Heeft een VPN-laptop IP-forwarding nodig om sneller te worden?

De laptop tot router maken is een populaire manier om het verkeerde probleem op te lossen. Forwarding bestaat zodat een machine pakketten kan doorgeven waarvan de bestemming niet de machine zelf is, en het heeft geen mening over hoe snel een browser op dezelfde machine een pagina laadt. De twee paden lijken alleen op elkaar omdat beide verkeer door één tunnel sturen. Scheid ze één keer en een groot deel van het advies over forwarding inschakelen of de firewall openen blijkt een topologie te beschrijven die u niet hebt.

Twee pakketpaden die er vanaf het bureau identiek uitzien

De browser op de laptop maakt zijn eigen verzoek. De host kiest de tunnelroute, het clientproces verpakt het pakket en stuurt het naar de peer, en het antwoord komt terug bij de toepassing. Niets in die volgorde kruist een forwardingsbeslissing, omdat deze machine zowel de bron als de bestemming van het gesprek is.

Zet nu een ander apparaat op een bewust geconfigureerd Ethernet-segment en maak de laptop daarvan de standaardgateway. Dat apparaat start het verzoek, de laptop ontvangt een pakket dat elders is geadresseerd, en de kernel moet beslissen of hij het doorgeeft. Dat is de forwardingrol, en die komt met voorwaarden die de clientrol nooit nodig had: een toegestaan transitpad, routes aan beide kanten en een retourpad dat nog werkt als vertaling deel van het ontwerp is.

Wat ip_forward werkelijk verandert

De IPv4-sysctl-documentatie van de kernel beschrijft ip_forward als de schakelaar waarmee een host pakketten tussen interfaces doorgeeft. Het is geen snelle route voor verkeer dat de host zelf heeft gegenereerd, en geen enkele lezing van die parameter maakt een lokale browser sneller. Als er iets gebeurt, voegt forwarding toestand en beleid toe aan een machine die eerder minder werk deed.

Dezelfde documentatie waarschuwt dat het wijzigen van de waarde andere IPv4-parameters terugzet naar hun standaardwaarden voor host of router. Dat maakt de schakelaar een configuratiegebeurtenis in plaats van een test: afgestelde instellingen kunnen onder uw voeten terugvallen, en de wijziging kan verantwoordelijk zijn voor een regressie die niemand eraan zou toeschrijven. Het betekent ook dat de schakelaar één keer, bewust, moet worden gezet door wie de gatewayrol bezit. Hem omzetten tijdens een onderzoek naar traagheid is het enige geval waarin het neveneffect gegarandeerd met het symptoom wordt verward.

Drie firewallvragen die niet dezelfde vraag zijn

Een VPN-listener toestaan, de diensten toestaan die de laptop draait, en verkeer toestaan door de laptop te laten gaan zijn drie afzonderlijke machtigingen. De eerste laat een peer een daemon bereiken, de tweede legt iets lokaals bloot, en de derde maakt de machine tot transit voor iemand anders. Elk heeft een andere reikwijdte, en de laatste is veel breder dan de antwoorden die een gewone uitgaande toepassing nodig heeft.

Als een specifieke stroom geblokkeerd is, benoem dan de bron, bestemming, richting en beleidseigenaar voordat u een regel aanpast. Een smalle regel voor die stroom is een correctie; alles accepteren op de tunnelinterface is een beleidswijziging die toevallig de correctie bevat. Een browser die daarna werkt bewijst dat de stroom werkt, niet dat de brede regel nodig was.

Meet pas als het pad klopt

Meet met dezelfde bestemming, dezelfde werklast en vergelijkbare omstandigheden, en verander één variabele per keer. Een test die een forwardingwijziging, een firewalluitbreiding en een gekopieerde cipherinstelling bundelt, levert een getal en geen verklaring, omdat niets erin zegt welke van de drie het resultaat heeft verschoven.

Houd route- en resolverfouten volledig buiten het prestatiegesprek. Een naam die langzaam wordt opgelost is geen doorvoerprobleem, en een overdracht die bij één vaste grootte stokt is meestal een MTU-kwestie en geen snelheidslimiet. Noteer welke van die drie u werkelijk hebt waargenomen voordat u cijfers vergelijkt. Anders erft de volgende lezer een meting die het verkeerde meet en een wijziging die niemand kan rechtvaardigen.

Beschrijf de topologie die u hebt, niet het label op de client

Een laptop die zijn verbinding deelt, een gerouteerd containernetwerk host of verkeer voor een virtuele machine draagt, is een gateway, hoe de software zich ook noemt. Het woord client beschrijft hoe de tunnel is geconfigureerd, niet of pakketten aan iemand anders worden doorgegeven.

Maak de rol expliciet in de bedieningshandleiding: wat verkeer genereert, wat de machine moet passeren en welke van de twee de huidige taak betreft. Schakel de gatewayrol in wanneer die bij het ondersteunde plan hoort, niet als een onverklaarde snelheidsaanpassing toegepast op een topologie die er nooit een nodig had.