Um portátil com VPN precisa de encaminhamento IP para ficar mais rápido?

Transformar o portátil num router é uma forma popular de resolver o problema errado. O encaminhamento existe para que uma máquina possa passar pacotes cujo destino não é ela mesma, e não tem opinião sobre a rapidez com que um navegador na mesma máquina carrega uma página. Os dois caminhos só parecem iguais porque ambos enviam tráfego por um único túnel. Separe-os uma vez e grande parte do conselho sobre ativar o encaminhamento ou abrir a firewall acaba por descrever uma topologia que não tem.

Dois caminhos de pacotes que da secretária parecem idênticos

O navegador no portátil cria o seu próprio pedido. O anfitrião escolhe a rota do túnel, o processo cliente envolve o pacote e envia-o ao par, e a resposta volta à aplicação. Nada nessa sequência atravessa uma decisão de encaminhamento, porque esta máquina é ao mesmo tempo a origem e o destino da conversa.

Agora coloque outro dispositivo num segmento Ethernet configurado de propósito e faça do portátil o seu gateway predefinido. Esse dispositivo origina o pedido, o portátil recebe um pacote endereçado a outro sítio e o núcleo tem de decidir se o passa adiante. Esse é o papel de encaminhamento, e vem com pré-requisitos que o papel de cliente nunca precisou: um caminho de trânsito permitido, rotas dos dois lados e um caminho de retorno que continua a funcionar se a tradução fizer parte do desenho.

O que ip_forward muda realmente

A documentação do núcleo sobre IPv4 sysctl descreve ip_forward como o interruptor que permite a um anfitrião encaminhar pacotes entre interfaces. Não é uma via rápida para o tráfego que o próprio anfitrião gerou, e nenhuma leitura desse parâmetro torna um navegador local mais rápido. Se alguma coisa, o encaminhamento acrescenta estado e política a uma máquina que antes fazia menos trabalho.

A mesma documentação avisa que alterar o valor repõe outros parâmetros IPv4 nos seus valores predefinidos de anfitrião ou router. Isso torna o interruptor num evento de configuração e não numa sonda: definições afinadas podem reverter debaixo dos seus pés, e a alteração pode ser responsável por uma regressão que ninguém pensaria em atribuir-lhe. Significa também que o interruptor deve ser definido uma vez, deliberadamente, por quem detém o papel de gateway. Virá-lo durante uma investigação de lentidão é o único caso em que o efeito secundário é garantidamente confundido com o sintoma.

Três perguntas de firewall que não são a mesma pergunta

Permitir um serviço VPN à escuta, permitir os serviços que o portátil executa e permitir que o tráfego passe pelo portátil são três permissões separadas. A primeira deixa um par chegar a um daemon, a segunda expõe algo local e a terceira transforma a máquina em trânsito para outra pessoa. Cada uma tem um âmbito diferente, e a última é muito mais ampla do que as respostas de que uma aplicação de saída comum precisa.

Quando um fluxo específico está bloqueado, nomeie a origem, o destino, a direção e o dono da política antes de editar uma regra. Uma regra estreita para esse fluxo é uma correção; aceitar tudo na interface do túnel é uma mudança de política que, por acaso, inclui a correção. Um navegador que funciona depois prova que o fluxo funciona, não que a regra ampla era necessária.

Meça só quando o caminho estiver correto

Meça com o mesmo destino, a mesma carga e condições comparáveis, e mude uma variável de cada vez. Um teste que agrupa uma alteração de encaminhamento, um alargamento da firewall e uma definição de cifra copiada produz um número e nenhuma explicação, porque nada nele diz qual das três coisas mexeu no resultado.

Mantenha as falhas de rota e de resolução completamente fora da conversa sobre desempenho. Um nome que resolve devagar não é um problema de débito, e uma transferência que para num tamanho fixo costuma ser uma questão de MTU e não um limite de velocidade. Anote qual destas três coisas observou realmente antes de comparar quaisquer números. Caso contrário, o leitor seguinte herda uma medição que mede a coisa errada e uma alteração que ninguém consegue justificar.

Descreva a topologia que tem, não o rótulo no cliente

Um portátil que partilha a sua ligação, aloja uma rede de contentores encaminhada ou transporta tráfego de uma máquina virtual é um gateway, independentemente do nome que o software se dá. A palavra cliente descreve como o túnel está configurado, não se os pacotes passam a outra pessoa.

Torne o papel explícito no manual de operação: o que origina o tráfego, o que tem de atravessar a máquina e qual das duas coisas diz respeito à tarefa atual. Ative o papel de gateway quando pertence ao plano suportado, não como um ajuste de velocidade sem explicação aplicado a uma topologia que nunca precisou dele.