Apakah offload NAT perangkat keras merusak aturan perutean VPN Anda?

Mengaktifkan akselerasi NAT perangkat keras dapat membuat penyiapan VPN lebih cepat, dan juga dapat membuat kebijakan perutean berhenti berlaku pada sebagian paket tanpa kesalahan apa pun. Mana yang terjadi bergantung pada apa yang dilewati jalur cepat, dan itu berbeda antara firmware, versi kernel, dan jenis akselerasi yang dipakai. Menu pengaturan jarang memberi tahu Anda mana yang baru saja Anda aktifkan.

Dua klaim layak dipisahkan sebelum akselerator disalahkan: bahwa sebuah aturan berhenti ditegakkan, dan bahwa sebuah penghitung berhenti diperbarui. Keduanya bukan pengamatan yang sama.

Tiga akselerasi berbeda tercampur menjadi satu

Offload penerusan, akselerasi kriptografi, dan offload kanal data terowongan adalah mekanisme terpisah yang sering berbagi satu sakelar. Offload penerusan memungkinkan aliran yang sudah terbentuk melewati sebagian tumpukan normal, akselerasi kriptografi membuat pekerjaan sandi lebih murah, dan offload terowongan memindahkan enkapsulasi ke perangkat keras. Router yang mengakselerasi lalu lintas terutek biasa dapat membiarkan lalu lintas terowongan sepenuhnya di jalur lambat, yang merupakan hasil kinerja dan bukan perubahan kebijakan. Kebalikannya juga ada, yaitu lalu lintas terowongan di-offload sementara kebijakan di sekitarnya masih dievaluasi.

flowtable Linux adalah kasus terdokumentasi yang paling layak dibaca, karena aliran yang sudah terbentuk dapat diserahkan ke jalur cepat. Akuntansi dan penanganan statusnya lalu berbeda dari penerusan klasik, dan itulah sebabnya penghitung mulai terlihat aneh.

Penghitung yang berhenti bergerak membuktikan sedikit

Penghitung aturan menghitung paket yang melewati aturan, dan aliran yang di-offload mungkin tidak pernah lagi melewatinya setelah paket pertama. Itu menghasilkan penghitung yang membeku sementara lalu lintas berlanjut, dan tampak persis seperti penembusan jika Anda memercayai angkanya. Mengamati penghitung masih berguna sebagai petunjuk bahwa aliran meninggalkan jalur yang dihitung. Sisa diagnosis harus datang dari ke mana paket sebenarnya pergi.

Kesimpulan sebaliknya gagal sama buruknya. Unduhan cepat tidak menunjukkan bahwa aturan pengecualian dan penanganan kegagalan Anda masih berlaku, karena ia menguji satu aliran dan bukan kebijakannya.

Tiga syarat menentukan apakah offload merusak kebijakan

Syarat pertama adalah apakah jalur cepat menanyakan hook yang menjadi andalan kebijakan Anda, karena kebijakan yang dinyatakan sebagai tanda dan rute lebih sering bertahan daripada yang dibangun dari penyaringan per paket. Syarat kedua adalah apakah firmware mengizinkan kombinasi itu sama sekali, karena sebagian build menonaktifkan offload secara otomatis ketika terowongan atau fitur firewall aktif. Syarat ketiga adalah apakah lalu lintasnya memenuhi syarat, karena akselerasi biasanya terikat pada aliran yang sudah terbentuk dan dapat mengecualikan paket terfragmentasi atau tidak biasa. Di tempat ketiganya mendukung akselerasi, kebijakan tetap berlaku, dan di tempat syarat pertama gagal, tidak ada penyetelan yang memulihkannya.

Bacalah dokumentasi vendor untuk kombinasi yang Anda jalankan, bukan untuk model router secara umum. Versi firmware mengubah jawaban ini secara diam-diam.

Uji kebijakannya, bukan throughputnya

Ukur apa yang seharusnya dijamin kebijakan sebelum mengukur seberapa cepat ia berjalan. Perintah di bawah ini menunjukkan apakah flowtable terpasang, apa yang dilihat pelacakan koneksi, dan dari alamat mana klien keluar. Bandingkan koneksi baru setelah perubahan, karena koneksi yang sudah terbentuk mungkin mempertahankan jalur lamanya.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Entri flowtable yang mencakup lalu lintas terowongan memberi tahu Anda bahwa jalur cepat sedang bekerja, dan tabel koneksi menunjukkan apakah aliran dilacak seperti yang Anda harapkan. Pemeriksaan alamat memastikan jalan keluar ketika kebijakan menyangkut egress internet, sedangkan ping memastikan tujuan privat yang seharusnya tetap terjangkau. Jalankan rangkaian yang sama dengan akselerasi mati lalu hidup, dan bandingkan hasilnya, bukan waktunya.

Catat pengaturan sebelumnya agar percobaan tetap dapat dibalik. Instruksi umum untuk menonaktifkan offload di mana-mana dihitung sebagai akal-akalan, bukan sebagai temuan.