Brýtur vélbúnaðar-NAT-hraðvæðing VPN-leiðarreglurnar þínar?

Að kveikja á vélbúnaðar-NAT-hraðvæðingu getur gert VPN-uppsetningu hraðari, og hún getur líka gert það að leiðarstefna hættir að gilda um suma pakka án nokkurrar villu. Hvort tveggja gerist fer eftir því hvað hraðleiðin sleppir, og það er mismunandi eftir fastbúnaði, kjarnaversjón og þeirri tegund hraðvæðingar sem notuð er. Stillingavalmyndin segir þér sjaldan hverri þú kveiktir á rétt í þessu.

Tvær fullyrðingar eiga skilið að vera aðskildar áður en hraðaranum er kennt um: að regla hafi hætt að gilda og að teljari hafi hætt að uppfærast. Þetta eru ekki sömu athuganir.

Þrenns konar hraðvæðing er blandað saman

Framsendingaroffload, dulritunarhröðun og offload gagnarásar göngsins eru aðskildir ferlar sem deila oft einum rofa. Framsendingaroffload leyfir rótgrónum flæðum að sleppa hluta venjulega stakkans, dulritunarhröðun gerir dulritunarvinnuna ódýrari og offload göngsins færir umbúðirnar í vélbúnaðinn. Beinir sem hraðar venjulegum leiðbeindum umferð getur látið umferð göngsins vera algjörlega á hægu leiðinni, sem er afleiðing afkasta en ekki stefnubreyting. Hið gagnstæða er líka til, þar sem umferð göngsins fer í offload á meðan stefnan í kring er enn metin.

flowtables í Linux eru skjalfesta tilfellið sem er mest þess virði að lesa, þar sem hægt er að afhenda rótgróin flæði hraðleið. Bókhald þeirra og meðferð stöðu er þá frábrugðin klassískri framsendingu, og þess vegna byrja teljararnir að líta undarlega út.

Teljari sem hættir að hreyfast sannar litlu

Regluteljarar telja pakkana sem fara í gegnum regluna, og offloadað flæði fer kannski aldrei aftur í gegnum hana eftir fyrsta pakkann. Það framleiðir teljara sem frýs á meðan umferð heldur áfram, og hann lítur nákvæmlega út eins og sniðganga ef þú treystir tölunni. Að fylgjast með teljaranum er samt gagnlegt sem vísbending um að flæðið hafi yfirgefið talda leiðina. Afgangur greiningarinnar verður að koma frá því hvert pakkarnir fara í raun.

Andstæða ályktunin mistekst jafn illa. Hröð niðurhal sýnir ekki að undantekningarreglurnar þínar og meðferð bilana gildi enn, því hún þjálfar eitt flæði en ekki stefnuna.

Þrjú skilyrði ráða því hvort offload brýtur stefnu

Fyrsta skilyrðið er hvort hraðleiðin leiti ráða hjá króknum sem stefnan þín byggir á, því stefna sem er sett fram sem merkingar og leiðir lifir oftar af en sú sem er byggð á síun fyrir hvern pakka. Annað er hvort fastbúnaðurinn leyfi samsetninguna yfirleitt, því sumar byggingar slökkva sjálfkrafa á offload þegar göng eða eiginleiki eldveggs er virkur. Þriðja er hvort umferðin sé gjaldgeng, því hraðvæðing er venjulega bundin við rótgróin flæði og getur útilokað sundurleita eða óvenjulega pakka. Þar sem öll þrjú styðja hraðvæðingu gildir stefnan enn, og þar sem fyrsta bregst hefur engin stilling áhrif.

Lestu skjöl framleiðandans fyrir þá samsetningu sem þú keyrir, ekki fyrir beinir-líkanið almennt. Fastbúnaðarútgáfur breyta þessum svörum hljóðlega.

Prófaðu stefnuna, ekki afköstin

Mældu hvað stefnan á að tryggja áður en þú mælir hversu hratt hún gengur. Skipanirnar hér að neðan sýna hvort flowtable er uppsett, hvað tengingarakning sér og frá hvaða vistfang klientinn fer út. Bettu nýrri tengingu saman eftir breytinguna, því rótgróin tenging getur haldið gömlu leiðinni sinni.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Færsla í flowtable sem nær yfir umferð göngsins segir þér að hraðleiðin sé í gangi, og tengingartaflan sýnir hvort flæðinu sé fylgt eins og þú býst við. Vistfangaprófið staðfestir útgönguna þegar stefnan varðar útstreymi á netið, en ping staðfestir einkaaðkomustað sem ætti að vera áfram aðgengilegur. Keyrðu sama settið með hraðvæðingu slökkt og svo kveikt, og berðu saman niðurstöðurnar frekar en tímann.

Skráðu fyrri stillingu svo tilraunin verði afturkræf. Almenn fyrirmæli um að slökkva á offload alls staðar teljast tilvikaleið, ekki niðurstaða.