Virtio ನಲ್ಲಿ pfSense: offload ಆಫ್ ಆಗುವವರೆಗೆ TCP ನಿಲ್ಲುತ್ತದೆ

ಒಬ್ಬ ಕ್ಲೈಂಟ್ ವರದಿ ಮಾಡುತ್ತಾನೆ: ಟನೆಲ್ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ, ಪಿಂಗ್ ಉತ್ತರಿಸುತ್ತದೆ, ಲಾಗಿನ್ ಪುಟ ಲೋಡ್ ಆಗುತ್ತದೆ, ನಂತರ ಪ್ರತಿ ಪ್ರಯತ್ನದಲ್ಲೂ ವರ್ಗಾವಣೆ ಅದೇ ಸ್ಥಳದಲ್ಲಿ ಗಟ್ಟಿಯಾಗುತ್ತದೆ. ಈ ಮಾದರಿಯೇ ಬಹಳಷ್ಟು ಹೇಳುತ್ತದೆ: ತಲುಪುವಿಕೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ನಿರಂತರ ಥ್ರೂಪುಟ್ ಮಾಡುವುದಿಲ್ಲ. ಫೈರ್ವಾಲ್ ತೆರೆಯುವ ಮೊದಲು VPN ಈ ವೈಫಲ್ಯದಲ್ಲಿ ಸೇರಿದೆಯೇ ಎಂದು ಕಂಡುಕೊಳ್ಳಿ. ಅದೇ ಗೇಟ್ವೇ ಮೂಲಕ ಮಾರ್ಗದಲ್ಲಿ ಟನೆಲ್ ಇಲ್ಲದೆ ದೊಡ್ಡ TCP ಕಳುಹಿಸಿ; ಅದೂ ಗಟ್ಟಿಯಾದರೆ OpenVPN ಎಂದೂ ಸೇರಿರಲಿಲ್ಲ.

virtio ನೆಟ್ವರ್ಕ್ ಕಾರ್ಡ್ ಬಳಸುವ pfSense ಅತಿಥಿಗೆ ನಿಖರವಾಗಿ ಆ ಆಕಾರದಲ್ಲಿ ವಿಫಲವಾಗಲು ಉತ್ತಮ ಕಾರಣವಿದೆ.

ಸಣ್ಣ ಪ್ಯಾಕೆಟ್ಗಳು ಹಾದುಹೋಗುತ್ತವೆ, ದೊಡ್ಡ TCP ನೇತಾಡುತ್ತದೆ

ಹ್ಯಾಂಡ್ಶೇಕ್, DNS ಉತ್ತರಗಳು ಮತ್ತು ICMP ಪ್ರತಿಧ್ವನಿಗಳು ಸಣ್ಣವು ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ಹಾದುಹೋಗುತ್ತವೆ. ನಿರಂತರ ವರ್ಗಾವಣೆಗಳು ಅತಿಥಿಯನ್ನು ವಿಭಜಿಸಲು ಒತ್ತಾಯಿಸುತ್ತವೆ, ಮತ್ತು ಅಲ್ಲಿಯೇ ಹಾಳಾದ offload ಮಾರ್ಗ ಹೊರಬರುತ್ತದೆ. ದೋಷ ಸಮ್ಮಿತೀಯವಾಗಿರಬೇಕಿಲ್ಲ: ಹೊರಹೋಗುವ ಸಂಚಾರ ಸ್ವಚ್ಛವಾಗಿದ್ದರೂ ಒಳಬರುವುದು ಬೀಳಬಹುದು, ಅಥವಾ ವಿಪರ್ಯಯವೂ ಆಗಬಹುದು, ಆದ್ದರಿಂದ ಬಳಕೆದಾರರು ಲಾಗಿನ್ ಆಗಿ ನಂತರ ಮೊದಲ ದೊಡ್ಡ ಪ್ರತಿಕ್ರಿಯೆಯಲ್ಲಿ ನಿಲ್ಲಬಹುದು. ಅದೇ ಕ್ಲೈಂಟ್ ಇನ್ನೊಂದು ಗೇಟ್ವೇ ಮೂಲಕ ಕೆಲಸ ಮಾಡುವುದರಿಂದ ದೋಷ ಹೊಸ ಘಟಕದ ಮೇಲೆ ಬೀಳುತ್ತದೆ.

