Аппараттык NAT ылдамдатуу VPN маршруттоо эрежелерин бузабы?

Аппараттык NAT ылдамдатууну күйгүзүү VPN конфигурациясын тездетүүсү мүмкүн, ошондой эле маршруттоо саясатынын айрым пакеттерге эч кандай катасыз колдонулушун токтотушу мүмкүн. Булардын кайсынысы болору тез жолдун эмнени айланып өтүшүнө байланыштуу, ал эми бул firmware, ядронун версиясы жана колдонулган ылдамдатуунун түрү боюнча айырмаланат. Жөндөөлөр менюсу кайсынысын жаңы эле күйгүзгөнүңүздү сейрек айтат.

Ылдамдаткычты күнөөлөөдөн мурун эки ырастоону бөлүү керек: эреженин колдонулушу токтогону жана эсептегичтин жаңырышы токтогону. Бул бирдей байкоо эмес.

Үч түрдүү ылдамдатуу аралашып кетет

Жиберүү офлоады, криптографиялык ылдамдатуу жана туннелдин маалымат каналынын офлоады — бул көп учурда бир коммутаторду бөлүшкөн өзүнчө механизмдер. Жиберүү офлоады орношкон агымдарга кадимки стектин бир бөлүгүн айланып өтүүгө мүмкүндүк берет, криптографиялык ылдамдатуу шифрлоо ишин арзандатат, ал эми туннелдин офлоады инкапсуляцияны аппараттык камсыздоого өткөрөт. Кадимки маршрутталган трафикти ылдамдаткан маршрутизатор туннелдин трафигин толугу менен жай жолдо калтырышы мүмкүн, бул өндүрүмдүүлүктүн натыйжасы, саясаттын өзгөрүшү эмес. Тескери учур да бар: туннелдин трафиги офлоадга өтөт, ал эми айланадагы саясат дагы эле бааланат.

Linux flowtable-дери — окууга эң татыктуу документтелген учур, анткени орношкон агымдарды тез жолго өткөрүп берүүгө болот. Анда алардын эсеби жана абалды иштетүү классикалык жиберүүдөн айырмаланат, ошондуктан эсептегичтер кызыктай көрүнө баштайт.

Кыймылы токтогон эсептегич аз нерсени далилдейт

Эреженин эсептегичтери эрежеден өткөн пакеттерди санайт, ал эми офлоадга түшкөн агым биринчи пакеттен кийин андан башка эч качан өтпөшү мүмкүн. Ошонун натыйжасында трафик уланып жатканда тоңуп калган эсептегич пайда болот, жана санга ишенсеңиз, ал так айланып өтүүгө окшош. Эсептегичке көз салуу агымдын саналган жолдон чыкканынын белгиси катары дагы эле пайдалуу. Диагностиканын калганы пакеттер чындыгында кайда бараарынан келиши керек.

Тескери тыянак да ошондой эле начар ишке ашпайт. Тез жүктөө сиздин өзгөчөлүк эрежелериңиз жана бузулууларды иштетүүңүз дагы эле күчүндө экенин көрсөтпөйт, анткени ал бир агымды сынайт, саясатты эмес.

Офлоад саясатты бузабы же жокпу, аны үч шарт чечет

Биринчи шарт — тез жол сиздин саясатыңыз таянган илгич менен кеңешеби, анткени белгилер жана маршруттар түрүндө айтылган саясат ар бир пакетти чыпкалоого курулган саясатка караганда көбүрөөк жашайт. Экинчиси — firmware бул айкалышка такыр жол береби, анткени айрым курулуштар туннель же файрвол функциясы активдүү болгондо офлоадды автоматтык түрдө өчүрөт. Үчүнчүсү — трафик ылайыктуубу, анткени ылдамдатуу адатта орношкон агымдарга байланган жана фрагменттелген же кызыктай пакеттерди четтетиши мүмкүн. Үчөө тең ылдамдатууну жактаган жерде саясат дагы эле колдонулат, ал эми биринчиси ишке ашпаган жерде эч кандай жөндөө аны калыбына келтирбейт.

Жалпы маршрутизатор модели үчүн эмес, иштетип жаткан айкалышыңыз үчүн өндүрүүчүнүн документтерин окуңуз. Firmware версиялары бул жоопторду үнсүз өзгөртөт.

Саясатты сынаңыз, өткөрүү жөндөмдүүлүгүн эмес

Саясат эмнени кепилдеши керектигин өлчөңүз, анан анын канчалык тез иштешин өлчөңүз. Төмөнкү буйруктар flowtable орнотулганын, байланыштарды көзөмөлдөө эмнени көрөрүн жана кардар кайсы даректен чыгарын көрсөтөт. Өзгөртүүдөн кийин жаңы байланышты салыштырыңыз, анткени орношкон байланыш эски жолун сактап калышы мүмкүн.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Туннелдин трафигин камтыган flowtable жазуусу тез жол иштеп жатканын айтат, ал эми байланыштар таблицасы агым күткөндөй көзөмөлдөнүп жатканын көрсөтөт. Даректи текшерүү саясат интернетке чыгууга тиешелүү болгондо чыгууну тастыктайт, ал эми ping жеткиликтүү бойдон калышы керек болгон жеке багытты тастыктайт. Ошол эле топтомду ылдамдатуу өчүк, анан күйүк абалда иштетип, убакытты эмес, натыйжаларды салыштырыңыз.

Мурунку жөндөөнү жазып коюңуз, тажрыйба кайтарылма болуп калсын. Офлоадды бардык жерде өчүрүү тууралуу жалпы көрсөтмө айланып өтүү катары эсептелет, ачылыш эмес.