pfSense na Virtio: TCP zastaje dok se offload ne isključi

Klijent prijavljuje da se tunel povezuje, ping odgovara, stranica za prijavu se učitava, a prenos zatim zamrzne na istom mestu pri svakom pokušaju. Taj obrazac već mnogo govori: dostupnost radi, a trajna propusnost ne. Pre nego što otvorite zaštitni zid, utvrdite da li VPN uopšte učestvuje u kvaru. Pošaljite veliki TCP kroz isti gateway bez tunela na putu; ako se i on zamrzne, OpenVPN nikada nije bio uključen.

pfSense gost sa virtio mrežnom karticom ima vrlo dobar razlog da padne upravo u tom obliku.

Mali paketi prolaze, obimni TCP se zaglavljuje

Rukovanja, DNS odgovori i ICMP odjeci su mali i obično prolaze. Trajni prenosi prisiljavaju gosta na segmentiranje, a upravo tu se pojavljuje oštećeni put offload-a. Kvar ne mora biti simetričan: odlazni saobraćaj može biti čist dok dolazni pada, ili obrnuto, pa korisnik može da se prijavi i zatim zaglavi na prvom velikom odgovoru. Budući da isti klijent radi kroz drugi gateway, krivica pada na najnoviju komponentu.

Zato testirajte gateway bez tunela. Preuzimanje sa LAN-a na WAN dovoljno veliko da traje nekoliko sekundi je dovoljno, a mora se obaviti pre bilo kakve promene postavki da bi kasnije poređenje nešto značilo.

Šta offload zapravo obećava

virtio je paravirtualan: host i gost dele posao, host objavljuje mogućnosti kontrolne sume i segmentiranja i očekuje da gost završi ono što je započeo. Ako gostov stek to ne čini, okviri izlaze sa nepotpunim kontrolnim sumama ili ih host odbacuje. Emulirani E1000 nudi jednostavniji i sporiji model u kojem problem nestaje bez ijedne promene u pfSense-u. Pregovaranje o mogućnostima odvija se po uređaju, što objašnjava zašto jedan gost radi mesecima a njegov obnovljeni blizanac padne prvog dana.

Pregovarani skup zavisi od verzije hipervizora i izabranog modela mrežne kartice, a ne samo od konfiguracije koju ste uvezli.

Jedan okvir zadržava virtio

U pfSense sučelju, Sistem pa Napredno pa Umrežavanje sadrži okvir pod nazivom Onemogući hardverski offload kontrolne sume. Njegovim označavanjem gost računa kontrolne sume u softveru, što odgovara onome što FreeBSD stek iza pfSense-a očekuje od paravirtualnog uređaja. Dve povezane opcije na istoj stranici pokrivaju hardverski TCP offload segmentiranja i hardverski offload velikog prijema. Posegnite za njima kada rukovanja uspeju a obimni prenosi ne.

Ostavite mrežnu karticu kao virtio dok pravite promenu. Prelazak na E1000 sagoreva CPU na svakom paketu ceo životni vek VM-a i skriva konfiguracijski problem od svakoga ko nasledi host, što je lošija trgovina od nešto sporijeg ali predvidivog puta podataka.

Izmerite cenu koju ste upravo prihvatili

Softversko izračunavanje kontrolnih suma premešta posao u gosta, pa nakon toga izmerite propusnost umesto da pretpostavite da ništa ne košta. Na malom VM-u kazna je stvarna, ali je vidljiva i stabilna, za razliku od tihog gubitka. Uporedite brojače grešaka sučelja i kernel log gosta pre i posle. Hipervizor koji filtrira most je zaseban kvar sa drugačijim dokazima i nijedna offload zastavica ga neće izlečiti.

Menjajte jednu stvar po testu i zapišite putanju menija, okvir koji ste označili i broj koji ste izmerili. Ko se suoči sa sledećim obnovljenim gostom, tražiće sve tri.

Drugi firewall-i zasnovani na BSD-u nude ekvivalentnu kontrolu u vlastitim postavkama sučelja, pa se zaključivanje prenosi i kada putanja menija ne.