Brekt hardware-NAT-ôfload jo VPN-rûtesregels?

Fersnelling kin de heak oerslaan dêr't jo belied op stipet, of allinnich ferpleatse wêr't tellers bywurke wurde. Skied dy útkomsten foardat jo ynstellings feroarje.

It oansetten fan hardware-NAT-fersnelling kin in VPN-opsetsel flugger meitsje, en it kin ek in rûtebelied ophâlde te jilden foar guon pakketten sûnder hokker flater dan ek. Hokker fan beide bart hinget ôf fan wat it snelle paad oerslacht, en dat ferskilt tusken firmware, kernelferzje en it soarte fersnelling dat brûkt wurdt. It ynstellingsmenu fertelt jo selden hokker jo krekt ynskeakele hawwe.

Twa bewearings fertsjinje skieding foardat de fersneller de skuld kriget: dat in regel ophâlden is te jilden en dat in teller ophâlden is bywurke te wurden. Dat binne net deselde waarnimmingen.

Trije ferskillende fersnellings wurde trochinoar helle

Trochstjoer-offload, kryptografyske fersnelling en offload fan it datakanaal fan 'e tunnel binne aparte meganismen dy't faak ien skakelaar diele. Trochstjoer-offload lit fêstige streamen in part fan 'e normale stapel oerslaan, kryptografyske fersnelling makket sipelwurk goedkeaper, en tunnel-offload ferpleatst de ynkapseling nei de hardware. In router dy't gewoane rûtearre ferkear fersnelt, kin tunnelferkear hielendal op it stadige paad litte, wat in prestaasje-útkomst is en gjin beliedswiziging. It omkearde bestiet ek, wêrby't tunnelferkear offloade wurdt wylst it omlizzende belied noch evaluearre wurdt.

Linux-flowtables binne it dokumintearre gefal dat it meast wurdich is om te lêzen, om't fêstige streamen oerdroegen wurde kinne oan in fluch paad. Harren boekhâlding en steatbehear ferskille dan fan klassike trochstjoering, en dêrom begjinne de tellers frjemd te lykjen.

In teller dy't ophâldt te bewegen bewiist net folle

Regeltellers telle de pakketten dy't troch de regel geane, en in offloade stream giet der nei it earste pakket miskien nea wer trochhinne. Dat leveret in teller op dy't befriest wylst ferkear trochgiet, en it liket krekt op in omsyljen as jo it getal fertrouwe. It tellen fan 'e teller is noch altyd nuttich as hint dat de stream it telde paad ferlitten hat. De rest fan 'e diagnoaze moat komme fan wêr't de pakketten eins hinne geane.

De tsjinoerstelde konklúzje mislearret like slim. In flugge download lit net sjen dat jo útsûnderingsregels en flaterbehanneling noch jilde, om't it ien stream oefenet en net it belied.

Trije betingsten beslisse oft offload belied brekt

De earste betingst is oft it snelle paad de heak rieplachtet dêr't jo belied fan ôfhinklik is, om't in belied útdrukt yn markearrings en rûtes faker oerlibbet as ien dy't boud is op filtering per pakket. De twadde is oft de firmware de kombinaasje wol tastiet, om't guon builds offload automatysk útskeakelje as in tunnel of in firewallfunksje aktyf is. De tredde is oft it ferkear gaadlik is, om't fersnelling ornaris keppele is oan fêstige streamen en fragmintearre of ûngewoane pakketten útslute kin. Wêr't alle trije de fersnelling begeunstigje, jildt it belied noch, en wêr't de earste mislearret, makket gjin inkelde ôfstimming it wer goed.

Lês de dokumintaasje fan 'e leveransier foar de kombinaasje dy't jo draaie, net foar it routermodel yn 't algemien. Firmwareferzjes feroarje dy antwurden stil.

Test it belied, net de trochset

Mjit wat it belied garandearje moat foardat jo mjitte hoe fluch oft it giet. De kommando's hjirûnder litte sjen oft in flowtable ynstallearre is, wat ferbiningstracing sjocht en fan hokker adres de klant út giet. Fergelykje in nije ferbining nei de wiziging, om't in fêstige ien syn âlde paad hâlde kin.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

In flowtable-ynskriuwing dy't it tunnelferkear dekt, fertelt jo dat it snelle paad yn wurking is, en de ferbiningstabel lit sjen oft de stream folge wurdt sa't jo ferwachtsje. De adreskontrôle befêstiget de útgong as it belied it ynternetferkear oangiet, wylst de ping in privee bestimming befêstiget dy't berikber bliuwe moat. Draai deselde set mei fersnelling út en dan oan, en fergelykje de resultaten yn stee fan 'e tiden.

Skriuw de foarige ynstelling op sadat it eksperimint omkearber bliuwt. In algemiene opdracht om offload oeral út te skeakeljen jildt as in omwei, net as in befinning.

Relatearre artikelen