pfSense Virtio peal: TCP takerdub, kuni mahalaadimine on välja lülitatud

Klient teatab, et tunnel ühendub, ping vastab, sisselogimisleht laaditakse ja siis külmub ülekanne igal katsel samas kohas. See muster ütleb juba palju: kättesaadavus töötab ja püsiv läbilaskevõime mitte. Enne tulemüüri avamist tehke kindlaks, kas VPN üldse selle rikke osaline on. Saatke suur TCP sama lüüsi kaudu ilma tunnelita teel; kui see külmub samuti, ei olnud OpenVPN kunagi asjasse kaasatud.

virtio võrgukaardiga pfSense külalisel on väga hea põhjus ebaõnnestuda täpselt sellisel kujul.

Väikesed paketid pääsevad läbi, suur TCP jääb rippuma

Kätlemised, DNS-vastused ja ICMP-kajad on väikesed ja tavaliselt pääsevad läbi. Püsivad ülekanded sunnivad külalist segmenteerima ja just seal tuleb esile kahjustatud mahalaadimise tee. Rike ei pea olema sümmeetriline: väljuv liiklus võib olla puhas, samal ajal kui sissetulev kaob, või vastupidi, nii et kasutaja saab sisse logida ja jääb siis esimese suure vastuse juures rippuma. Kuna sama klient töötab teise lüüsi kaudu, langeb süü uusimale komponendile.

Seega testige lüüsi ilma tunnelita. LAN-ist WAN-i allalaadimine, mis on piisavalt suur, et kesta paar sekundit, on küllaldane, ja see tuleb teha enne mis tahes seadete muutmist, et hilisem võrdlus midagi tähendaks.

Mida mahalaadimine tegelikult lubab

virtio on paravirtuaalne: host ja külaline jagavad tööd, host kuulutab välja kontrollsumma ja segmenteerimise võimalused ning ootab, et külaline lõpetab alustatu. Kui külalise pinu seda ei tee, väljuvad kaadrid puudulike kontrollsummadega või viskab host need kõrvale. Emuleeritud E1000 pakub lihtsamat ja aeglasemat mudelit, kus probleem kaob ilma ühegi pfSense muudatuseta. Võimaluste läbirääkimine toimub seadme kaupa, mis selgitab, miks üks külaline töötab kuid ja selle ümberehitatud kaksik ebaõnnestub juba esimesel päeval.

Läbiräägitud komplekt sõltub hüperviisori versioonist ja valitud võrgukaardi mudelist, mitte ainult imporditud konfiguratsioonist.

Üks märkeruut hoiab virtio alles

pfSense’i liideses sisaldab Süsteem, seejärel Täpsem, seejärel Võrk märkeruutu nimega Keela riistvaraline kontrollsumma mahalaadimine. Selle märkimine paneb külalise kontrollsummasid tarkvaras arvutama, mis vastab sellele, mida pfSense’i taga olev FreeBSD pinu paravirtuaalselt seadmelt ootab. Kaks seotud valikut samal lehel katavad riistvaralise TCP segmenteerimise mahalaadimise ja riistvaralise suure vastuvõtu mahalaadimise. Haarake nende järele, kui kätlemised õnnestuvad, aga suured ülekanded mitte.

Jätke võrgukaart virtio’ks, kui muudatust teete. E1000-le üleminek põletab protsessorit iga paketi juures kogu VM-i eluea jooksul ja varjab konfiguratsiooniprobleemi igaühe eest, kes hosti pärib, mis on halvem tehing kui pisut aeglasem, kuid ettearvatav andmetee.

Mõõtke kulu, mille te just vastu võtsite

Tarkvaraline kontrollsummade arvutamine viib töö külalisesse, seega mõõtke seejärel läbilaskevõimet, selle asemel et eeldada, et see ei maksa midagi. Väikesel VM-il on karistus tegelik, kuid see on nähtav ja stabiilne, erinevalt vaikivast kaost. Võrrelge liidese vealoendureid ja külalise kerneli logi enne ja pärast. Hüperviisor, mis filtreerib silda, on eraldi rike teistsuguste tõenditega ja ükski mahalaadimise lipp ei ravi seda.

Muutke testi kohta ühte asja ja kirjutage üles menüü tee, märgitud ruut ja mõõdetud arv. Kes järgmise ümberehitatud külalisega kokku puutub, tahab kõiki kolme.

Teised BSD-põhised tulemüürid pakuvad samaväärset juhtimist oma liidese seadetes, nii et mõttekäik kannab edasi ka siis, kui menüü tee seda ei tee.