfer yn gysylltiedig â llifau sefydledig ac efallai'n eithrio pecynnau tameidiog neu anarferol. Lle mae'r tri yn ffafrio cyflymu, mae'r polisi'n dal i fod yn berthnasol, a lle mae'r cyntaf yn methu, nid oes unrhyw faint o diwnio'n ei adfer.

Darllenwch ddogfennaeth y gwerthwr ar gyfer y cyfuniad rydych yn ei redeg, nid ar gyfer model y llwybrydd yn gyffredinol. Mae fersiynau cadarnwedd yn newid yr atebion hyn yn dawel.

Profwch y polisi, nid y trwch

Mesurwch yr hyn y dylai'r polisi ei warantu cyn mesur pa mor gyflym y mae'n mynd. Mae'r gorchmynion isod yn dangos a yw flowtable wedi'i osod, beth mae olrhain cysylltiadau'n ei weld, ac o ba gyfeiriad y mae'r cleient yn gadael. Cymharwch gysylltiad newydd ar ôl y newid, gan y gall un sefydledig gadw ei hen lwybr.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Mae cofnod flowtable sy'n cwmpasu traffig y twnnel yn dweud wrthych fod y llwybr cyflym ar waith, ac mae'r tabl cysylltiadau'n dangos a yw'r llif yn cael ei olrhain fel y disgwyliwch. Mae'r gwiriad cyfeiriad yn cadarnhau'r allanfa pan fo'r polisi'n ymwneud ag egress y rhyngrwyd, tra bod y ping yn cadarnhau cyrchfan breifat a ddylai aros yn gyrraeddadwy. Rhedewch yr un set gyda chyflymu i ffwrdd ac yna ymlaen, a chymharwch y canlyniadau yn hytrach na'r amseroedd.

Cofnodwch y gosodiad blaenorol fel bod yr arbrawf yn parhau'n wrthdro. Mae cyfarwyddyd cyffredinol i analluogi dadlwytho ym mhob man yn cyfrif fel gwaith o amgylch, nid fel darganfyddiad.