האם האצת NAT בחומרה שוברת את כללי הניתוב של ה-VPN שלך?

הפעלת האצת NAT בחומרה יכולה להפוך התקנת VPN למהירה יותר, והיא גם יכולה לגרום למדיניות ניתוב להפסיק לחול על חלק מהחבילות בלי שום שגיאה. איזו משתי התוצאות תתרחש תלוי במה שהמסלול המהיר מדלג עליו, וזה שונה בין קושחה, גרסת ליבה וסוג ההאצה שבשימוש. תפריט ההגדרות ממעט לספר איזו מהן הפעלתם זה עתה.

שתי טענות ראויות להפרדה לפני שמאשימים את המאיץ: שכלל הפסיק להיאכף, ושמונה הפסיק להתעדכן. אלה אינן אותה תצפית.

שלוש האצות שונות מעורבבות יחד

פריקת עומס של העברה, האצה קריפטוגרפית ופריקת עומס של ערוץ הנתונים של המנהרה הן מנגנונים נפרדים שלעיתים קרובות חולקים מתג אחד. פריקת עומס של העברה מאפשרת לזרימות מבוססות לדלג על חלק מהמחסנית הרגילה, ההאצה הקריפטוגרפית מוזילה את עבודת ההצפנה, ופריקת עומס של המנהרה מעבירה את העטיפה לחומרה. נתב שמאיץ תעבורה מנותבת רגילה עשוי להשאיר את תעבורת המנהרה כולה במסלול האיטי, וזו תוצאת ביצועים ולא שינוי מדיניות. קיים גם ההיפך, שבו תעבורת המנהרה נפרקת בעומס בעוד המדיניות שסביבה עדיין נבחנת.

flowtables של Linux הם המקרה המתועד שהכי שווה לקרוא, מאחר שאפשר למסור זרימות מבוססות למסלול מהיר. החשבונאות וטיפול המצב שלהן אז שונים מהעברה קלאסית, ולכן המונים מתחילים להיראות מוזרים.

מונה שמפסיק לזוז מוכיח מעט

מוני כללים סופרים את החבילות שעוברות בכלל, וזרימה שנפרקה בעומס עשויה לא לעבור דרכו שוב לעולם אחרי החבילה הראשונה. זה יוצר מונה שקופא בזמן שהתעבורה נמשכת, והוא נראה בדיוק כמו עקיפה אם אתם סומכים על המספר. מעקב אחר המונה עדיין שימושי כרמז שהזרימה עזבה את המסלול הנספר. שאר האבחון חייב לבוא מלהיכן שהחבילות באמת הולכות.

המסקנה ההפוכה נכשלת באותה מידה. הורדה מהירה אינה מראה שכללי החריגה וטיפול התקלות שלכם עדיין חלים, מפני שהיא מפעילה זרימה אחת ולא את המדיניות.

שלושה תנאים קובעים אם פריקת העומס שוברת את המדיניות

התנאי הראשון הוא האם המסלול המהיר מתייעץ עם ה-hook שהמדיניות שלכם תלויה בו, מפני שמדיניות שמבוטאת כסימונים ומסלולים שורדת לעיתים קרובות יותר מזו שנבנתה על סינון לכל חבילה. השני הוא האם הקושחה בכלל מתירה את השילוב, מפני שחלק מהבנייה מכבה פריקת עומס אוטומטית כשמנהרה או תכונת חומת אש פעילה. השלישי הוא האם התעבורה זכאית, מפני שההאצה בדרך כלל קשורה לזרימות מבוססות ועשויה להוציא חבילות מקוטעות או בלתי רגילות. במקום שכל השלושה מעדיפים האצה המדיניות עדיין חלה, ובמקום שהראשון נכשל שום כוונון אינו מחזיר אותה.

קראו את התיעוד של היצרן עבור השילוב שאתם מריצים, ולא עבור דגם הנתב בכלל. גרסאות קושחה משנות את התשובות האלה בשקט.

בדקו את המדיניות, לא את התפוקה

מדדו מה המדיניות אמורה להבטיח לפני שתמדדו כמה מהר היא עוברת. הפקודות שלהלן מראות אם מותקן flowtable, מה מעקב החיבורים רואה ומאיזו כתובת הלקוח יוצא. השוו חיבור חדש אחרי השינוי, מפני שחיבור מבוסס עשוי לשמור על המסלול הישן שלו.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

רשומת flowtable שמכסה את תעבורת המנהרה אומרת לכם שהמסלול המהיר בפעולה, וטבלת החיבורים מראה אם הזרימה נעקבת כפי שאתם מצפים. בדיקת הכתובת מאשרת את היציאה כשהמדיניות נוגעת ליציאה לאינטרנט, בעוד ה-ping מאשר יעד פרטי שאמור להישאר נגיש. הריצו את אותה קבוצה עם ההאצה כבויה ואחר כך פועלת, והשוו את התוצאות ולא את הזמנים.

רשמו את ההגדרה הקודמת כדי שהניסוי יישאר הפיך. הוראה כללית לכבות פריקת עומס בכל מקום נחשבת לעקיפה, לא לממצא.