ಆದ್ದರಿಂದ ಟನೆಲ್ ಇಲ್ಲದೆ ಗೇಟ್ವೇಯನ್ನು ಪರೀಕ್ಷಿಸಿ. ಕೆಲವು ಸೆಕೆಂಡುಗಳ ಕಾಲ ನಡೆಯುವಷ್ಟು ದೊಡ್ಡ LAN-ನಿಂದ-WAN ಡೌನ್ಲೋಡ್ ಸಾಕು, ಮತ್ತು ಯಾವುದೇ ಸೆಟ್ಟಿಂಗ್ ಬದಲಾವಣೆಗೆ ಮೊದಲು ಅದನ್ನು ಮಾಡಬೇಕು, ನಂತರದ ಹೋಲಿಕೆ ಅರ್ಥಪೂರ್ಣವಾಗಲು.

offload ನಿಜವಾಗಿ ಏನು ಭರವಸೆ ನೀಡುತ್ತದೆ

virtio ಪ್ಯಾರಾವರ್ಚುಯಲ್ ಆಗಿದೆ: ಹೋಸ್ಟ್ ಮತ್ತು ಅತಿಥಿ ಕೆಲಸ ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ, ಹೋಸ್ಟ್ ಚೆಕ್ಸಮ್ ಮತ್ತು ವಿಭಜನ ಸಾಮರ್ಥ್ಯಗಳನ್ನು ಘೋಷಿಸುತ್ತದೆ ಮತ್ತು ಅತಿಥಿ ಪ್ರಾರಂಭಿಸಿದ್ದನ್ನು ಮುಗಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುತ್ತದೆ. ಅತಿಥಿಯ ಸ್ಟಾಕ್ ಹಾಗೆ ಮಾಡದಿದ್ದರೆ ಫ್ರೇಮ್ಗಳು ಅಪೂರ್ಣ ಚೆಕ್ಸಮ್ನೊಂದಿಗೆ ಹೊರಡುತ್ತವೆ ಅಥವಾ ಹೋಸ್ಟ್ ಅವನ್ನು ಬಿಡುತ್ತದೆ. ಎಮ್ಯುಲೇಟೆಡ್ E1000 ಸರಳ ಮತ್ತು ನಿಧಾನ ಮಾದರಿಯನ್ನು ನೀಡುತ್ತದೆ, ಅದರಲ್ಲಿ pfSense ನಲ್ಲಿ ಒಂದೇ ಬದಲಾವಣೆ ಇಲ್ಲದೆ ಸಮಸ್ಯೆ ಮಾಯವಾಗುತ್ತದೆ. ಸಾಮರ್ಥ್ಯ ಮಾತುಕತೆ ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕವಾಗಿ ನಡೆಯುತ್ತದೆ, ಇದು ಒಂದು ಅತಿಥಿ ತಿಂಗಳುಗಟ್ಟಲೆ ಓಡುವುದನ್ನು ಮತ್ತು ಅದರ ಮರುನಿರ್ಮಿತ ಅವಳಿ ಮೊದಲ ದಿನವೇ ವಿಫಲವಾಗುವುದನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಸಮಾಲೋಚಿಸಿದ ಗುಂಪು ಹೈಪರ್ವೈಸರ್ ಆವೃತ್ತಿ ಮತ್ತು ಆಯ್ಕೆ ಮಾಡಿದ NIC ಮಾದರಿಯನ್ನು ಅವಲಂಬಿಸಿದೆ, ನೀವು ಆಮದು ಮಾಡಿದ ಸಂರಚನೆಯನ್ನು ಮಾತ್ರವಲ್ಲ.

ಒಂದು ಚೆಕ್ಬಾಕ್ಸ್ virtio ಉಳಿಸುತ್ತದೆ

pfSense ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ, ಸಿಸ್ಟಂ ನಂತರ ಸುಧಾರಿತ ನಂತರ ನೆಟ್ವರ್ಕಿಂಗ್ನಲ್ಲಿ ಹಾರ್ಡ್ವೇರ್ ಚೆಕ್ಸಮ್ offload ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ ಎಂಬ ಚೆಕ್ಬಾಕ್ಸ್ ಇದೆ. ಅದನ್ನು ಗುರುತಿಸಿದರೆ ಅತಿಥಿ ತಂತ್ರಾಂಶದಲ್ಲಿ ಚೆಕ್ಸಮ್ ಲೆಕ್ಕಹಾಕುತ್ತದೆ, ಇದು pfSense ಹಿಂದಿನ FreeBSD ಸ್ಟಾಕ್ ಪ್ಯಾರಾವರ್ಚುಯಲ್ ಸಾಧನದಿಂದ ನಿರೀಕ್ಷಿಸುವುದಕ್ಕೆ ಹೊಂದುತ್ತದೆ. ಅದೇ ಪುಟದಲ್ಲಿ ಎರಡು ಸಂಬಂಧಿತ ಆಯ್ಕೆಗಳು ಹಾರ್ಡ್ವೇರ್ TCP ವಿಭಜನ offload ಮತ್ತು ಹಾರ್ಡ್ವೇರ್ ದೊಡ್ಡ ಸ್ವೀಕಾರ offload ಅನ್ನು ಒಳಗೊಳ್ಳುತ್ತವೆ. ಹ್ಯಾಂಡ್ಶೇಕ್ ಯಶಸ್ವಿಯಾಗಿ ದೊಡ್ಡ ವರ್ಗಾವಣೆಗಳು ಆಗದಿದ್ದಾಗ ಅವುಗಳ ಕಡೆಗೆ ಹೋಗಿ.

