pfSense ar Virtio: mae TCP yn stopio nes bydd y llwytho wedi’i ddiffodd

Mae cleient yn adrodd bod y twnnel yn cysylltu, bod ping yn ateb, bod y dudalen fewngofnodi’n llwytho, ac yna bod y trosglwyddiad yn rhewi ar yr un pwynt ar bob ymgais. Mae’r patrwm hwnnw’n dweud llawer yn barod: mae cyrraedd yn gweithio ac nid yw trwybwn cynaliadwy yn gweithio. Cyn agor y wal dân, darganfyddwch a yw’r VPN yn cymryd rhan yn y methiant o gwbl. Gwthiwch TCP mawr drwy’r un porth heb dwnnel yn y llwybr; os yw hwnnw’n rhewi hefyd, ni fu OpenVPN yn rhan o’r peth erioed.

Mae gan westai pfSense sy’n defnyddio cerdyn rhwydwaith virtio reswm da iawn dros fethu yn union yn y siâp hwnnw.

Mae pecynnau bach yn pasio, mae TCP swmpus yn hongian

Mae ysgwyd llaw, atebion DNS ac adleisiau ICMP yn fach ac fel arfer yn pasio. Mae trosglwyddiadau cynaliadwy’n gorfodi’r gwestai i segmentu, a dyna lle mae llwybr gollwng sydd wedi’i ddifrodi yn dod i’r wyneb. Nid oes rhaid i’r nam fod yn gymesur: gall allan fod yn lân tra bod mewn yn gollwng, neu i’r gwrthwyneb, felly gall defnyddiwr fewngofnodi ac yna hongian ar yr ymateb mawr cyntaf. Gan fod yr un cleient yn gweithio drwy borth arall, y gydran ddiweddaraf sy’n cael y bai.

Felly profwch y porth heb y twnnel. Mae lawrlwytho o LAN i WAN sy’n ddigon mawr i redeg am ychydig eiliadau yn ddigon, a rhaid ei wneud cyn unrhyw newid i’r gosodiadau fel bod y gymhariaeth wedyn yn golygu rhywbeth.

Beth mae gollwng yn ei addo mewn gwirionedd

Mae virtio yn bararithwir: mae’r gwesteiwr a’r gwestai’n rhannu’r gwaith, mae’r gwesteiwr yn hysbysebu galluoedd cyfanswm gwirio a segmentu, ac mae’n disgwyl i’r gwestai orffen yr hyn a ddechreuodd. Os nad yw stac y gwestai’n gwneud hynny, mae fframiau’n gadael â chyfansymiau gwirio anghyflawn neu’n cael eu gollwng gan y gwesteiwr. Mae E1000 wedi’i efelychu’n cynnig model symlach ac arafach lle mae’r broblem yn diflannu heb un newid i pfSense. Mae trafodaeth galluoedd yn digwydd fesul dyfais, sy’n esbonio pam mae un gwestai’n rhedeg am fisoedd tra bod ei efeilldd a ailadeiladwyd yn methu ar y diwrnod cyntaf.

Mae’r set a drafodwyd yn dibynnu ar fersiwn yr hypervisor a’r model cerdyn rhwydwaith a ddewiswyd, nid yn unig ar y ffurfweddiad a fewnforiwyd gennych.

Mae un blwch ticio’n cadw virtio

Yn rhyngwyneb pfSense, mae System wedyn Advanced wedyn Networking yn cynnwys blwch ticio o’r enw Disable hardware checksum offload. Mae ei osod yn gwneud i’r gwestai gyfrif cyfansymiau gwirio mewn meddalwedd, gan gyd-fynd â’r hyn y mae stac FreeBSD y tu ôl i pfSense yn ei ddisgwyl gan ddyfais bararithwir. Mae dau opsiwn cysylltiedig ar yr un dudalen yn cwmpasu gollwng segmentu TCP caledwedd a gollwng derbyn mawr caledwedd. Ewch at y rheini pan fydd ysgwyd llaw yn llwyddo ond nad yw trosglwyddiadau swmpus yn llwyddo.

Gadewch y cerdyn rhwydwaith fel virtio wrth wneud y newid. Mae newid i E1000 yn llosgi CPU ar bob pecyn am oes y VM ac yn cuddio’r broblem ffurfweddu rhag pwy bynnag sy’n etifeddu’r gwesteiwr, sy’n fargen waeth na llwybr data ychydig yn arafach ond yn rhagweladwy.

Mesurwch y gost rydych newydd ei derbyn

Mae cyfrifo cyfansymiau gwirio mewn meddalwedd yn symud gwaith i’r gwestai, felly mesurwch drwybwn wedyn yn hytrach na thybio nad yw’n costio dim. Ar VM bach mae’r gosb yn real, ond mae’n weladwy ac yn sefydlog, yn wahanol i golled dawel. Cymharwch gwrthyddion gwallau’r rhyngwyneb a log cnewyllyn y gwestai cyn ac ar ôl. Mae hypervisor sy’n hidlo’r bont yn nam ar wahân â thystiolaeth wahanol, ac ni fydd unrhyw faner gollwng yn ei wella.

Newidiwch un peth y prawf ac ysgrifennwch y llwybr dewislen, y blwch y gwnaethoch ei dicio a’r rhif a fesurwyd gennych. Bydd pwy bynnag sy’n wynebu’r gwestai ailadeiladu nesaf am gael y tri.

Mae waliau tân eraill sy’n seiliedig ar BSD yn cynnig rheolaeth gyfatebol o dan eu gosodiadau rhyngwyneb eu hunain, felly mae’r rhesymeg yn teithio hyd yn oed pan nad yw’r llwybr dewislen yn gwneud.