Brécht Hardware-NAT-Offload Är VPN-Routingregelen?

Hardware-NAT-Beschleunegung anzeschalten kann eng VPN-Astellung méi séier maachen, an et kann och dozou féieren, datt eng Routingpolitik ophält, op e puer Paketen ze gëllen, ouni iergendeen Fehler. Wat dovunner geschitt, hänkt dovun of, wat de séiere Wee iwwerspréngt, an dat ënnerscheet sech tëscht Firmware, Kernelversioun an der Aart vu Beschleunegung, déi benotzt gëtt. Den Astellungsmenü seet Iech seelen, wéi eng Dir just ageschalt hutt.

Zwou Behaaptunge verdéngen eng Trennung, ier de Beschleuneger beschëllegt gëtt: datt eng Regel ophält ze gëllen, an datt en Zieler ophält aktualiséiert ze ginn. Dat sinn net déiselwecht Observatiounen.

Dräi verschidde Beschleunegunge ginn zesummegemëscht

Offload vum Weiderginn, kryptografesch Beschleunegung an Offload vum Datekanal vum Tunnel sinn getrennt Mechanissmen, déi dacks een eenzegen Schalter deelen. Offload vum Weiderginn erlaabt etabléierte Flëss, en Deel vum normale Stack z'iwwersprangen, kryptografesch Beschleunegung mécht d'Chifféieraarbecht méi bëlleg, an Tunnel-Offload verlagert d'Encapsulatioun an d'Hardware. E Router, dee gewéinlechen gerouteten Trafik beschleunegt, kann den Tunnel-Trafik ganz um luesen Wee loossen, wat en Resultat vun der Leeschtung ass an net eng Ännerung vun der Politik. Et gëtt och de Géigendeel, wou den Tunnel-Trafik offload gëtt, während d'Politik ronderëm nach bewäert gëtt.

Linux-Flowtabellen sinn de dokumentéierte Fall, dee sech am meeschten ze liesen lount, well etabléiert Flëss kënnen un e séiere Wee iwwergi ginn. Hir Comptabilitéit a Statesbehandlung ënnerscheede sech dann vum klassische Weiderginn, an dofir fänken d'Zieler u komesch auszegesinn.

En Zieler, deen ophält sech ze beweegen, beweist wéineg

Regelzieler zielen d'Paketen, déi duerch d'Regel ginn, an e offloadte Floss geet vläicht no dem éischte Paket ni méi duerch si. Dat erzeugt en Zieler, deen afréiert, während den Trafik weidergeet, an et gesäit genee wéi eng Ëmgoe aus, wann Dir der Zuel gleeft. Den Zieler ze beobachten ass nach ëmmer nëtzlech als Hiweis, datt de Floss de gezielte Wee verlooss huet. De Rescht vun der Diagnos muss dohier kommen, wou d'Pakete wierklech higinn.

Déi entgéintgesate Konklusioun feelt grad esou schlëmm. En séieren Download weist net, datt Är Ausname-Regelen an d'Fehlerbehandlung nach gëllen, well en ee Floss exercéiert an net d'Politik.

Dräi Bedingunge entscheeden, ob Offload d'Politik brécht

Déi éischt Bedingung ass ob de séiere Wee de Hook consultéiert, op deen Är Politik sech stäipt, well eng Politik, déi als Marken a Routen ausgedréckt ass, méi dacks iwwerlieft wéi eng, déi op Filterung pro Paket opgebaut ass. Déi zweet ass, ob d'Firmware dës Kombinatioun iwwerhaapt erlaabt, well verschidde Builden den Offload automatesch ausschalten, wann en Tunnel oder eng Firewallfunktioun aktiv ass. Déi drëtt ass, ob den Trafik berechtegt ass, well Beschleunegung normalerweis un etabléiert Flëss gebonnen ass an fragmentéiert oder ongewéinlech Pakete kann ausschléissen. Wou all dräi d'Beschleunegung begënschtegen, gëllt d'Politik nach, a wou déi éischt feelt, stellt keng Quantitéit u Feintuning se erëm hier.

Liest d'Dokumentatioun vum Hiersteller fir déi Kombinatioun, déi Dir bedreift, an net fir de Routermodel am Allgemengen. Firmwareversioune änneren dës Äntwerten heimlech.

Test d'Politik, net den Duerchgang

Moosst, wat d'Politik soll garantéieren, ier Dir moosst, wéi séier se geet. D'Kommandos hei drënner weisen, ob eng Flowtable installéiert ass, wat d'Verbindungsverfolgung gesäit a vun wéi enger Adress de Client erausgeet. Vergläicht eng nei Verbindung nom Changement, well eng etabléiert hir al Wee ka behalen.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

En Flowtable-Andrag, deen den Tunnel-Trafik deckt, seet Iech, datt de séiere Wee am Spill ass, an d'Verbindungstabell weist, ob de Floss esou verfollegt gëtt, wéi Dir et erwaart. D'Adresskontroll bestätegt den Ausgang, wann d'Politik den Internetausgang betrëfft, während de Ping en private Bestëmmungsuert bestätegt, dee soll erreechbar bleiwen. Fëllt deeselwechte Saz mat ausgeschaltem an duerno ageschaltem Beschleunegung aus, a vergläicht d'Resultater an net d'Zäiten.

Notéiert déi vireg Astellung, sou datt den Experiment ëmkéierbar bleift. Eng allgemeng Instruktioun, den Offload iwwerall auszeschalten, gëllt als Ëmwee, net als Fonnt.