Rozbíja hardvérové NAT offload vaše pravidlá smerovania VPN?

Zapnutie hardvérového zrýchlenia NAT môže urýchliť nastavenie VPN a môže tiež spôsobiť, že politika smerovania prestane platiť pre niektoré pakety úplne bez chyby. Ktoré z toho nastane, závisí od toho, čo rýchla cesta preskakuje, a to sa líši medzi firmvérom, verziou jadra a druhom použitého zrýchlenia. Menu nastavení zriedka povie, ktoré ste práve zapli.

Dve tvrdenia si zaslúžia oddelenie skôr, než sa obviní zrýchľovač: že pravidlo prestalo byť vynucované a že počítadlo sa prestalo aktualizovať. Nie je to to isté pozorovanie.

Tri rôzne zrýchlenia sa miešajú do jedného

Offload preposielania, kryptografické zrýchlenie a offload dátového kanála tunela sú oddelené mechanizmy, ktoré často zdieľajú jeden prepínač. Offload preposielania umožňuje zavedeným tokom preskočiť časť bežného zásobníka, kryptografické zrýchlenie zlacňuje prácu šifry a offload tunela presúva zapuzdrenie do hardvéru. Router, ktorý zrýchľuje bežnú smerovanú premávku, môže nechať premávku tunela úplne na pomalej ceste, čo je výsledok výkonu, nie zmena politiky. Existuje aj opak, keď sa premávka tunela offloaduje, zatiaľ čo okolitá politika sa stále vyhodnocuje.

Linux flowtables sú zdokumentovaný prípad, ktorý sa najviac oplatí prečítať, pretože zavedené toky sa dajú odovzdať rýchlej ceste. Ich účtovanie a správa stavu sa potom líšia od klasického preposielania, a preto počítadlá začnú vyzerať čudne.

Počítadlo, ktoré sa prestalo hýbať, dokazuje málo

Počítadlá pravidiel počítajú pakety, ktoré prechádzajú pravidlom, a offloadovaný tok ním po prvom pakete už nemusí nikdy prejsť. To vytvára počítadlo, ktoré zamrzne, kým premávka pokračuje, a ak číslu veríte, vyzerá presne ako obchádzka. Sledovanie počítadla je stále užitočné ako náznak, že tok opustil počítanú cestu. Zvyšok diagnostiky musí prísť z toho, kam pakety skutočne idú.

Opačný záver zlyháva rovnako zle. Rýchle sťahovanie neukazuje, že vaše pravidlá výnimiek a spracovanie zlyhaní stále platia, pretože precvičuje jeden tok a nie politiku.

Tri podmienky rozhodujú, či offload rozbije politiku

Prvá podmienka je či rýchla cesta konzultuje háčik, od ktorého závisí vaša politika, pretože politika vyjadrená značkami a trasami prežije častejšie ako tá postavená na filtrovaní každého paketu. Druhá je, či firmvér vôbec dovoľuje takú kombináciu, pretože niektoré zostavy automaticky vypnú offload, keď je aktívny tunel alebo funkcia firewallu. Tretia je, či je premávka spôsobilá, keďže zrýchlenie je zvyčajne naviazané na zavedené toky a môže vylúčiť fragmentované alebo nezvyčajné pakety. Tam, kde všetky tri podporujú zrýchlenie, politika stále platí, a tam, kde prvá zlyhá, ju žiadne ladenie neobnoví.

Čítajte dokumentáciu výrobcu pre kombináciu, ktorú prevádzkujete, nie pre model routera všeobecne. Verzie firmvéru tieto odpovede potichu menia.

Testujte politiku, nie priepustnosť

Zmerajte, čo má politika garantovať, skôr než zmeriate, ako rýchlo ide. Nižšie uvedené príkazy ukazujú, či je flowtable nainštalovaný, čo vidí sledovanie spojení a z ktorej adresy klient vychádza. Porovnajte nové spojenie po zmene, pretože zavedené si môže ponechať starú cestu.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Záznam vo flowtable pokrývajúci premávku tunela vám hovorí, že rýchla cesta je v hre, a tabuľka spojení ukazuje, či sa tok sleduje tak, ako očakávate. Kontrola adresy potvrdzuje výstup, keď sa politika týka výstupu do internetu, zatiaľ čo ping potvrdzuje súkromný cieľ, ktorý má zostať dostupný. Spustite rovnakú sadu s vypnutým a potom zapnutým zrýchlením a porovnajte výsledky, nie časy.

Zapíšte predchádzajúce nastavenie, aby experiment zostal vratný. Všeobecný pokyn vypnúť offload všade sa počíta ako obchádzka, nie ako zistenie.