Bryt maskinvarebasert NAT-avlasting VPN-rutingreglane dine?

Å slå på maskinvarebasert NAT-akselerasjon kan gjera eit VPN-oppsett raskare, og det kan òg gjera at ei rutingretningslinje sluttar å gjelda for nokre pakkar heilt utan feilmelding. Kva av desse som skjer, kjem an på kva snarvegen hoppar over, og det varierer mellom fastvare, kjerneversjon og kva slag akselerasjon som er i bruk. Innstillingsmenyen fortel sjeldan kva du nettopp slo på.

To påstandar fortener å bli skilde før akseleratoren får skulda: at ei regel slutta å bli handheva, og at ein teljar slutta å bli oppdatert. Det er ikkje same observasjon.

Tre ulike akselerasjonar blir blanda saman

Vidaresendingsavlasting, kryptografisk akselerasjon og avlasting av datakanalen til tunnelen er skilde mekanismar som ofte deler ein einaste brytar. Vidaresendingsavlasting lèt etablerte straumar hoppa over delar av den normale stakken, kryptografisk akselerasjon gjer krypteringsarbeidet billegare, og tunnelavlasting flyttar innkapslinga til maskinvare. Ein ruter som akselererer vanleg ruta trafikk, kan la tunneltrafikken liggja heilt på den sakte vegen, og det er eit ytingsresultat, ikkje ei endring i retningslinja. Det motsette finst òg, der tunneltrafikk blir avlasta medan retningslinja rundt framleis blir vurdert.

Linux flowtables er det dokumenterte tilfellet som er mest verdt å lesa, sidan etablerte straumar kan bli overleverten til ein snarveg. Rekneskapen og tilstandshandteringa deira skil seg då frå klassisk vidaresending, og det er difor teljarane byrjar å sjå merkelege ut.

Ein teljar som sluttar å røra seg beviser lite

Regelteljarar tel pakkane som passerer regelen, og ein avlasta straum passerer kanskje aldri gjennom han igjen etter den første pakken. Det gjev ein teljar som frys medan trafikken held fram, og han ser nøyaktig ut som ein omgåing viss du trur på talet. Å fylgja med på teljaren er framleis nyttig som eit hint om at straumen forlét den telde vegen. Resten av diagnosen må koma frå kvar pakkane faktisk går.

Den motsette slutninga feilar like ille. Ei rask nedlasting viser ikkje at unntaksreglane og feilhandteringa di framleis gjeld, fordi ho øver på éin straum og ikkje på retningslinja.

Tre vilkår avgjer om avlasting bryt retningslinja

Det første vilkåret er om snarvegen spør kroken som retningslinja di byggjer på, sidan ei retningslinje uttrykt som merke og ruter oftare overlever enn ei som er bygd på filtrering per pakke. Det andre er om fastvaren i det heile tillèt kombinasjonen, fordi nokre bygg slår av avlasting automatisk når ein tunnel eller ein brannmurfunksjon er aktiv. Det tredje er om trafikken er kvalifisert, sidan akselerasjon vanlegvis er knytt til etablerte straumar og kan utelukka fragmenterte eller uvanlege pakkar. Der alle tre favoriserer akselerasjon, gjeld retningslinja framleis, og der den første sviktar, gjenopprettar inga mengd justering henne.

Les leverandørdokumentasjonen for kombinasjonen du køyrer, ikkje for rutermodellen generelt. Fastvareversjonar endrar desse svara i det stille.

Test retningslinja, ikkje gjennomstrøyminga

Mål kva retningslinja skal garantera før du målar kor fort det går. Kommandoane nedanfor viser om ein flowtable er installert, kva tilkoplingssporing ser, og kva adresse klienten går ut frå. Samanlikn ei ny tilkopling etter endringa, sidan ei etablert kan halda på den gamle vegen.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Ei flowtable-oppføring som dekkjer tunneltrafikken fortel deg at snarvegen er i spel, og tilkoplingstabellen viser om straumen blir spora slik du ventar. Adressekontrollen stadfester utgangen når retningslinja gjeld internett-utgang, medan ping stadfester ein privat destinasjon som skal vera tilgjengeleg. Køyr same settet med akselerasjon av og deretter på, og samanlikn resultata, ikkje tidene.

Skriv ned den førre innstillinga slik at eksperimentet blir reversibelt. Ein generell instruks om å slå av avlasting overalt blir rekna som ein omveg, ikkje som eit funn.