Техник хангамжийн NAT хурдасгагч таны VPN-ийн чиглүүлэлтийн дүрмийг эвдэх үү?

Техник хангамжийн NAT хурдасгалыг асаах нь VPN-ийн тохиргоог хурдасгаж болох бөгөөд ямар ч алдаа гаргалгүйгээр зарим пакетэд чиглүүлэлтийн бодлого хэрэглэгдэхээ болиход хүргэж болно. Аль нь тохиолдох нь хурдан зам юуг алгасахыг хамаардаг бөгөөд энэ нь firmware, цөмийн хувилбар, ашиглаж буй хурдасгалын төрлөөс хамаарч өөр өөр байдаг. Тохиргооны цэс таныг яг алийг нь асаасныг ховор хэлдэг.

Хурдасгуурыг буруутгахаас өмнө хоёр мэдэгдлийг ялгах хэрэгтэй: дүрэм хэрэглэгдэхээ больсон, тоолуур шинэчлэгдэхээ больсон. Эдгээр нь нэг ажиглалт биш.

Гурван өөр хурдасгал хольж байна

Дамжуулалтын оффлоад, криптографын хурдасгал, туннелийн өгөгдлийн сувгийн оффлоад нь ихэвчлэн нэг шилжүүлэгчийг хуваалцдаг тусдаа механизмууд юм. Дамжуулалтын оффлоад нь тогтсон урсгалуудад ердийн стекийн нэг хэсгийг алгасах боломж олгодог, криптографын хурдасгал шифрлэлтийн ажлыг хямд болгодог, туннелийн оффлоад инкапсуляцийг техник хангамж руу зөөдөг. Энгийн чиглүүлсэн трафикийг хурдасгадаг чиглүүлэгч туннелийн трафикийг бүхэлд нь удаан замд үлдээж болох бөгөөд энэ нь гүйцэтгэлийн үр дүн, бодлогын өөрчлөлт биш. Эсрэг тохиолдол ч бий: туннелийн трафик оффлоад руу шилжих үед эргэн тойрны бодлого хараахан үнэлэгдсээр байна.

Linux-ийн flowtable-ууд бол уншихад хамгийн үнэ цэнэтэй баримтжуулсан тохиолдол, учир нь тогтсон урсгалуудыг хурдан замд шилжүүлж болно. Тэгвэл тэдгээрийн бүртгэл, төлөв боловсруулалт нь сонгодог дамжуулалтаас ялгаатай болж, тоолуурууд хачин харагдаж эхэлдэг.

Хөдөлгөөнөө больсон тоолуур бага зүйлийг нотолдог

Дүрмийн тоолуурууд дүрмээр дамждаг пакетуудыг тоолдог бөгөөд оффлоад руу шилжсэн урсгал эхний пакетын дараа дахин хэзээ ч дамжихгүй байж болно. Энэ нь трафик үргэлжилж байхад хөлддөг тоолуур үүсгэдэг бөгөөд тоонд итгэвэл яг тойрч гарахтай адил харагдана. Тоолуурыг ажиглах нь урсгал тоологдсон замаас гарсны дохио болж одоо ч хэрэгтэй. Оношлогооны бусад хэсэг нь пакетууд үнэхээр хаашаа явдагаас гарах ёстой.

Эсрэг дүгнэлт мөн адил муу бүтэлгүйтдэг. Хурдан татах нь таны үл хамаарах дүрэм, алдаа боловсруулалт хараахан хүчинтэй гэдгийг харуулахгүй, учир нь энэ нь нэг урсгалыг шалгадаг, бодлогыг биш.

Оффлоад бодлогыг эвдэх эсэхийг гурван нөхцөл шийднэ

Эхний нөхцөл нь хурдан зам таны бодлого түшиглэдэг дэгээтэй зөвлөлдөх эсэх юм, учир нь тэмдэг, чиглүүлэлтээр илэрхийлсэн бодлого пакет тус бүрээр шүүхэд тулгуурласан бодлогоос илүү олон удаа амьд үлддэг. Хоёр дахь нь firmware энэ хослолыг огт зөвшөөрөх эсэх, учир нь зарим бүтээц туннель эсвэл галт ханын функц идэвхтэй үед оффлоадыг автоматаар унтраадаг. Гурав дахь нь трафик тохирох эсэх, учир нь хурдасгал ихэвчлэн тогтсон урсгалтай холбогддог бөгөөд хуваагдсан эсвэл ер бусын пакетыг хасаж болно. Гурвуулаа хурдасгалыг дэмжиж байгаа газарт бодлого хараахан хэрэгжинэ, эхнийх нь бүтэлгүйтсэн газарт ямар ч тохируулга түүнийг сэргээхгүй.

Чиглүүлэгчийн загварын хувьд биш, таны ажиллуулж буй хослолын хувьд үйлдвэрлэгчийн баримт бичгийг уншина уу. Firmware-ийн хувилбарууд эдгээр хариултыг чимээгүй өөрчилдөг.

Бодлогыг шалга, дамжуулах чадварыг биш

Бодлого юуг баталгаажуулах ёстойг хэмжиж, дараа нь хэр хурдан ажиллахыг хэмж. Доорх командууд flowtable суусан эсэх, холболтын мөрдөлт юу харж байгаа, клиент аль хаягаас гарч байгааг харуулна. Өөрчлөлтийн дараа шинэ холболтыг харьцуул, учир нь тогтсон холболт хуучин замаа хадгалж болно.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Туннелийн трафикийг хамарсан flowtable бичлэг хурдан зам ажиллаж байгааг хэлнэ, холболтын хүснэгт урсгал таны хүлээсэн ёсоор мөрдөгдөж байгаа эсэхийг харуулна. Хаягийн шалгалт нь бодлого интернэтээс гарах гарцтай холбоотой үед гарцыг баталгаажуулж, ping нь хүртээмжтэй хэвээр байх ёстой хувийн очих газрыг баталгаажуулна. Ижил багцыг хурдасгал унтраалттай, дараа нь асаалттайгаар ажиллуулж, цагийг биш үр дүнг харьцуул.

Өмнөх тохиргоог тэмдэглэж бич, туршилт буцаах боломжтой хэвээр байхын тулд. Оффлоадыг хаа сайгүй унтраа гэсэн ерөнхий заавар нь тойрч гарах арга гэж тооцогдоно, нээлт биш.