Hardware NAT azelerazioak zure VPN bideratze arauak hausten ditu?

Hardware NAT azelerazioa pizteak VPN ezarpena azkarragoa izan daiteke, eta bideratze politika batzuk pakete batzuei aplikatzeari utz diezaioke, errorerik bat ere eman gabe. Bi horietako zein gertatzen den bide azkarrak zer saihesten duen araberakoa da, eta hori firmwarearen, kernelaren bertsioaren eta erabilitako azelerazio motaren arabera aldatzen da. Ezarpenen menuak gutxitan esaten dizu zein gaitu duzun.

Bi baieztapen bereizi behar dira azeleragailua errudun jo aurretik: arau bat betearazteari utzi diola eta kontagailu bat eguneratzeari utzi diola. Ez dira behaketa bera.

Hiru azelerazio desberdin nahasten dira

Bideratzearen offloada, azelerazio kriptografikoa eta tunelaren datu kanalaren offloada mekanismo bereiziak dira, eta sarritan etengailu bakarra partekatzen dute. Bideratzearen offloadak ezarritako fluxuei pila arruntaren zati bat saihesten uzten die, azelerazio kriptografikoak zifratze lana merkeago egiten du, eta tunelaren offloadak kapsulatzea hardwareara eramaten du. Bideratutako trafiko arrunta azeleratzen duen bideratzaileak tunelaren trafikoa erabat bide geldoan utz dezake, eta hori errendimenduaren emaitza da, ez politika aldaketa. Alderantzizkoa ere badago: tunelaren trafikoa offload bidez prozesatzen da inguruko politika oraindik ebaluatzen den bitartean.

Linuxen flowtableak irakurtzea gehien merezi duen dokumentatutako kasua dira, ezarritako fluxuak bide azkar batera pasa baitaitezke. Orduan haien kontabilitatea eta egoera kudeatzea ohiko bideratzetik desberdintzen dira, eta horregatik hasten dira kontagailuak arraroak iruditzen.

Mugitzen uzten duen kontagailuak gutxi frogatzen du

Arauen kontagailuek arautik igarotzen diren paketeak zenbatzen dituzte, eta offloaddun fluxu batek baliteke lehen paketearen ondoren sekula gehiago hortik igarotzea. Horrek kontagailu bat sortzen du, trafikoa jarraitzen duen bitartean izozten dena, eta saihesbide baten itxura zehatza du zenbakiari sinesten badiozu. Kontagailua behatzeak oraindik balio du fluxuak zenbatutako bidea utzi duela adierazteko. Diagnostikoaren gainerakoa paketeak benetan norantz doazen hortik etorri behar da.

Aurkako inferentziak berdin huts egiten du. Deskarga azkar batek ez du erakusten zure salbuespen arauek eta hutsegiteen tratamenduak oraindik balio dutenik, fluxu bat probatzen baitu, ez politika.

Hiru baldintzak erabakitzen dute offloadak politika hausten duen

Lehen baldintza da bide azkarrak zure politikak oinarri duen kakoa kontsultatzen duen, zeren marka eta bide gisa adierazitako politika gehiagotan bizirik irauten du pakete bakoitzeko iragazketan eraikitakoak baino. Bigarrena da firmwareak konbinazio hori onartzen duen, zenbait bertsioek offload automatikoki desaktibatzen baitute tunel edo suebaki funtzio bat aktibo dagoenean. Hirugarrena da trafikoa egokia den, azelerazioa ezarritako fluxuei lotuta egoten baita eta pakete zatikatuak edo ezohikoak kanpoan utz ditzake. Hirurak azelerazioaren alde daudenean politika oraindik aplikatzen da, eta lehenak huts egiten duenean ez du doikuntzak berrezartzen.

Irakurri fabrikatzailearen dokumentazioa erabiltzen ari zaren konbinazioarentzat, ez bideratzaile ereduarentzat orokorrean. Firmware bertsioek isilik aldatzen dituzte erantzun horiek.

Probatu politika, ez throughputa

Neurtu politikak zer bermatu behar duen, zer-nolako abiadura duen neurtu aurretik. Beheko komandoek erakusten dute flowtable bat instalatuta dagoen, konexioen jarraipenak zer ikusten duen eta zein helbidetatik irteten den bezeroa. Alderatu konexio berri bat aldaketaren ondoren, ezarritako batek bere bide zaharra gorde baitezake.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Tunelaren trafikoa estaltzen duen flowtable sarrera batek bide azkarra martxan dagoela esaten dizu, eta konexio taulak fluxua espero duzun moduan jarraitzen den erakusten du. Helbide egiaztapenak irteera baieztatzen du politikak interneteko irteerari dagokionean, eta ping-ek eskuragarri egon behar duen helmuga pribatu bat baieztatzen du. Exekutatu multzo bera azelerazioa itzalita eta gero piztuta, eta alderatu emaitzak, ez denborak.

Idatzi aurreko ezarpena, esperimentua itzulgarria izan dadin. Offloada leku guztietan desaktibatzeko argibide orokorrak ingurubide bat balio du, ez aurkikuntza bat.