Virtio'догу pfSense: offload өчүрүлмөйүнчө TCP токтоп калат

Кардар билдирет: туннель туташат, ping жооп берет, кирүү барагы жүктөлөт, анан өткөрмө ар бир аракетте ушул эле жерде тоңуп калат. Бул үлгү көп нерсени айтып турат: жеткиликтүүлүк иштейт, ал эми туруктуу өткөрүү жөндөмү иштебейт. firewall'ды ачпасак мурун VPN бул бузулууга таптакыр катышабы же жокпу аныктаңыз. Ошол эле шлюз аркылуу жолдо туннелсиз чоң TCP жибериңиз; ал да тоңуп калса, OpenVPN эч качан катышкан эмес.

virtio тармак картасын колдонгон pfSense коногунун дал ушундай формада ишке ашпай калышына абдан жакшы себеби бар.

Кичине пакеттер өтөт, чоң TCP илинип калат

Кол алышуулар, DNS жооптору жана ICMP жаңырыктары кичине жана адатта өтөт. Туруктуу өткөрмөлөр конокту сегменттөөгө мажбурлайт, жана дал ошол жерде бузулган offload жолу көрүнөт. Бузулуу симметриялуу болушу шарт эмес: чыгуучу трафик таза болуп, кирүүчү жоголушу мүмкүн, же тескерисинче, ошондуктан колдонуучу кирип, анан биринчи чоң жоопто илинип калышы мүмкүн. Ошол эле кардар башка шлюз аркылуу иштегендиктен, күнөө эң жаңы компонентке жүктөлөт.

Ошондуктан шлюзди туннелсиз сынап көрүңүз. Бир нече секундга созулушу үчүн жетиштүү чоң LAN'дан WAN'га жүктөө жетишет, жана ал кандайдыр бир жөндөө өзгөртүүдөн мурун аткарылышы керек, кийинки салыштыруу мааниге ээ болушу үчүн.

offload чындыгында эмнени убада кылат

virtio паравиртуалдуу: хост менен конок ишти бөлүшөт, хост текшерүү суммасы жана сегменттөө мүмкүнчүлүктөрүн жарыялайт жана конок баштаганын бүтүрөт деп күтөт. Эгер коноктун стеги муну кылбаса, кадрлар толук эмес текшерүү суммалары менен чыгат же хост аларды таштайт. Эмуляцияланган E1000 жөнөкөй жана жайыраак модель сунуштайт, анда маселе pfSense'те бир да өзгөртүүсүз жоголот. Мүмкүнчүлүктөр боюнча сүйлөшүү ар бир түзмөк үчүн жүрөт, бул эмне үчүн бир конок айлап иштеп, анын кайра курулган эгизи биринчи эле күнү ишке ашпай калганын түшүндүрөт.

Келишилген топтом гипервизордун версиясына жана тандалган тармак картасынын моделине көз каранды, сиз импорттолгон конфигурацияга гана эмес.

Бир белги кутучасы virtio'ну сактайт

pfSense интерфейсинде Тутум, анан Кеңейтилген, анан Тармак жолунда Аппараттык текшерүү суммасынын offload'ун өчүрүү деп аталган белги кутучасы бар. Аны белгилөө конокко текшерүү суммаларын программалык жол менен эсептөөгө мажбурлайт, бул pfSense'тин артындагы FreeBSD стеги паравиртуалдуу түзмөктөн күткөнгө дал келет. Ошол эле баракчадагы эки байланыштуу параметр аппараттык TCP сегменттөө offload'ун жана аппараттык чоң кабыл алуу offload'ун камтыйт. Кол алышуулар ийгиликтүү болуп, чоң өткөрмөлөр болбогондо аларга кайрылыңыз.

Өзгөртүүнү жасап жатканда тармак картасын virtio күйүндө калтырыңыз. E1000'ге өтүү VM'дин бүт өмүрүндө ар бир пакетте процессорду күйгүзөт жана конфигурация маселесин хостту мураска алган ар кимден жашырат, бул бир аз жайыраак, бирок божомолдонуучу маалымат жолунан да жаман алмашуу.

Жаңы эле кабыл алган наркты өлчөңүз

Программалык текшерүү суммалары ишти конокко өткөрөт, ошондуктан эч нерсе турбайт деп болжолдоонун ордуна кийин өткөрүү жөндөмүн өлчөңүз. Кичине VM'де жаза реалдуу, бирок ал көрүнөт жана туруктуу, үнсүз жоготуудан айырмаланып. Интерфейстин ката эсептегичтерин жана коноктун ядро журналын мурун жана кийин салыштырыңыз. Көпүрөнү чыпкалаган гипервизор башка далилдери бар өзүнчө бузулуу, жана эч бир offload желекчеси аны айыктырбайт.

Ар бир сыноодо бир нерсени өзгөртүп, меню жолун, белгиленген кутучаны жана өлчөнгөн санды жазып алыңыз. Кийинки кайра курулган конокко туш болгон адам үчөөнү тең каалайт.

BSD негизиндеги башка firewall'дар өз интерфейс жөндөөлөрүндө барабар башкарууну сунуштайт, ошондуктан ой жүгүртүү меню жолу болбосо да колдонулат.