Töri a hardveres NAT-gyorsítás a VPN-útválasztási szabályaidat?

A hardveres NAT-gyorsítás bekapcsolása gyorsabbá tehet egy VPN-beállítást, és azt is elérheti, hogy egy útválasztási házirend hibaüzenet nélkül ne érvényesüljön bizonyos csomagokra. Melyik történik meg, attól függ, mit hagy ki a gyorsított útvonal, és ez a firmware, a kernelverzió és az alkalmazott gyorsítás fajtája szerint eltér. A beállítások menüje ritkán árulja el, melyiket kapcsoltad be éppen.

Két állítást érdemes szétválasztani, mielőtt a gyorsítót hibáztatnád: hogy egy szabály megszűnt érvényesülni, és hogy egy számláló megszűnt frissülni. Ez nem ugyanaz a megfigyelés.

Három különböző gyorsítás keveredik össze

A továbbítási offload, a kriptográfiai gyorsítás és az alagút adatcsatornájának offloadja külön mechanizmusok, amelyek gyakran egyetlen kapcsolót osztanak meg. A továbbítási offload lehetővé teszi a létrejött folyamoknak, hogy kihagyják a szokásos verem egy részét, a kriptográfiai gyorsítás olcsóbbá teszi a titkosítást, az alagút offloadja pedig hardverbe helyezi a beágyazást. Egy olyan router, amely a közönséges irányított forgalmat gyorsítja, az alagút forgalmát teljesen a lassú útvonalon hagyhatja, ami teljesítményeredmény, nem házirend-változás. A fordított eset is létezik, amikor az alagút forgalma offloadba kerül, miközben a környező házirend még kiértékelődik.

A Linux flowtables a leginkább olvasásra érdemes dokumentált eset, mivel a létrejött folyamok gyorsított útvonalnak adhatók át. Az elszámolásuk és állapotkezelésük ekkor eltér a klasszikus továbbítástól, ezért kezdenek furcsán kinézni a számlálók.

A mozdulatlanná váló számláló keveset bizonyít

A szabályszámlálók azokat a csomagokat számolják, amelyek áthaladnak a szabályon, és előfordulhat, hogy egy offloadolt folyam az első csomag után soha többé nem halad át rajta. Így olyan számláló keletkezik, amely megfagy, miközben a forgalom folytatódik, és pontosan megkerülésnek látszik, ha hiszel a számnak. A számláló figyelése továbbra is hasznos nyomként arra, hogy a folyam elhagyta a számlált útvonalat. A diagnózis többi részének onnan kell jönnie, ahová a csomagok valóban mennek.

Az ellenkező következtetés ugyanolyan rosszul bukik meg. Egy gyors letöltés nem mutatja, hogy a kivételszabályaid és a hiba kezelése még érvényes, mert egy folyamot gyakorol, nem a házirendet.

Három feltétel dönti el, hogy az offload megtöri-e a házirendet

Az első feltétel az, hogy a gyorsított útvonal megkérdezi-e azt a horgot, amelytől a házirended függ, mert a jelölésekként és útvonalakként kifejezett házirend gyakrabban marad életben, mint a csomagonkénti szűrésre épített. A második az, hogy a firmware egyáltalán engedi-e ezt a kombinációt, mert egyes buildek automatikusan kikapcsolják az offloadot, ha alagút vagy tűzfal-funkció aktív. A harmadik az, hogy a forgalom alkalmas-e, mert a gyorsítás általában a létrejött folyamokhoz kötődik, és kizárhatja a töredezett vagy szokatlan csomagokat. Ahol mindhárom a gyorsítást támogatja, a házirend továbbra is érvényes, és ahol az első elbukik, semmilyen hangolás nem állítja helyre.

A gyártó dokumentációját olvasd arra a kombinációra, amelyet futtatsz, ne általában a routermodellre. A firmware-verziók csendben megváltoztatják ezeket a válaszokat.

A házirendet teszteld, ne az átbocsátóképességet

Mérd meg, mit kell garantálnia a házirendnek, mielőtt azt méred, milyen gyorsan megy. Az alábbi parancsok megmutatják, telepítve van-e flowtable, mit lát a kapcsolatkövetés, és melyik címről lép ki a kliens. Hasonlíts össze egy új kapcsolatot a változtatás után, mert egy létrejött megtarthatja a régi útvonalát.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Az alagút forgalmát lefedő flowtable-bejegyzés megmondja, hogy a gyorsított útvonal játékban van, a kapcsolattábla pedig megmutatja, hogy a folyamot úgy követi-e, ahogy várod. A címellenőrzés megerősíti a kilépést, amikor a házirend az internetes kijáratra vonatkozik, a ping pedig egy privát célpontot igazol, amelynek elérhetőnek kell maradnia. Futtasd ugyanazt a készletet kikapcsolt, majd bekapcsolt gyorsítással, és az eredményeket hasonlítsd össze, ne az időket.

Jegyezd fel az előző beállítást, hogy a kísérlet visszafordítható maradjon. Az az általános utasítás, hogy mindenhol kapcsold ki az offloadot, kerülő megoldásnak számít, nem leletnek.