pfSense op Virtio: TCP stûket oant de offload útskeakele is

In klant meldt dat de tunnel ferbynt, in ping antwurdet, de oanmeldside lade en de oerdracht dan by elk besykjen op itselde punt fêstfriest. Dat patroan seit al folle: berikberens wurket en duorsume trochfier net. Foardat jo de firewall iepenje, moatte jo útfine oft de VPN uberhaupt by de flater belutsen is. Stjoer grutte TCP troch deselde gateway sûnder tunnel yn it paad; as dat ek fêstfriest, wie OpenVPN der nea by belutsen.

In pfSense-gast mei in virtio-netwurkkaart hat in hiel goede reden om krekt yn dy foarm te mislearjen.

Lytse pakketten komme troch, grutte TCP hinget

Hânskudden, DNS-antwurden en ICMP-eko’s binne lyts en komme meastentiids troch. Duorsume oerdrachten twinge de gast te segmintearjen, en dêr komt in skansearre offload-paad oan it ljocht. De flater hoecht net symmetrysk te wêzen: útgeand ferkear kin skjin wêze wylst yngaand ferkeart, of oarsom, sadat in brûker oanmelde kin en dan by it earste grutte antwurd fêststiet. Om’t deselde klant troch in oare gateway wurket, kriget it nijste ûnderdiel de skuld.

Test de gateway dus sûnder de tunnel. In LAN-nei-WAN-download dy’t grut genôch is om in pear sekonden te draaien is genôch, en dy moat dien wurde foar’t jo wat oan ynstellings feroarje, sadat de ferliking dêrnei wat betsjut.

Wat offload eins belooft

virtio is parafirtueel: host en gast diele it wurk, de host kundiget kontrôlesom- en segmintearringskaaimoglikheden oan en ferwachtet dat de gast ôfmeitsje wat er begûn is. As de stack fan ’e gast dat net docht, ferlitte frames de gast mei ûnfolledige kontrôlesommen of wurde se troch de host fuortgoaid. In emulearre E1000 biedt in ienfâldiger en stadiger model wêryn’t it probleem ferdwynt sûnder ien pfSense-feroaring. Underhanneling oer mooglikheden bart per apparaat, wat ferklearret wêrom’t ien gast moannen draait en syn werboude twilling op dei ien mislearret.

De ûnderhannele set hinget ôf fan ’e hypervisor-ferzje en it keazen netwurkkaartmodel, net allinnich fan ’e konfiguraasje dy’t jo ymportearre hawwe.

Ien kontrôlefak hâldt virtio

Yn ’e pfSense-ynterface befettet Systeem, dan Avansearre, dan Netwurk in kontrôlefak mei de namme Hurdfeare-kontrôlesom-offload útsette. As jo it oanfinkje, berekkent de gast kontrôlesommen yn software, wat oerienkomt mei wat de FreeBSD-stack efter pfSense fan in parafirtuele apparaat ferwachtet. Twa besibbe opsjes op deselde side dekke hurdfeare-TCP-segmintearringsoffload en hurdfeare-grutûntfangst-offload. Griip dêrnei as hânskudden slagje mar grutte oerdrachten net.

Lit de netwurkkaart virtio wêze wylst jo de feroaring meitsje. Oergean nei E1000 baarnt CPU op elk pakket foar de hiele libbensdoer fan ’e VM en ferberget it konfiguraasjeprobleem foar wa’t de host ek mar erft, wat in slimmer ruil is as in wat stadiger mar foarsisber gegevenspaad.

Mjit de kosten dy’t jo krekt akseptearre hawwe

Software-kontrôlesommen ferpleatse wurk de gast yn, dus mjit de trochfier dêrnei ynstee fan oan te nimmen dat it neat kostet. Op in lytse VM is de straf echt, mar hy is sichtber en stabyl, oars as in stil ferlies. Ferlykje ynterface-flatertellers en it kernelloch fan ’e gast foar en nei. In hypervisor dy’t de brêge filteret is in aparte flater mei oare bewiis, en gjin offload-flagge sil him genêze.

Feroarje ien ding per test en skriuw it menupaad, it fakje dat jo oanfinke hawwe en it getal dat jo metten hawwe op. Wa’t de folgjende werboude gast tsjinkomt, sil alle trije wolle.

Oare BSD-basearre firewalls biede in lykweardige kontrôle ûnder har eigen ynterface-ynstellingen, sadat de redenaasje reizget sels as it menupaad dat net docht.