Virtio дээрх pfSense: offload унтраах хүртэл TCP зогсдог

Нэг хэрэглэгч мэдээлэхдээ: туннель холбогддог, ping хариулдаг, нэвтрэх хуудас ачааллагддаг, дараа нь шилжүүлэг бүр оролдлого бүрт ижил цэг дээр хөлддөг. Энэ хэв маяг нь өөрөө их зүйлийг хэлнэ: хүртээмж ажиллаж байна, тогтвортой дамжуулах чадвар ажиллахгүй байна. Галт ханыг нээхээс өмнө VPN энэ гэмтэлд оролцож байгаа эсэхийг тогтооно уу. Ижил гарцаар замд туннельгүйгээр том TCP илгээгээрэй; тэр ч хөлдвөл OpenVPN хэзээ ч оролцоогүй.

virtio сүлжээний карт хэрэглэдэг pfSense зочныг яг ийм хэлбэрээр бүтэлгүйтэх маш сайн шалтгаан бий.

Жижиг пакетууд нэвтэрдэг, том TCP гацдаг

Гар барилт, DNS хариулт, ICMP цуурай нь жижиг бөгөөд ихэвчлэн нэвтэрдэг. Тогтвортой шилжүүлэг зочийг сегментлэхэд хүргэдэг бөгөөд яг тэнд гэмтсэн offload зам илэрдэг. Гэмтэл тэгш хэмтэй байх албагүй: гарч буй урсгал цэвэр байхад орж буй нь алдагдаж болно, эсвэл эсрэгээрээ, тиймээс хэрэглэгч нэвтэрч чаддаг ч эхний том хариулт дээр гацдаг. Ижил клиент өөр гарцаар ажилладаг тул бурууг хамгийн шинэ бүрэлдэхүүн хэсэгт шилжүүлдэг.

Тиймээс гарцыг туннельгүйгээр шалгана уу. Хэдэн секунд ажиллах хэмжээний том LAN-аас WAN руу татах нь хангалттай бөгөөд үүнийг аливаа тохиргооны өөрчлөлтөөс өмнө хийх ёстой, ингэснээр дараагийн харьцуулалт утга учиртай болно.

offload үнэндээ юу амладаг вэ

virtio нь паравиртуал: хост, зочин ажлыг хуваалцаж, хост шалгах нийлбэр болон сегментлэх чадвараа зарлаж, зочин эхэлсэн зүйлээ дуусгана гэж хүлээдэг. Зочны стек үүнийг хийхгүй бол хүрээ нь дутуу шалгах нийлбэртэй гардаг эсвэл хост тэдгээрийг хаядаг. Эмуляцлагдсан E1000 илүү энгийн, удаан загварыг санал болгодог бөгөөд тэнд асуудал pfSense-д нэг ч өөрчлөлтгүйгээр арилдаг. Чадамжийн хэлэлцээр төхөөрөмж тус бүрээр явагддаг нь нэг зочин хэдэн сар ажиллаж, дахин бүтээсэн ихэр нь эхний өдрөө бүтэлгүйтдэг шалтгааныг тайлбарладаг.

Тохиролцсон багц нь хайпервайзерын хувилбар болон сонгосон сүлжээний картын загвараас хамаарна, зөвхөн таны импортолсон тохиргооноос биш.

Нэг чагтлах хайрцаг virtio-г хадгална

pfSense интерфэйс дээр Систем, дараа нь Нарийвчилсан, дараа нь Сүлжээ замд Аппаратын шалгах нийлбэрийн offload-ыг идэвхгүй болгох гэсэн чагтлах хайрцаг байна. Үүнийг чагтлахад зочин шалгах нийлбэрийг програм хангамжаар боддог бөгөөд энэ нь pfSense-ийн ард байгаа FreeBSD стек паравиртуал төхөөрөмжөөс хүлээдэгтэй тохирдог. Мөн хуудсан дээрх хоёр холбоотой сонголт нь аппаратын TCP сегментлэлтийн offload болон аппаратын том хүлээн авалтын offload-ыг хамардаг. Гар барилт амжилттай болж, том шилжүүлэг болохгүй үед тэдгээрт хандана уу.

Өөрчлөлтийг хийж байхдаа сүлжээний картыг virtio хэвээр үлдээнэ үү. E1000 руу шилжих нь VM-ийн бүх амьдралын турш пакет бүр дээр процессорыг шатааж, хостыг өвлөн авах хэн бүхнээс тохиргооны асуудлыг нуудаг бөгөөд энэ нь бага зэрэг удаан боловч урьдчилан таамаглахуйц өгөгдлийн замаас дор солилцоо юм.

Саяхан хүлээн зөвшөөрсөн зардлаа хэмжинэ үү

Програм хангамжийн шалгах нийлбэр нь ажлыг зочин руу шилжүүлдэг тул юу ч зардалгүй гэж таамаглахын оронд дараа нь дамжуулах чадварыг хэмжинэ үү. Жижиг VM дээр шийтгэл бодит боловч чимээгүй алдагдалаас ялгаатай нь харагдахуйц, тогтвортой байдаг. Өмнө болон дараа интерфэйсийн алдааны тоолуур, зочны цөмийн бүртгэлийг харьцуулна уу. Гүүрийг шүүдэг хайпервайзер нь өөр нотолгоотой тусдаа гэмтэл бөгөөд ямар ч offload туг үүнийг эмчлэхгүй.

Туршилт бүрт нэг зүйлийг өөрчилж, цэсийн зам, чагтласан хайрцаг, хэмжсэн тоог бичиж аваарай. Дараагийн дахин бүтээсэн зочинтой тулгарах хэн бүхэн гурвыг хүсэх болно.

BSD-д суурилсан бусад галт хана өөрсдийн интерфэйсийн тохиргоонд ижил төстэй хяналт санал болгодог тул цэсийн зам өөр байсан ч үндэслэл хүчинтэй.