Adakah offload NAT perkakasan memecahkan peraturan penghalaan VPN anda?

Menghidupkan pecutan NAT perkakasan boleh menjadikan persediaan VPN lebih pantas, dan ia juga boleh menyebabkan dasar penghalaan berhenti digunakan pada sesetengah paket tanpa sebarang ralat. Yang mana berlaku bergantung pada apa yang dilangkau oleh laluan pantas, dan itu berbeza antara firmware, versi kernel dan jenis pecutan yang digunakan. Menu tetapan jarang memberitahu anda yang mana baru anda hidupkan.

Dua dakwaan wajar dipisahkan sebelum pemecut dipersalahkan: bahawa sesuatu peraturan berhenti dikuatkuasakan, dan bahawa sesuatu pembilang berhenti dikemas kini. Kedua-duanya bukan pemerhatian yang sama.

Tiga pecutan berbeza dicampur menjadi satu

Offload penghantaran, pecutan kriptografi dan offload saluran data terowong ialah mekanisme berasingan yang sering berkongsi satu suis. Offload penghantaran membolehkan aliran yang telah mantap melangkau sebahagian timbunan biasa, pecutan kriptografi menjadikan kerja sifer lebih murah, dan offload terowong memindahkan enkapsulasi ke perkakasan. Penghala yang mempercepatkan trafik berpenghalaan biasa mungkin membiarkan trafik terowong sepenuhnya di laluan perlahan, yang merupakan hasil prestasi dan bukan perubahan dasar. Berlaku juga sebaliknya, iaitu trafik terowong di-offload manakala dasar di sekelilingnya masih dinilai.

flowtable Linux ialah kes terdokumentasi yang paling wajar dibaca, kerana aliran yang telah mantap boleh diserahkan kepada laluan pantas. Perakaunan dan pengendalian keadaan mereka kemudian berbeza daripada penghantaran klasik, dan itulah sebabnya pembilang mula kelihatan pelik.

Pembilang yang berhenti bergerak membuktikan sedikit

Pembilang peraturan mengira paket yang melalui peraturan, dan aliran yang di-offload mungkin tidak pernah melaluinya lagi selepas paket pertama. Itu menghasilkan pembilang yang membeku sementara trafik berterusan, dan ia kelihatan sama seperti pintasan jika anda mempercayai nombor itu. Memerhati pembilang masih berguna sebagai petunjuk bahawa aliran telah meninggalkan laluan yang dikira. Baki diagnosis mesti datang daripada ke mana paket sebenarnya pergi.

Kesimpulan sebaliknya gagal sama teruk. Muat turun pantas tidak menunjukkan bahawa peraturan pengecualian dan pengendalian kegagalan anda masih terpakai, kerana ia menguji satu aliran dan bukan dasarnya.

Tiga syarat menentukan sama ada offload memecahkan dasar

Syarat pertama ialah sama ada laluan pantas merujuk cangkuk yang dijadikan sandaran dasar anda, kerana dasar yang dinyatakan sebagai tanda dan laluan lebih kerap bertahan berbanding yang dibina atas penapisan setiap paket. Syarat kedua ialah sama ada firmware membenarkan gabungan itu sama sekali, kerana sesetengah binaan mematikan offload secara automatik apabila terowong atau ciri firewall aktif. Syarat ketiga ialah sama ada trafik itu layak, kerana pecutan biasanya terikat pada aliran yang telah mantap dan mungkin mengecualikan paket terpecah atau luar biasa. Di tempat ketiga-tiganya menyokong pecutan, dasar masih terpakai, dan di tempat syarat pertama gagal, tiada pelarasan dapat memulihkannya.

Baca dokumentasi vendor untuk gabungan yang anda jalankan, bukan untuk model penghala secara umum. Versi firmware mengubah jawapan ini secara senyap.

Uji dasar, bukan daya pemprosesan

Ukur apa yang sepatutnya dijamin oleh dasar sebelum mengukur betapa pantasnya ia berjalan. Perintah di bawah menunjukkan sama ada flowtable dipasang, apa yang dilihat oleh penjejakan sambungan, dan dari alamat mana klien keluar. Bandingkan sambungan baharu selepas perubahan, kerana sambungan yang telah mantap mungkin mengekalkan laluan lamanya.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Entri flowtable yang meliputi trafik terowong memberitahu anda bahawa laluan pantas sedang berjalan, dan jadual sambungan menunjukkan sama ada aliran dijejaki seperti yang anda jangkakan. Semakan alamat mengesahkan jalan keluar apabila dasar berkaitan egress internet, manakala ping mengesahkan destinasi persendirian yang sepatutnya kekal boleh dicapai. Jalankan set yang sama dengan pecutan dimatikan dan kemudian dihidupkan, dan bandingkan hasilnya, bukan masanya.

Catat tetapan sebelumnya supaya eksperimen kekal boleh diterbalikkan. Arahan umum untuk mematikan offload di mana-mana dikira sebagai jalan pintas, bukan sebagai penemuan.