Аппараттық NAT жеделдетуі VPN маршруттау ережелерін бұза ма?

Аппараттық NAT жеделдетуін қосу VPN конфигурациясын жылдамдатуы мүмкін, сонымен қатар маршруттау саясатының кейбір пакеттерге ешқандай қатесіз қолданылуын тоқтатуы мүмкін. Осының қайсысы болатыны жылдам жолдың нені аттап кететініне байланысты, ал бұл firmware, ядро нұсқасы және қолданылатын жеделдету түрі бойынша ерекшеленеді. Параметрлер мәзірі қайсысын жаңа ғана қосқаныңызды сирек айтады.

Жеделдеткішті кінәламас бұрын екі тұжырымды бөлген жөн: ереженің қолданылуы тоқтағаны және есептегіштің жаңаруы тоқтағаны. Бұл бірдей байқау емес.

Үш түрлі жеделдету бір-біріне араласады

Жіберу офлоады, криптографиялық жеделдету және туннельдің деректер арнасының офлоады — бұл жиі бір коммутаторды бөлісетін жеке механизмдер. Жіберу офлоады орныққан ағындарға қалыпты стектің бір бөлігін аттап өтуге мүмкіндік береді, криптографиялық жеделдету шифрлау жұмысын арзандатады, ал туннель офлоады инкапсуляцияны аппараттық қамтамасыз етуге көшіреді. Қарапайым маршрутталған трафикті жеделдететін маршрутизатор туннель трафигін толығымен баяу жолда қалдыруы мүмкін, бұл өнімділік нәтижесі, саясаттың өзгеруі емес. Керісінше жағдай да бар: туннель трафигі офлоадқа түседі, ал айналадағы саясат әлі де бағаланады.

Linux flowtable-дері — оқуға ең тұрарлық құжатталған жағдай, өйткені орныққан ағындарды жылдам жолға беруге болады. Олардың есебі мен күйін өңдеу сонда классикалық жіберуден өзгеше болады, сондықтан есептегіштер оғаш көріне бастайды.

Қозғалысы тоқтаған есептегіш азды дәлелдейді

Ереже есептегіштері ережеден өтетін пакеттерді санайды, ал офлоадқа түскен ағын бірінші пакеттен кейін одан енді ешқашан өтпеуі мүмкін. Осыдан трафик жалғасып жатқанда қатып қалатын есептегіш пайда болады, және санға сенсеңіз, ол дәл айналып өтуге ұқсайды. Есептегішті бақылау әлі де ағынның саналған жолдан шыққанының белгісі ретінде пайдалы. Диагностиканың қалғаны пакеттердің шын мәнінде қайда кететінінен шығуы керек.

Кері тұжырым да дәл сондай нашар сәтсіз болады. Жылдам жүктеу сіздің ерекшелік ережелеріңіз бен ақауларды өңдеуіңіздің әлі күшінде екенін көрсетпейді, өйткені ол бір ағынды сынайды, саясатты емес.

Офлоадтың саясатты бұзатынын үш шарт шешеді

Бірінші шарт — жылдам жол сіздің саясатыңыз сүйенетін ілгекпен кеңесе ме, өйткені белгілер мен маршруттар түрінде көрсетілген саясат әр пакетті сүзгілеуге құрылған саясатқа қарағанда жиірек өмір сүреді. Екіншісі — firmware бұл үйлесімге мүлдем рұқсат бере ме, өйткені кейбір құрастырулар туннель немесе файрвол функциясы белсенді болғанда офлоадты автоматты түрде өшіреді. Үшіншісі — трафик жарамды ма, өйткені жеделдету әдетте орныққан ағындарға байланған және фрагменттелген немесе әдеттен тыс пакеттерді шығарып тастауы мүмкін. Үшеуі де жеделдетуге қолдау көрсететін жерде саясат әлі де қолданылады, ал біріншісі сәтсіз болған жерде ешқандай реттеу оны қалпына келтірмейді.

Жалпы маршрутизатор үлгісі үшін емес, іске қосып отырған үйлесіміңіз үшін өндірушінің құжаттамасын оқыңыз. Firmware нұсқалары бұл жауаптарды үнсіз өзгертеді.

Саясатты сынаңыз, өткізу қабілетін емес

Саясаттың қандай кепілдік беруі керектігін өлшеңіз, содан кейін оның қаншалықты жылдам жүретінін өлшеңіз. Төмендегі командалар flowtable орнатылғанын, қосылымдарды бақылау нені көретінін және клиент қай мекенжайдан шығатынын көрсетеді. Өзгерістен кейін жаңа қосылымды салыстырыңыз, өйткені орныққан қосылым ескі жолын сақтауы мүмкін.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Туннель трафигін қамтитын flowtable жазбасы жылдам жолдың істе екенін айтады, ал қосылымдар кестесі ағынның күткеніңіздей бақыланып жатқанын көрсетеді. Мекенжай тексерісі саясат интернетке шығуға қатысты болғанда шығуды растайды, ал ping қолжетімді болып қалуы тиіс жеке мақсатты растайды. Сол жиынтықты жеделдету өшірулі, содан кейін қосулы күйде іске қосып, уақытты емес, нәтижелерді салыстырыңыз.

Алдыңғы параметрді жазып қойыңыз, тәжірибе қайтымды болып қалсын. Офлоадты барлық жерде өшіру туралы жалпы нұсқау айналып өту болып саналады, ашылым емес.