ამტვრევს თუ არა ტექნიკური NAT-ის აჩქარება თქვენს VPN მარშრუტიზაციის წესებს?

ტექნიკური NAT-ის აჩქარების ჩართვამ შეიძლება VPN-ის კონფიგურაცია უფრო სწრაფი გახადოს, და ასევე შეიძლება გამოიწვიოს იმისი, რომ მარშრუტიზაციის პოლიტიკამ შეწყვიტოს ზოგიერთ პაკეტზე გავრცელება ყოველგვარი შეცდომის გარეშე. რომელი მოხდება, დამოკიდებულია იმაზე, თუ რას გამოტოვებს სწრაფი გზა, და ეს განსხვავდება firmware-ის, ბირთვის ვერსიისა და გამოყენებული აჩქარების ტიპის მიხედვით. პარამეტრების მენიუ იშვიათად გეუბნებათ, რომელი ჩართეთ ახლახან.

ორი მტკიცება იმსახურებს განცალკევებას, სანამ ამაჩქარებელს დაადანაშაულებთ: რომ წესმა შეწყვიტა გავრცელება და რომ მრიცხველმა შეწყვიტა განახლება. ეს ერთი და იგივე დაკვირვება არ არის.

სამი განსხვავებული აჩქარება ერთმანეთში ირევა

გადაცემის ოფლოდი, კრიპტოგრაფიული აჩქარება და გვირაბის მონაცემთა არხის ოფლოდი ცალკეული მექანიზმებია, რომლებიც ხშირად ერთ გადამრთველს იზიარებენ. გადაცემის ოფლოდი დამკვიდრებულ ნაკადებს საშუალებას აძლევს გამოტოვონ ჩვეულებრივი დასტის ნაწილი, კრიპტოგრაფიული აჩქარება შიფრაციის სამუშაოს აიაფებს, ხოლო გვირაბის ოფლოდი ინკაფსულაციას ტექნიკაში გადააქვს. მარშრუტიზატორი, რომელიც ჩვეულებრივ მარშრუტიზებულ ტრაფიკს აჩქარებს, შეიძლება გვირაბის ტრაფიკი მთლიანად ნელ გზაზე დატოვოს, რაც შესრულების შედეგია და არა პოლიტიკის ცვლილება. არსებობს საპირისპიროც, როცა გვირაბის ტრაფიკი ოფლოდში გადადის, სანამ გარემომცველი პოლიტიკა ჯერ კიდევ ფასდება.

Linux-ის flowtable-ები ყველაზე მეტად წაკითხვადი დოკუმენტირებული შემთხვევაა, ვინაიდან დამკვიდრებული ნაკადები შეიძლება სწრაფ გზას გადაეცეს. მათი აღრიცხვა და მდგომარეობის დამუშავება მაშინ კლასიკური გადაცემისგან განსხვავდება, და სწორედ ამიტომ იწყებენ მრიცხველები უცნაურად გამოყურებას.

მოძრაობის შეწყვეტილი მრიცხველი ცოტას ამტკიცებს

წესის მრიცხველები ითვლიან პაკეტებს, რომლებიც წესს გაივლიან, და ოფლოდში გადასული ნაკადი შეიძლება პირველი პაკეტის შემდეგ აღარასოდეს გაიაროს მასში. ეს ქმნის მრიცხველს, რომელიც იყინება ტრაფიკის გაგრძელებისას, და ის ზუსტად გვერდის ავლის მსგავსია, თუ რიცხვს ენდობით. მრიცხველზე დაკვირვება მაინც სასარგებლოა როგორც მინიშნება, რომ ნაკადმა დათვლილი გზა დატოვა. დიაგნოზის დანარჩენი ნაწილი უნდა მოვიდეს იქიდან, საით მიდიან პაკეტები სინამდვილეში.

საპირისპირო დასკვნა ისევე ცუდად მარცხდება. სწრაფი ჩამოტვირთვა არ აჩვენებს, რომ თქვენი გამონაკლისების წესები და ჩავარდნების დამუშავება კვლავ მოქმედებს, რადგან ის ერთ ნაკადს ამოწმებს და არა პოლიტიკას.

სამი პირობა წყვეტს, არღვევს თუ არა ოფლოდი პოლიტიკას

პირველი პირობაა, უხდის თუ არა სწრაფი გზა კაუჭს, რომელსაც თქვენი პოლიტიკა ეყრდნობა, ვინაიდან ნიშნებითა და მარშრუტებით გამოხატული პოლიტიკა უფრო ხშირად უძლებს, ვიდრე პაკეტობრივ ფილტრაციაზე აშენებული. მეორეა, ნებას რთავს თუ არა firmware ამ კომბინაციას საერთოდ, ვინაიდან ზოგიერთი კრებული ავტომატურად თიშავს ოფლოდს, როცა გვირაბი ან ფაირვოლის ფუნქცია აქტიურია. მესამეა, არის თუ არა ტრაფიკი შესაბამისი, ვინაიდან აჩქარება ჩვეულებრივ დამკვიდრებულ ნაკადებზეა მიბმული და შეიძლება გამორიცხოს ფრაგმენტირებული ან არაჩვეულებრივი პაკეტები. სადაც სამივე აჩქარების სასარგებლოდაა, პოლიტიკა მაინც მოქმედებს, და სადაც პირველი ცდება, ვერც ერთი მორგება ვერ აღადგენს მას.

წაიკითხეთ მწარმოებლის დოკუმენტაცია იმ კომბინაციისთვის, რომელსაც ამუშავებთ, და არა ზოგადად მარშრუტიზატორის მოდელისთვის. firmware-ის ვერსიები ჩუმად ცვლიან ამ პასუხებს.

შეამოწმეთ პოლიტიკა და არა გამტარუნარიანობა

გაზომეთ, რა უნდა გაირანტოს პოლიტიკამ, სანამ გაზომავთ, რამდენად სწრაფად მუშაობს. ქვემოთ მოცემული ბრძანებები აჩვენებს, დაყენებულია თუ არა flowtable, რას ხედავს კავშირების თვალთვალი და რომელი მისამართიდან გადის კლიენტი. შეადარეთ ახალი კავშირი ცვლილების შემდეგ, ვინაიდან დამკვიდრებულმა შეიძლება ძველი გზა შეინარჩუნოს.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

გვირაბის ტრაფიკს დამფარავი flowtable-ის ჩანაწერი გეუბნებათ, რომ სწრაფი გზა მოქმედებაშია, ხოლო კავშირების ცხრილი აჩვენებს, თვალს ადევნებენ თუ არა ნაკადს ისე, როგორც ელით. მისამართის შემოწმება ადასტურებს გასასვლელს, როცა პოლიტიკა ინტერნეტში გასვლას ეხება, ხოლო ping ადასტურებს კერძო დანიშნულებას, რომელიც ხელმისაწვდომი უნდა დარჩეს. გაუშვით იგივე ნაკრები გამორთული და შემდეგ ჩართული აჩქარებით, და შეადარეთ შედეგები და არა დროები.

ჩაწერეთ წინა პარამეტრი, რომ ექსპერიმენტი შექცევადი დარჩეს. ყველგან ოფლოდის გამორთვის ზოგადი მითითება გვერდის ავლად ითვლება და არა აღმოჩენად.