ಬದಲಾವಣೆ ಮಾಡುವಾಗ NIC ಅನ್ನು virtio ಆಗಿಯೇ ಬಿಡಿ. E1000 ಗೆ ಹೋದರೆ VM ನ ಇಡೀ ಆಯುಷ್ಯದಲ್ಲಿ ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ನಲ್ಲಿ CPU ಉರಿಯುತ್ತದೆ ಮತ್ತು ಹೋಸ್ಟ್ ಅನ್ನು ವಾರಸುದಾರರಾಗಿ ಪಡೆಯುವ ಯಾರಿಂದಲೂ ಸಂರಚನಾ ಸಮಸ್ಯೆಯನ್ನು ಮರೆಮಾಡುತ್ತದೆ, ಇದು ಸ್ವಲ್ಪ ನಿಧಾನ ಆದರೆ ಊಹಿಸಬಹುದಾದ ಡೇಟಾ ಮಾರ್ಗಕ್ಕಿಂತ ಕೆಟ್ಟ ವ್ಯಾಪಾರ.

ಈಗಷ್ಟೇ ಒಪ್ಪಿಕೊಂಡ ವೆಚ್ಚವನ್ನು ಅಳೆಯಿರಿ

ತಂತ್ರಾಂಶ ಚೆಕ್ಸಮಿಂಗ್ ಕೆಲಸವನ್ನು ಅತಿಥಿಯೊಳಗೆ ಸರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಏನೂ ವೆಚ್ಚವಿಲ್ಲ ಎಂದು ಊಹಿಸುವ ಬದಲು ನಂತರ ಥ್ರೂಪುಟ್ ಅಳೆಯಿರಿ. ಸಣ್ಣ VM ನಲ್ಲಿ ದಂಡ ನಿಜವಾದದ್ದು, ಆದರೆ ಅದು ಕಾಣುತ್ತದೆ ಮತ್ತು ಸ್ಥಿರವಾಗಿದೆ, ಮೌನ ನಷ್ಟಕ್ಕಿಂತ ಭಿನ್ನವಾಗಿ. ಮೊದಲು ಮತ್ತು ನಂತರ ಇಂಟರ್ಫೇಸ್ ದೋಷ ಎಣಿಕೆಗಳು ಮತ್ತು ಅತಿಥಿಯ ಕರ್ನಲ್ ಲಾಗ್ ಹೋಲಿಸಿ. ಸೇತುವೆಯನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುವ ಹೈಪರ್ವೈಸರ್ ಬೇರೆ ಸಾಕ್ಷ್ಯಗಳಿರುವ ಪ್ರತ್ಯೇಕ ದೋಷ, ಮತ್ತು ಯಾವುದೇ offload ಧ್ವಜ ಅದನ್ನು ಗುಣಪಡಿಸುವುದಿಲ್ಲ.

ಪ್ರತಿ ಪರೀಕ್ಷೆಯಲ್ಲಿ ಒಂದು ವಿಷಯ ಬದಲಿಸಿ ಮತ್ತು ಮೆನು ಮಾರ್ಗ, ನೀವು ಗುರುತಿಸಿದ ಬಾಕ್ಸ್ ಮತ್ತು ಅಳೆದ ಸಂಖ್ಯೆಯನ್ನು ಬರೆಯಿರಿ. ಮುಂದಿನ ಮರುನಿರ್ಮಿತ ಅತಿಥಿಯನ್ನು ಎದುರಿಸುವವರಿಗೆ ಮೂರೂ ಬೇಕಾಗುತ್ತವೆ.

BSD ಆಧಾರಿತ ಇತರ ಫೈರ್ವಾಲ್ಗಳು ತಮ್ಮ ಇಂಟರ್ಫೇಸ್ ಸೆಟ್ಟಿಂಗ್ಗಳಲ್ಲಿ ಸಮಾನ ನಿಯಂತ್ರಣ ನೀಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಮೆನು ಮಾರ್ಗ ಇಲ್ಲದಿದ್ದರೂ ತರ್ಕ ಅನ್ವಯಿಸುತ್ತದೆ.