A aceleración NAT por hardware rompe as túas regras de encamiñamento da VPN?

Activar a aceleración NAT por hardware pode facer máis rápida unha configuración de VPN, e tamén pode facer que unha política de encamiñamento deixe de aplicarse a algúns paquetes sen ningún erro. Cal das dúas cousas ocorre depende do que salte a ruta rápida, e iso varía entre o firmware, a versión do kernel e o tipo de aceleración empregado. O menú de axustes raramente che di cal acabas de activar.

Dúas afirmacións merecen separarse antes de culpar o acelerador: que unha regra deixou de aplicarse e que un contador deixou de actualizarse. Non son a mesma observación.

Tres aceleracións distintas mestúranse

A descarga do reenvío, a aceleración criptográfica e a descarga da canle de datos do túnel son mecanismos separados que a miúdo comparten un único conmutador. A descarga do reenvío permite que os fluxos establecidos salten parte da pila normal, a aceleración criptográfica abarata o traballo de cifrado e a descarga do túnel leva a encapsulación ao hardware. Un encamiñador que acelera o tráfico encamiñado ordinario pode deixar o tráfico do túnel por completo na ruta lenta, o que é un resultado de rendemento e non un cambio de política. Tamén existe o caso inverso, no que o tráfico do túnel se descarga mentres a política circundante aínda se avalía.

As flowtables de Linux son o caso documentado que máis paga a pena ler, xa que os fluxos establecidos poden entregarse a unha ruta rápida. A súa contabilidade e xestión de estado difiren entón do reenvío clásico, e por iso os contadores comezan a parecer estraños.

Un contador que deixa de moverse demostra pouco

Os contadores de regras contan os paquetes que pasan pola regra, e un fluxo descargado pode non volver pasar por ela nunca despois do primeiro paquete. Iso produce un contador que se conxela mentres o tráfico continúa, e parece exactamente unha burla se confías no número. Vixiar o contador segue sendo útil como indicio de que o fluxo abandonou a ruta contada. O resto do diagnóstico ten que vir de onde van realmente os paquetes.

A inferencia oposta falla igual de mal. Unha descarga rápida non demostra que as túas regras de excepción e o tratamento de fallos sigan aplicándose, porque exercita un fluxo e non a política.

Tres condicións deciden se a descarga rompe a política

A primeira condición é se a ruta rápida consulta o gancho do que depende a túa política, xa que unha política expresada como marcas e rutas sobrevive máis a miúdo ca unha construída con filtrado por paquete. A segunda é se o firmware permite sequera esa combinación, porque algunhas compilacións desactivan a descarga automaticamente cando hai un túnel ou unha función de cortafogos activa. A terceira é se o tráfico é elixible, xa que a aceleración adoita vincularse a fluxos establecidos e pode excluír paquetes fragmentados ou pouco habituais. Onde as tres favorecen a aceleración, a política segue aplicándose, e onde falla a primeira, ningunha cantidade de axuste a restaura.

Le a documentación do fabricante para a combinación que executas, non para o modelo de encamiñador en xeral. As versións de firmware cambian estas respostas en silencio.

Proba a política, non o rendemento

Mide que debe garantir a política antes de medir o rápida que é. Os comandos seguintes mostran se hai unha flowtable instalada, que ve o seguimento de conexións e desde que enderezo sae o cliente. Compara unha conexión nova despois do cambio, xa que unha establecida pode conservar a súa ruta antiga.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Unha entrada de flowtable que cobre o tráfico do túnel dinos que a ruta rápida está en xogo, e a táboa de conexións mostra se o fluxo se rastrexa como esperas. A comprobación de enderezo confirma a saída cando a política afecta o acceso a internet, mentres que o ping confirma un destino privado que debe seguir sendo alcanzable. Executa o mesmo conxunto coa aceleración desactivada e despois activada, e compara os resultados en lugar dos tempos.

Anota a configuración anterior para que o experimento siga sendo reversible. Unha instrución xenérica de desactivar a descarga en todas partes conta como unha solución alternativa, non como un achado.