pfSense fuq Virtio: it-TCP jieqaf sakemm l-offload jintefa

Klijent jirrapporta li l-mina tikkonnettja, il-ping iwieġeb, il-paġna tad-dħul tgħabbi, u mbagħad it-trasferiment jiffriża fl-istess punt f’kull tentattiv. Dan ix-xejra diġà jgħid ħafna: l-aċċessibilità taħdem u t-throughput sostenut le. Qabel ma tiftaħ il-firewall, sib jekk il-VPN hux involut xejn fil-ħsara. Għaddi TCP kbir mill-istess gateway mingħajr mina fil-passaġġ; jekk dan ukoll jiffriża, OpenVPN qatt ma kien involut.

Mistieden pfSense b’karta tan-netwerk virtio għandu raġuni tajba ħafna biex ifalli eżatt f’dik il-forma.

Pakki żgħar jgħaddu, TCP kbir jiddendel

Handshakes, tweġibiet DNS u eku ICMP huma żgħar u normalment jgħaddu. Trasferimenti sostenuti jġiegħlu lill-mistieden jissegmenta, u hemmhekk joħroġ passaġġ tal-offload bil-ħsara. Il-ħsara m’għandhiex għalfejn tkun simetrika: it-traffiku ħiereġ jista’ jkun nadif waqt li dak dieħel jaqa’, jew bil-kontra, allura utent jista’ jidħol u mbagħad jieqaf fl-ewwel risposta kbira. Minħabba li l-istess klijent jaħdem minn gateway ieħor, il-komponent l-aktar ġdid jieħu l-ħtija.

Mela ittestja l-gateway mingħajr il-mina. Download mil-LAN għall-WAN kbir biżżejjed biex idum ftit sekondi hu biżżejjed, u jrid isir qabel kull bidla fis-settings biex il-paragun wara jfisser xi ħaġa.

X’tigħid verament l-offload

virtio huwa paravirtuali: il-host u l-mistieden jaqsmu x-xogħol, il-host jħabbar kapaċitajiet ta’ checksum u segmentazzjoni u jistenna li l-mistieden itemm dak li beda. Jekk il-munzell tal-mistieden ma jagħmilx hekk, il-frejms joħorġu bi checksums mhux sħaħ jew il-host jarmihom. E1000 emulata toffri mudell aktar sempliċi u aktar bil-mod fejn il-problema tisparixxi mingħajr ebda bidla waħda f’pfSense. In-negozjati tal-kapaċitajiet isiru għal kull apparat, u dan jispjega għaliex mistieden wieħed idum xhur filwaqt li t-tewmi tiegħu mibni mill-ġdid ifalli fl-ewwel jum.

Is-sett innegozjat jiddependi mill-verżjoni tal-hypervisor u mill-mudell tal-karta tan-netwerk magħżul, mhux biss mill-konfigurazzjoni li importajt.

Kaxxa waħda ta’ selezzjoni żżomm il-virtio

Fl-interface ta’ pfSense, Sistema imbagħad Avvanzat imbagħad Netwerking fihom kaxxa ta’ selezzjoni msejħa Itfi l-offload tas-checksum fil-ħardwer. Meta timmarkaha, il-mistieden jikkalkula l-checksums fis-software, li jaqbel ma’ dak li l-munzell FreeBSD wara pfSense jistenna minn apparat paravirtuali. Żewġ għażliet relatati fl-istess paġna jkopru l-offload tas-segmentazzjoni TCP fil-ħardwer u l-offload tar-riċeviment kbir fil-ħardwer. Irrikorri għalihom meta l-handshakes jirnexxu imma t-trasferimenti kbar le.

Ħalli l-karta tan-netwerk bħala virtio waqt li tagħmel il-bidla. Il-bidla għal E1000 taħraq il-CPU fuq kull pakkett għall-ħajja kollha tal-VM u taħbi l-problema tal-konfigurazzjoni minn kull min jiret il-host, li huwa skambju agħar minn passaġġ tad-data daqsxejn aktar bil-mod imma prevedibbli.

Kejjel l-ispiża li għadek kemm aċċettajt

Iċ-checksums fis-software jċaqalqu x-xogħol fil-mistieden, allura kejjel it-throughput wara minflok ma tassumi li ma jiswew xejn. Fuq VM żgħira l-penalità hija reali, imma tidher u stabbli, b’differenza minn telf sieket. Qabbel il-counter tal-iżbalji tal-interface u l-log tal-kernel tal-mistieden qabel u wara. Hypervisor li jiffiltra l-pont huwa ħsara separata b’evidenza differenti, u l-ebda bandiera tal-offload ma tfejqu.

Biddel ħaġa waħda għal kull test u ikteb il-passaġġ tal-menu, il-kaxxa li mmarkajt u n-numru li kejilt. Kull min jiffaċċja l-mistieden mibni mill-ġdid li jmiss se jrid it-tlieta.

Firewalls oħra bbażati fuq BSD joffru kontroll ekwivalenti fis-settings tal-interface tagħhom stess, allura r-raġunament jgħaddi anke meta l-passaġġ tal-menu ma jgħaddix.