L-aċċelerazzjoni NAT fl-istrumenti tinxteħet ir-regoli tal-indirizzar tal-VPN tiegħek?

L-attivazzjoni tal-aċċelerazzjoni NAT fl-istrumenti tista' tagħmel konfigurazzjoni tal-VPN aktar mgħaġġla, u tista' wkoll iġiegħel politika tal-indirizzar tieqaf tapplika għal xi pakketti mingħajr ebda żball. Liema minn dawn isseħħ tiddependi minn dak li l-mogħdija mgħaġġla taqbeż, u dan ivarja bejn il-firmware, il-verżjoni tal-kernel u t-tip ta' aċċelerazzjoni użata. Il-menu tas-settings rari jgħidlek liema waħda għadek kemm attivajt.

Żewġ affarijiet jistħoqqilhom jiġu separati qabel ma jiġi akkużat l-aċċeleratur: li regola waqfet tiġi infurzata, u li kontatur waqaf jiġi aġġornat. Dawn mhumiex l-istess osservazzjoni.

Tliet aċċelerazzjonijiet differenti jitħalltu flimkien

L-offload tal-ġarr, l-aċċelerazzjoni kriptografika u l-offload tal-kanal tad-data tat-tunnel huma mekkaniżmi separati li spiss jaqsmu swiċċ wieħed. L-offload tal-ġarr iħalli l-flussi stabbiliti jaqbeżu parti mill-munzell normali, l-aċċelerazzjoni kriptografika tagħmel ix-xogħol taċ-ċifrar orħos, u l-offload tat-tunnel iċaqlaq l-enkapsulazzjoni fl-istrumenti. Router li jaċċellera traffiku indirizzat ordinarju jista' jħalli t-traffiku tat-tunnel kollu kemm hu fil-mogħdija bil-mod, u dan huwa riżultat ta' prestazzjoni u mhux bidla fil-politika. Jeżisti wkoll il-kuntrarju, fejn it-traffiku tat-tunnel jiġi offloadat waqt li l-politika madwaru għadha tiġi evalwata.

Il-flowtables tal-Linux huma l-każ dokumentat li l-aktar jistħoqqlu jinqara, għax il-flussi stabbiliti jistgħu jiġu mgħoddija lil mogħdija mgħaġġla. Il-kontabbiltà u l-immaniġġjar tal-istat tagħhom imbagħad ivarjaw mill-ġarr klassiku, u għalhekk il-kontaturi jibdew jidhru strambi.

Kontatur li jieqaf jiċċaqlaq jipprova ftit

Il-kontaturi tar-regoli jgħoddu l-pakketti li jgħaddu mir-regola, u fluss offloadat jista' qatt ma jgħaddi minnha mill-ġdid wara l-ewwel pakkett. Dan jipproduċi kontatur li jiffriża waqt li t-traffiku jkompli, u jidher eżattament bħal bypass jekk tafda n-numru. Li tosserva l-kontatur għadu utli bħala ħjiel li l-fluss telaq mill-mogħdija magħduda. Il-bqija tad-dijanjosi trid tiġi minn fejn il-pakketti verament imorru.

L-inferenza opposta tfalli daqstant ħażin. Niżżil mgħaġġel ma jurix li r-regoli tal-eċċezzjoni u l-immaniġġjar tal-fallimenti tiegħek għadhom japplikaw, għax jeżerċita fluss wieħed u mhux il-politika.

Tliet kundizzjonijiet jiddeċiedu jekk l-offload huwiex se jkisser il-politika

L-ewwel kundizzjoni hija jekk il-mogħdija mgħaġġla tikkonsultax il-ganċ li l-politika tiegħek tiddependi fuqu, għax politika espressa bħala marki u rotot tibqa' ħajja aktar spiss minn waħda mibnija fuq filtraġġ għal kull pakkett. It-tieni hija jekk il-firmware jippermettix dik il-kombinazzjoni xejn, għax xi bini jitfi l-offload awtomatikament meta tunnel jew karatteristika tal-firewall tkun attiva. It-tielet hija jekk it-traffiku jkunx eliġibbli, għax l-aċċelerazzjoni normalment tkun marbuta mal-flussi stabbiliti u tista' teskludi pakketti frammentati jew mhux tas-soltu. Fejn it-tlieta jiffavorixxu l-aċċelerazzjoni l-politika għadha tapplika, u fejn l-ewwel tfalli ebda ammont ta' aġġustament ma jerġa' jġibha lura.

Aqra d-dokumentazzjoni tal-fornitur għall-kombinazzjoni li qed tħaddem, mhux għall-mudell tar-router b'mod ġenerali. Il-verżjonijiet tal-firmware jbiddlu dawn it-tweġibiet bil-kwiet.

Ittestja l-politika, mhux il-veloċità

Kejjel x'għandha tiggarantixxi l-politika qabel ma tkejjel kemm hi mgħaġġla. Il-kmandi hawn taħt juru jekk flowtable hijiex installata, x'jara l-intraċċar tal-konnessjonijiet u minn liema indirizz il-klijent joħroġ. Qabbel konnessjoni ġdida wara l-bidla, għax waħda stabbilita tista' żżomm il-mogħdija l-antika tagħha.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Entrata fil-flowtable li tkopri t-traffiku tat-tunnel tgħidlek li l-mogħdija mgħaġġla qed taħdem, u t-tabella tal-konnessjonijiet turi jekk il-fluss huwiex intraċċat kif tistenna. Il-verifika tal-indirizz tikkonferma l-ħruġ meta l-politika tikkonċerna l-ħruġ lejn l-internet, filwaqt li l-ping jikkonferma destinazzjoni privata li għandha tibqa' aċċessibbli. Mexxi l-istess sett bl-aċċelerazzjoni mitfija u mbagħad mixgħula, u qabbel ir-riżultati mhux il-ħinijiet.

Irreġistra s-setting preċedenti biex l-esperiment jibqa' riversibbli. Struzzjoni ġenerali biex l-offload jintefa' kullimkien tgħodd bħala soluzzjoni temporanja, mhux bħala sejba.