Vai aparatūras NAT paātrinājums salauž jūsu VPN maršrutēšanas noteikumus?

Aparatūras NAT paātrinājuma ieslēgšana var padarīt VPN iestatījumu ātrāku, un tā var arī panākt, ka maršrutēšanas politika pārstāj attiekties uz dažiem paketiem bez jebkādas kļūdas. Kurš no abiem notiks, ir atkarīgs no tā, ko ātrais ceļš izlaiž, un tas atšķiras starp programmaparatūru, kodola versiju un izmantotā paātrinājuma veidu. Iestatījumu izvēlne reti pasaka, kuru jūs tikko ieslēdzāt.

Divi apgalvojumi ir pelnījuši atdalīšanu, pirms tiek vainots paātrinātājs: ka noteikums pārstāja tikt piemērots un ka skaitītājs pārstāja atjaunināties. Tie nav vieni un tie paši novērojumi.

Trīs dažādi paātrinājumi tiek sajaukti kopā

Pārsūtīšanas offload, kriptogrāfiskais paātrinājums un tuneļa datu kanāla offload ir atsevišķi mehānismi, kas bieži dala vienu slēdzi. Pārsūtīšanas offload ļauj izveidotām plūsmām izlaist daļu parastā steka, kriptogrāfiskais paātrinājums padara šifrēšanas darbu lētāku, un tuneļa offload pārvieto iekapsulēšanu uz aparatūru. Maršrutētājs, kas paātrina parasto maršrutēto satiksmi, var atstāt tuneļa satiksmi pilnībā uz lēnā ceļa, un tas ir veiktspējas rezultāts, nevis politikas maiņa. Pastāv arī pretējais: tuneļa satiksme tiek offloadota, kamēr apkārtējā politika joprojām tiek novērtēta.

Linux flowtables ir dokumentētais gadījums, ko visvairāk vērts lasīt, jo izveidotās plūsmas var nodot ātrajam ceļam. To uzskaite un stāvokļa apstrāde tad atšķiras no klasiskās pārsūtīšanas, un tāpēc skaitītāji sāk izskatīties dīvaini.

Skaitītājs, kas pārstāj kustēties, pierāda maz

Noteikumu skaitītāji skaita paketes, kas iet caur noteikumu, un offloadota plūsma pēc pirmās paketes var vairs nekad neiet caur to. Tā rodas skaitītājs, kas sasalst, kamēr satiksme turpinās, un tas izskatās tieši kā apiešana, ja uzticaties skaitlim. Skaitītāja vērošana joprojām ir noderīga kā mājiens, ka plūsma ir atstājusi skaitīto ceļu. Pārējai diagnostikas daļai jānāk no tā, kur paketes patiešām dodas.

Pretējais secinājums izgāžas tikpat slikti. Ātra lejupielāde neparāda, ka jūsu izņēmumu noteikumi un kļūmju apstrāde joprojām darbojas, jo tā pārbauda vienu plūsmu, nevis politiku.

Trīs nosacījumi izšķir, vai offload salauž politiku

Pirmais nosacījums ir vai ātrais ceļš konsultējas ar āķi, uz kuru paļaujas jūsu politika, jo politika, kas izteikta ar atzīmēm un maršrutiem, izdzīvo biežāk nekā tā, kas veidota uz filtrēšanu pēc katras paketes. Otrais ir, vai programmaparatūra vispār pieļauj šo kombināciju, jo dažas būves automātiski izslēdz offload, kad ir aktīvs tunelis vai ugunsmūra funkcija. Trešais ir, vai satiksme ir piemērota, jo paātrinājums parasti ir piesaistīts izveidotām plūsmām un var izslēgt sadalītas vai neparastas paketes. Tur, kur visi trīs atbalsta paātrinājumu, politika joprojām ir spēkā, un tur, kur pirmais neizdodas, nekāda regulēšana to neatjauno.

Lasiet ražotāja dokumentāciju tai kombinācijai, kuru izmantojat, nevis maršrutētāja modelim kopumā. Programmaparatūras versijas klusi maina šīs atbildes.

Pārbaudiet politiku, nevis caurlaidību

Izmēriet, ko politikai būtu jāgarantē, pirms mērāt, cik ātri tā darbojas. Tālāk minētās komandas parāda, vai ir instalēta flowtable, ko redz savienojumu izsekošana un no kādas adreses klients iziet. Salīdziniet jaunu savienojumu pēc izmaiņām, jo izveidotais var saglabāt savu veco ceļu.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Flowtable ieraksts, kas aptver tuneļa satiksmi, pasaka, ka ātrais ceļš darbojas, un savienojumu tabula parāda, vai plūsma tiek izsekota tā, kā gaidāt. Adreses pārbaude apstiprina izeju, ja politika attiecas uz izeju internetā, bet ping apstiprina privātu galamērķi, kam jāpaliek sasniedzamam. Palaidiet to pašu kopumu ar izslēgtu un pēc tam ieslēgtu paātrinājumu un salīdziniet rezultātus, nevis laikus.

Pierakstiet iepriekšējo iestatījumu, lai eksperiments paliktu atgriežams. Vispārīgs norādījums izslēgt offload visur tiek uzskatīts par apiešanu, nevis atradumu.