pfSense Virtio gainean: TCP blokeatu egiten da offload desaktibatu arte

Bezero batek salatzen du tunela konektatzen dela, ping-ak erantzuten duela, saio-hasierako orria kargatzen dela eta gero transferentzia saiakera bakoitzean puntu berean izozten dela. Eredu horrek asko esaten du jada: irisgarritasunak funtzionatzen du eta etengabeko errendimenduak ez. Suebakia ireki aurretik, jakin ezazu ea VPN-a hutsegitean parte hartzen ari den. Eraman TCP handia ate beretik tunelik gabe bidean; hura ere izozten bada, OpenVPN ez zen inoiz egon.

virtio sare-txartela duen pfSense gonbidatu batek arrazoi oso ona du forma horretan bertan huts egiteko.

Pakete txikiak pasatzen dira, TCP handia zintzilik geratzen da

Eskuen lotsa, DNS erantzunak eta ICMP oihartzunak txikiak dira eta normalean pasatzen dira. Etengabeko transferentziek gonbidatua segmentatzera behartzen dute, eta hor agertzen da offload bide hondatua. Hutsegiteak ez du zertan simetrikoa izan: irteerako trafikoa garbia izan daiteke sarrerakoa galtzen den bitartean, edo alderantziz, beraz erabiltzaile batek saioa hasi eta gero lehen erantzun handian trabatuta gera daiteke. Bezero bera beste ate baten bidez funtzionatzen duenez, osagairik berrienak hartzen du errua.

Beraz, probatu atea tunelik gabe. LANetik WANera segundo batzuk iraun ditzakeen deskarga bat nahikoa da, eta ezarpenak aldatu aurretik egin behar da, geroagoko konparazioak zentzua izan dezan.

Zer agintzen duen offload-ak benetan

virtio parabisuala da: ostalariak eta gonbidatuak lana partekatzen dute, ostalariak kontrol-batuketa eta segmentazio gaitasunak iragartzen ditu eta gonbidatuak hasi duena amai dezan espero du. Gonbidatuaren pila horrela egiten ez badu, markoak kontrol-batuketa osatugabeekin irteten dira edo ostalariak baztertzen ditu. E1000 emulatu batek eredu sinpleagoa eta motelagoa eskaintzen du, non arazoa pfSense-n aldaketa bakar bat gabe desagertzen den. Gaitasunen negoziazioa gailuz gailu egiten da, eta horrek azaltzen du zergatik gonbidatu bat hilabeteetan ibiltzen den eta hura berreraikitako bikia lehen egunean huts egiten duen.

Negoziaturiko multzoa hiperbisorearen bertsioaren eta hautatutako sare-txartelaren modeloaren araberakoa da, ez soilik inportatu duzun konfigurazioaren araberakoa.

Kontrol-lauki batek virtio mantentzen du

pfSense interfazean, Sistema eta gero Aurreratua eta gero Sarea atalak kontrol-lauki bat du izen honekin: Desaktibatu hardwarearen kontrol-batuketaren offload-a. Markatzean gonbidatuak kontrol-batuketak softwarez kalkulatzen ditu, eta hori bat dator FreeBSD pilak pfSense atzean gailu parabisual batetik espero duenarekin. Orri berean bi aukera erlazionatuk hardwarearen TCP segmentazioaren offload-a eta hardwarearen harrera handiaren offload-a estaltzen dituzte. Jo horietara eskuen lotsak lortzen direnean baina transferentzia handiek ez.

Utzi sare-txartela virtio gisa aldaketa egiten duzun bitartean. E1000-ra aldatzeak CPUa erretzen du pakete bakoitzean VMaren bizitza osoan eta konfigurazio-arazoa ezkutatzen du ostalaria oinordetzan hartzen duenarentzat, eta hori truke okerragoa da datu-bide pixka bat motelagoa baina aurreikusgarria baino.

Neurtu oraintxe onartu duzun kostua

Softwarezko kontrol-batuketek lana gonbidatura eramaten dute, beraz neurtu errendimendua geroago, ezer kostatzen ez dela suposatu beharrean. VM txiki batean zigorra erreala da, baina ikusgai eta egonkorra, isil-gordeko galera ez bezala. Konparatu interfazearen erro-kontagailuak eta gonbidatuaren kernel erregistroa aurretik eta ondoren. Zubia iragazten duen hiperbisorea bereizi hutsegitea da, frogak desberdinak dituena, eta inongo offload banderak ez du sendatuko.

Aldatu gauza bat proba bakoitzeko eta idatzi menuaren bidea, markatu duzun laukia eta neurtu duzun zenbakia. Hurrengo gonbidatu berreraikiari aurre egingo dionak hirurak nahi izango ditu.

BSD-n oinarritutako beste suebaki batzuek baliokidea den kontrola eskaintzen dute beren interfaze-ezarpenetan, beraz arrazoibidea bidaiatzen du menuaren bideak ez duenean ere.