pfSense sur Virtio: TCP haltiĝas ĝis la forŝarĝo estas malŝaltita

Kliento raportas, ke la tunelo konektiĝas, ke ping respondas, ke la saluta paĝo ŝargiĝas, kaj ke la transdono poste frostas ĉe la sama punkto en ĉiu provo. Tiu ŝablono jam multe diras: atingeblo funkcias kaj daŭra trafiko ne. Antaŭ ol malfermi la fajroŝirmilon, eltrovu ĉu la VPN entute partoprenas en la fiasko. Sendu grandan TCP tra la sama enirejo sen tunelo en la vojo; se ĝi ankaŭ frostas, OpenVPN neniam estis implikita.

pfSense-gasto kun virtio-retkarto havas tre bonan kialon fiaski ĝuste en tiu formo.

Malgrandaj pakaĵoj pasas, granda TCP pendas

Manpremoj, DNS-respondoj kaj ICMP-ecoj estas malgrandaj kaj kutime pasas. Daŭraj transdonoj devigas la gaston segmenti, kaj ĝuste tie aperas difektita forŝarĝa vojo. La fuŝo ne devas esti simetria: la elira trafiko povas esti pura dum la enira falas, aŭ inverse, do uzanto povas ensaluti kaj poste pendi ĉe la unua granda respondo. Ĉar la sama kliento funkcias tra alia enirejo, la plej nova komponanto ricevas la kulpon.

Do testu la enirejon sen la tunelo. Elŝuto de LAN al WAN sufiĉe granda por daŭri kelkajn sekundojn sufiĉas, kaj ĝi devas esti farita antaŭ ajna agorda ŝanĝo, por ke la posta komparo signifu ion.

Kion forŝarĝo vere promesas

virtio estas duonvirtuala: gastiganto kaj gasto dividas la laboron, la gastiganto anoncas kapablojn de kontrolsumo kaj segmentado kaj atendas, ke la gasto finu tion, kion ĝi komencis. Se la stako de la gasto tion ne faras, kadroj foriras kun nekompletaj kontrolsumoj aŭ estas forĵetitaj de la gastiganto. Emulaciita E1000 ofertas pli simplan kaj pli malrapidan modelon, en kiu la problemo malaperas sen eĉ unu ŝanĝo en pfSense. Kapabla intertraktado okazas po aparato, kio klarigas kial unu gasto funkcias monatojn dum ĝia rekonstruita ĝemelo fiaskas la unuan tagon.

La intertraktita aro dependas de la versio de la hipervizoro kaj de la elektita retkarta modelo, ne nur de la agordo, kiun vi importis.

Unu markobutono konservas virtio

En la pfSense-fasado, la vojo Sistema, poste Altnivela, poste Reto enhavas markobuton nomatan Malŝalti aparatan kontrolsuman forŝarĝon. Marki ĝin igas la gaston komputi kontrolsumojn en programaro, kio kongruas kun tio, kion la FreeBSD-stako malantaŭ pfSense atendas de duonvirtuala aparato. Du rilataj opcioj sur la sama paĝo kovras aparatan TCP-segmentadan forŝarĝon kaj aparatan grandan ricevan forŝarĝon. Tenu al ili kiam manpremoj sukcesas sed grandaj transdonoj ne.

Lasu la retkarton kiel virtio dum vi faras la ŝanĝon. Ŝalti al E1000 bruligas procesoron ĉe ĉiu pakaĵo dum la tuta vivo de la VM kaj kaŝas la agordan problemon de ĉiu, kiu heredos la gastiganton, kio estas pli malbona interŝanĝo ol iom pli malrapida sed antaŭvidebla datenvojo.

Mezuru la koston, kiun vi ĵus akceptis

Programara kontrolsumado movas laboron en la gaston, do mezuru trafikon poste anstataŭ supozi, ke ĝi kostas nenion. Sur malgranda VM la puno estas reala, sed ĝi estas videbla kaj stabila, male al silenta perdo. Komparu interfacajn erarokalkulilojn kaj la kernan protokolon de la gasto antaŭ kaj poste. Hipervizoro, kiu filtras la ponton, estas aparta fuŝo kun aliaj pruvoj, kaj neniu forŝarĝa flago resanigos ĝin.

Ŝanĝu unu aferon per testo kaj notu la menuvojon, la markobutonon, kiun vi markis, kaj la nombron, kiun vi mezuris. Kiu ajn alfrontos la sekvan rekonstruitan gaston, volos ĉiujn tri.

Aliaj BSD-bazitaj fajroŝirmiloj ofertas egalan regadon sub siaj propraj interfacaj agordoj, do la rezonado vojaĝas eĉ kiam la menuvojo ne faras.