Kas riistvaraline NAT-kiirendus rikub sinu VPN-i marsruutimisreegleid?

Riistvaralise NAT-kiirenduse sisselülitamine võib muuta VPN-i seadistuse kiiremaks, aga võib ka panna marsruutimispoliitika lõpetama mõnele paketile kohaldumise täiesti ilma veata. Kumb neist juhtub, sõltub sellest, mida kiirtee vahele jätab, ja see erineb püsivara, kerneli versiooni ja kasutatava kiirenduse liigi vahel. Seadete menüü ütleb harva, millise sa just lubasid.

Kaks väidet väärivad eraldamist enne, kui kiirendit süüdistada: et reegel lakkas kehtimast ja et loendur lakkas uuenemast. Need ei ole sama tähelepanek.

Kolm erinevat kiirendust aetakse kokku

Edastuse mahalaadimine, krüptograafiline kiirendus ja tunnelite andmekanali mahalaadimine on eraldi mehhanismid, mis jagavad sageli ühte lülitit. Edastuse mahalaadimine laseb väljakujunenud voogudel osa tavalisest virnast vahele jätta, krüptograafiline kiirendus teeb šifreerimistöö odavamaks ja tunneli mahalaadimine viib kapseldamise riistvarasse. Marsruuter, mis kiirendab tavalist marsruuditud liiklust, võib jätta tunneliliikluse täielikult aeglasele teele, mis on jõudluse tulemus, mitte poliitika muutus. Olemas on ka vastupidine juhtum, kus tunneliliiklus läheb mahalaadimisele, samal ajal kui ümbritsev poliitika on endiselt hindamisel.

Linuxi flowtables on dokumenteeritud juhtum, mida kõige enam lugeda tasub, sest väljakujunenud voogusid saab anda kiirteele. Nende arvestus ja oleku käsitlemine erinevad siis klassikalisest edastusest, mistõttu hakkavad loendurid kummalised välja nägema.

Loendur, mis lakkab liikumast, tõestab vähe

Reegli loendurid loevad pakette, mis reeglist läbi lähevad, ja mahalaaditud voog ei pruugi pärast esimest paketti sellest enam kunagi läbi minna. Nii tekib loendur, mis külmub, samal ajal kui liiklus jätkub, ja see näeb täpselt välja nagu möödaminek, kui numbrit usaldad. Loenduri jälgimine on endiselt kasulik vihje, et voog lahkus loendatud teelt. Ülejäänud diagnoos peab tulema sellest, kuhu paketid tegelikult lähevad.

Vastupidine järeldus ebaõnnestub sama halvasti. Kiire allalaadimine ei näita, et sinu erandireeglid ja tõrgete käsitlemine veel kehtivad, sest see harjutab ühte voogu, mitte poliitikat.

Kolm tingimust otsustavad, kas mahalaadimine rikub poliitikat

Esimene tingimus on kas kiirtee konsulteerib konksuga, millest sinu poliitika sõltub, sest märkide ja marsruutidena väljendatud poliitika püsib sagedamini kui paketipõhisele filtreerimisele ehitatud poliitika. Teine on, kas püsivara üldse seda kombinatsiooni lubab, sest mõned buildid lülitavad mahalaadimise automaatselt välja, kui tunnel või tulemüüri funktsioon on aktiivne. Kolmas on, kas liiklus on sobilik, sest kiirendus on tavaliselt seotud väljakujunenud voogudega ja võib välistada killustatud või ebatavalised paketid. Seal, kus kõik kolm soosivad kiirendust, kehtib poliitika endiselt, ja seal, kus esimene ebaõnnestub, ei taasta seda miski häälestus.

Loe tootja dokumentatsiooni selle kombinatsiooni kohta, mida kasutad, mitte marsruuteri mudeli kohta üldiselt. Püsivara versioonid muudavad neid vastuseid vaikselt.

Testi poliitikat, mitte läbilaskevõimet

Mõõda, mida poliitika peaks tagama, enne kui mõõdad, kui kiiresti see töötab. Allolevad käsud näitavad, kas flowtable on paigaldatud, mida ühenduste jälgimine näeb ja millisest aadressist klient väljub. Võrdle uut ühendust pärast muudatust, sest väljakujunenud ühendus võib säilitada oma vana tee.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Tunneliliiklust kattev flowtable-kirje ütleb sulle, et kiirtee on mängus, ja ühenduste tabel näitab, kas voogu jälgitakse nii, nagu ootad. Aadressi kontroll kinnitab väljumise, kui poliitika puudutab interneti väljundit, samas kui ping kinnitab privaatset sihtkohta, mis peaks jääma kättesaadavaks. Käivita sama komplekt kiirendusega väljas ja siis sees ning võrdle tulemusi, mitte aegu.

Kirjuta üles eelmine seade, et katse jääks pööratavaks. Üldine korraldus mahalaadimine kõikjal välja lülitada loetakse mööraminekuks, mitte leiukohaks.