Արդյո՞ք ապարատային NAT արագացումը կոտրում է ձեր VPN երթուղավորման կանոնները։

Ապարատային NAT արագացման միացումը կարող է VPN տեղադրումն ավելի արագ դարձնել, և այն կարող է նաև ստիպել երթուղավորման քաղաքականությանը դադարել կիրառվել որոշ փաթեթների նկատմամբ առանց որևէ սխալի։ Դրանցից որն է տեղի ունենում, կախված է նրանից, թե արագ ուղին ինչն է շրջանցում, և դա տարբերվում է որոնաշարքից, միջուկի տարբերակից և օգտագործվող արագացման տեսակից։ Կարգավորումների ընտրացանկը հազվադեպ է ասում, թե որն եք հենց նոր միացրել։

Երկու պնդում արժե առանձնացնել նախքան արագացուցիչին մեղադրելը՝ որ կանոնը դադարել է կիրառվել, և որ հաշվիչը դադարել է թարմացվել։ Դրանք նույն դիտարկումը չեն։

Երեք տարբեր արագացումներ խառնվում են

Փոխանցման օֆլոդը, գաղտնագրային արագացումը և թունելի տվյալների ալիքի օֆլոդը առանձին մեխանիզմներ են, որոնք հաճախ կիսում են մեկ անջատիչ։ Փոխանցման օֆլոդը թույլ է տալիս հաստատված հոսքերին բաց թողնել սովորական կույտի մի մասը, գաղտնագրային արագացումը էժանացնում է գաղտնագրման աշխատանքը, իսկ թունելի օֆլոդը փաթաթումը տեղափոխում է ապարատ։ Երթուղիչը, որը արագացնում է սովորական երթուղավորված երթևեկությունը, կարող է թունելի երթևեկությունը ամբողջությամբ թողնել դանդաղ ուղու վրա, ինչը կատարողականության արդյունք է, ոչ թե քաղաքականության փոփոխություն։ Կա նաև հակառակը, երբ թունելի երթևեկությունը օֆլոդի է ենթարկվում, մինչ շրջապատի քաղաքականությունը դեռ գնահատվում է։

Linux-ի flowtables-ը ամենաարժեքավոր փաստաթղթավորված դեպքն է, քանի որ հաստատված հոսքերը կարելի է հանձնել արագ ուղուն։ Դրանց հաշվառումը և վիճակի մշակումը այնուհետև տարբերվում են դասական փոխանցումից, և դրա համար հաշվիչները սկսում են տարօրինակ թվալ։

Շարժվելը դադարած հաշվիչը քիչ բան է ապացուցում

Կանոնի հաշվիչները հաշվում են այն փաթեթները, որոնք անցնում են կանոնով, և օֆլոդի ենթարկված հոսքը կարող է առաջին փաթեթից հետո այլևս երբեք չանցնել դրանով։ Դա ստեղծում է հաշվիչ, որը սառչում է, մինչ երթևեկությունը շարունակվում է, և այն ուղիղ շրջանցման տեսք ունի, եթե վստահում եք թվին։ Հաշվիչին հետևելը դեռ օգտակար է որպես ակնարկ, որ հոսքը լքել է հաշվված ուղին։ Ախտորոշման մնացած մասը պետք է գա նրանից, թե փաթեթներն իրականում ուր են գնում։

Հակառակ եզրակացությունը նույնքան վատ է ձախողվում։ Արագ ներբեռնումը չի ցույց տալիս, որ ձեր բացառության կանոնները և խափանումների մշակումը դեռ գործում են, որովհետև այն փորձարկում է մեկ հոսք, ոչ թե քաղաքականությունը։

Երեք պայման է որոշում՝ արդյոք օֆլոդը կոտրում է քաղաքականությունը

Առաջին պայմանն այն է, արդյոք արագ ուղին խորհրդակցում է այն կեռիկի հետ, որից կախված է ձեր քաղաքականությունը, որովհետև նշաններով և երթուղիներով արտահայտված քաղաքականությունը ավելի հաճախ է գոյատևում, քան յուրաքանչյուր փաթեթի զտման վրա կառուցվածը։ Երկրորդն այն է, թե արդյոք որոնաշարքն ընդհանրապես թույլ է տալիս այդ համադրությունը, որովհետև որոշ կառուցվածքներ ինքնաբերաբար անջատում են օֆլոդը, երբ ակտիվ է թունել կամ հրապատի ֆունկցիա։ Երրորդն այն է, թե արդյոք երթևեկությունը համապատասխան է, որովհետև արագացումը սովորաբար կապված է հաստատված հոսքերի հետ և կարող է բացառել բեկորատված կամ անսովոր փաթեթները։ Այնտեղ, որտեղ երեքն էլ նպաստում են արագացմանը, քաղաքականությունը դեռ գործում է, իսկ այնտեղ, որտեղ առաջինը ձախողվում է, ոչ մի կարգավորում այն չի վերականգնում։

Կարդացեք արտադրողի փաստաթղթերը ձեր գործարկած համադրության համար, ոչ թե ընդհանրապես երթուղիչի մոդելի։ Որոնաշարքի տարբերակները լուռ փոխում են այս պատասխանները։

Փորձարկեք քաղաքականությունը, ոչ թե թողունակությունը

Չափեք, թե ինչ պետք է երաշխավորի քաղաքականությունը, նախքան չափելը, թե որքան արագ է այն աշխատում։ Ստորև բերված հրամանները ցույց են տալիս՝ արդյոք flowtable-ը տեղադրված է, ինչ է տեսնում կապերի հետևումը և որ հասցեից է դուրս գալիս հաճախորդը։ Համեմատեք նոր կապը փոփոխությունից հետո, քանի որ հաստատվածը կարող է պահել իր հին ուղին։

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Թունելի երթևեկությունը ծածկող flowtable գրառումը ձեզ ասում է, որ արագ ուղին գործում է, իսկ կապերի աղյուսակը ցույց է տալիս՝ արդյոք հոսքը հետևվում է այնպես, ինչպես սպասում եք։ Հասցեի ստուգումը հաստատում է ելքը, երբ քաղաքականությունը վերաբերում է ինտերնետ ելքին, մինչ ping-ը հաստատում է մասնավոր նպատակակետ, որը պետք է մնա հասանելի։ Գործարկեք նույն հավաքածուն անջատված, ապա միացված արագացմամբ և համեմատեք արդյունքները, ոչ թե ժամանակները։

Գրանցեք նախորդ կարգավորումը, որպեսզի փորձը մնա շրջելի։ Օֆլոդն ամենուր անջատելու ընդհանուր հրահանգը համարվում է շրջանցում, ոչ թե հայտնագործություն։