Ar techninės įrangos NAT spartinimas sugriauna jūsų VPN maršrutizavimo taisykles?

Įjungus techninės įrangos NAT spartinimą, VPN sąranka gali tapti greitesnė, bet taip pat gali nutikti, kad maršrutizavimo politika nustos būti taikoma kai kuriems paketams be jokios klaidos. Kuris iš šių dalykų įvyks, priklauso nuo to, ką greitasis kelias praleidžia, ir tai skiriasi priklausomai nuo programinės įrangos, branduolio versijos ir naudojamo spartinimo rūšies. Nustatymų meniu retai pasako, kurią būtent ką tik įjungėte.

Du teiginiai nusipelno atskyrimo prieš kaltinant spartintuvą: kad taisyklė nustojo būti vykdoma ir kad skaitiklis nustojo būti atnaujinamas. Tai ne tas pats stebėjimas.

Trys skirtingi spartinimai suplakami į vieną

Persiuntimo offload, kriptografinis spartinimas ir tunelio duomenų kanalo offload yra atskiri mechanizmai, kurie dažnai dalijasi vienu jungikliu. Persiuntimo offload leidžia nusistovėjusiems srautams praleisti dalį įprasto kamino, kriptografinis spartinimas atpigtina šifravimo darbą, o tunelio offload perkelia inkapsuliavimą į techninę įrangą. Maršrutizatorius, spartinantis įprastą maršrutizuotą srautą, gali palikti tunelio srautą visiškai lėtame kelyje, ir tai yra našumo rezultatas, o ne politikos pakeitimas. Yra ir priešingas atvejis, kai tunelio srautas perkeliamas į offload, o aplinkinė politika vis dar vertinama.

Linux flowtables yra labiausiai vertas skaityti dokumentuotas atvejis, nes nusistovėję srautai gali būti perduoti greitajam keliui. Jų apskaita ir būsenos apdorojimas tada skiriasi nuo klasikinio persiuntimo, ir todėl skaitikliai pradeda atrodyti keistai.

Skaitiklis, kuris nustoja judėti, mažai ką įrodo

Taisyklių skaitikliai skaičiuoja paketus, kurie praeina pro taisyklę, o į offload perkeltas srautas po pirmo paketo gali daugiau niekada pro ją nepraeiti. Taip atsiranda skaitiklis, kuris sustingsta srautui tęsiantis, ir jis atrodo lygiai kaip apėjimas, jei pasitikite skaičiumi. Skaitiklio stebėjimas vis dar naudingas kaip užuomina, kad srautas paliko skaičiuojamą kelią. Likusi diagnostikos dalis turi kilti iš to, kur paketai iš tikrųjų keliauja.

Priešinga išvada žlunga taip pat blogai. Greitas atsisiuntimas neparodo, kad jūsų išimčių taisyklės ir gedimų apdorojimas vis dar galioja, nes jis tikrina vieną srautą, o ne politiką.

Trys sąlygos nusprendžia, ar offload sugriauna politiką

Pirmoji sąlyga yra ar greitasis kelias konsultuojasi su kabliu, kuriuo remiasi jūsų politika, nes politika, išreikšta žymėmis ir maršrutais, išgyvena dažniau nei pastatytoji ant filtravimo pagal kiekvieną paketą. Antroji yra ar programinė įranga apskritai leidžia tokį derinį, nes kai kurie rinkiniai automatiškai išjungia offload, kai aktyvus tunelis ar ugniasienės funkcija. Trečioji yra ar srautas tinkamas, nes spartinimas paprastai siejamas su nusistovėjusiais srautais ir gali neįtraukti suskaidytų ar neįprastų paketų. Ten, kur visos trys palankios spartinimui, politika vis dar taikoma, o ten, kur pirmoji žlunga, joks derinimas jos neatkuria.

Skaitykite gamintojo dokumentaciją tai kombinacijai, kurią naudojate, o ne maršrutizatoriaus modeliui apskritai. Programinės įrangos versijos tyliai keičia šiuos atsakymus.

Tikrinkite politiką, o ne pralaidumą

Išmatuokite, ką politika turi garantuoti, prieš matuodami, kaip greitai ji veikia. Toliau pateiktos komandos parodo, ar įdiegta flowtable, ką mato jungčių sekimas ir iš kurio adreso klientas išeina. Palyginkite naują jungtį po pakeitimo, nes nusistovėjusi jungtis gali išlaikyti seną kelią.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Flowtable įrašas, apimantis tunelio srautą, pasako, kad greitasis kelias veikia, o jungčių lentelė parodo, ar srautas sekamas taip, kaip tikitės. Adreso patikra patvirtina išėjimą, kai politika susijusi su išėjimu į internetą, o ping patvirtina privatų tikslą, kuris turi likti pasiekiamas. Paleiskite tą patį rinkinį su išjungtu, o paskui įjungtu spartinimu ir lyginkite rezultatus, o ne laikus.

Užsirašykite ankstesnį nustatymą, kad eksperimentas liktų grįžtamas. Bendras nurodymas visur išjungti offload laikomas apėjimu, o ne radiniu.