Potrebuje notebook s VPN presmerovanie IP, aby bol rýchlejší?
Presmerovanie preposiela pakety medzi rozhraniami; miestny prehliadač nezrýchli. Oddeľte rolu klienta od role brány, kým rozšírite pravidlo.
Premena notebooku na router je obľúbený spôsob, ako riešiť nesprávny problém. Presmerovanie existuje preto, aby stroj mohol odovzdávať pakety, ktorých cieľom nie je on sám, a nemá názor na to, ako rýchlo prehliadač na tom istom stroji načíta stránku. Obe cesty vyzerajú rovnako len preto, že obe posielajú prevádzku jedným tunelom. Oddeľte ich raz a veľká časť rád o zapnutí presmerovania alebo otvorení firewallu sa ukáže ako opis topológie, ktorú nemáte.
Dve cesty paketov, ktoré od stola vyzerajú rovnako
Prehliadač na notebooku vytvára vlastnú požiadavku. Hostiteľ zvolí trasu tunela, klientsky proces paket zabalí a odošle ho partnerovi a odpoveď sa vracia do aplikácie. Nič v tomto slede neprechádza rozhodnutím o presmerovaní, pretože tento stroj je zároveň zdrojom aj cieľom konverzácie.
Teraz postavte iné zariadenie na zámerne nakonfigurovaný ethernetový segment a urobte z notebooku jeho predvolenú bránu. To zariadenie začne požiadavku, notebook prijme paket adresovaný inam a jadro musí rozhodnúť, či ho odovzdá ďalej. To je rola presmerovania a prichádza s predpokladmi, ktoré klientska rola nikdy nepotrebovala: povolená tranzitná cesta, trasy na oboch stranách a spätná cesta, ktorá stále funguje, ak je preklad súčasťou návrhu.
| Role | Who originates the traffic | What has to be true |
|---|---|---|
| Client only | The laptop itself | Tunnel route, working resolver, supported profile |
| Gateway | Another device | Forwarding enabled, permitted transit, routes both ways, return-path decision |
Čo ip_forward vlastne mení
Dokumentácia jadra k IPv4 sysctl opisuje ip_forward ako prepínač, ktorý hostiteľovi umožňuje odovzdávať pakety medzi rozhraniami. Nie je to rýchla cesta pre prevádzku, ktorú hostiteľ sám vytvoril, a žiadne čítanie tohto parametra miestny prehliadač nezrýchli. Ak už, presmerovanie pridáva stav a politiku stroju, ktorý predtým robil menej práce.
Tá istá dokumentácia varuje, že zmena hodnoty vráti ostatné parametre IPv4 na ich predvolené hodnoty pre hostiteľa alebo router. To robí z prepínača konfiguračnú udalosť, nie sondu: vyladené nastavenia sa môžu vrátiť pod vami a zmena môže byť zodpovedná za regresiu, ktorú by jej nikto nepripísal. Znamená to tiež, že prepínač treba nastaviť raz, vedome, tým, kto vlastní rolu brány. Prepnutie počas vyšetrovania spomalenia je jediný prípad, keď sa vedľajší účinok zaručene zamení so symptómom.
Tri otázky firewallu, ktoré nie sú tou istou otázkou
Povoliť počúvajúcu službu VPN, povoliť služby, ktoré notebook spúšťa, a povoliť prevádzke prechádzať notebookom sú tri samostatné oprávnenia. Prvé umožní partnerovi dosiahnuť démona, druhé vystaví niečo miestne a tretie premení stroj na tranzit pre niekoho iného. Každé má iný rozsah a posledné je oveľa širšie než odpovede, ktoré potrebuje bežná odchádzajúca aplikácia.
Keď je konkrétny tok zablokovaný, pomenujte jeho zdroj, cieľ, smer a vlastníka politiky, kým upravíte pravidlo. Úzke pravidlo pre tento tok je oprava; prijatie všetkého na tunelovom rozhraní je zmena politiky, ktorá náhodou zahŕňa opravu. Prehliadač, ktorý potom funguje, dokazuje, že tok funguje, nie že široké pravidlo bolo potrebné.
Merajte až vtedy, keď je cesta správna
Merajte s rovnakým cieľom, rovnakou záťažou a porovnateľnými podmienkami a meňte jednu premennú naraz. Test, ktorý spojí zmenu presmerovania, rozšírenie firewallu a odpísané nastavenie šifry, dá číslo a žiadne vysvetlenie, pretože nič v ňom nehovorí, ktorá z troch vecí pohla výsledkom.
Zlyhania trás a resolvera držte úplne mimo rozhovoru o výkone. Názov, ktorý sa prekladá pomaly, nie je problém priepustnosti, a prenos, ktorý sa zastaví na jednej pevnej veľkosti, je zvyčajne otázka MTU, nie limit rýchlosti. Zapíšte, ktorú z týchto troch vecí ste skutočne pozorovali, kým porovnáte akékoľvek čísla. Inak ďalší čitateľ zdedí meranie, ktoré meria nesprávnu vec, a zmenu, ktorú nikto nedokáže zdôvodniť.
Opíšte topológiu, ktorú máte, nie štítok na klientovi
Notebook, ktorý zdieľa svoje pripojenie, hostuje smerovanú kontajnerovú sieť alebo nesie prevádzku pre virtuálny stroj, je brána, nech si softvér hovorí akokoľvek. Slovo klient opisuje, ako je tunel nakonfigurovaný, nie či sa pakety odovzdávajú niekomu inému.
Urobte rolu explicitnou v prevádzkovej príručke: čo vytvára prevádzku, čo musí prejsť strojom a o ktorej z tých dvoch vecí je aktuálna úloha. Zapínajte rolu brány, keď patrí k podporovanému plánu, nie ako nevysvetlenú úpravu rýchlosti aplikovanú na topológiu, ktorá ju nikdy nepotrebovala.