Ali strojna pospešitev NAT pokvari vaša pravila usmerjanja VPN?

Vklop strojne pospešitve NAT lahko pospeši nastavitev VPN in lahko tudi povzroči, da politika usmerjanja preneha veljati za nekatere pakete povsem brez napake. Kateri od tega se zgodi, je odvisno od tega, kaj hitra pot preskoči, in to se razlikuje med vdelano programsko opremo, različico jedra in vrsto uporabljene pospešitve. Meni z nastavitvami le redko pove, katero ste pravkar vklopili.

Dve trditvi si zaslužita ločitev, preden obtožimo pospeševalnik: da je pravilo prenehalo veljati in da se števec prenehal posodabljati. To ni isto opažanje.

Tri različne pospešitve se mešajo v eno

Razbremenitev posredovanja, kriptografska pospešitev in razbremenitev podatkovnega kanala tunela so ločeni mehanizmi, ki si pogosto delijo eno stikalo. Razbremenitev posredovanja uveljavljenim tokovom omogoča, da preskočijo del običajnega sklada, kriptografska pospešitev poceni delo s šifro, razbremenitev tunela pa premakne kapsuliranje v strojno opremo. Usmerjevalnik, ki pospešuje običajen usmerjen promet, lahko promet tunela pusti povsem na počasni poti, kar je rezultat delovanja in ne sprememba politike. Obstaja tudi nasprotno, ko se promet tunela razbremeni, medtem ko se okoliška politika še vedno vrednoti.

Linux flowtables so dokumentiran primer, ki se ga najbolj splača prebrati, saj je uveljavljene tokove mogoče predati hitri poti. Njihovo obračunavanje in ravnanje s stanjem se nato razlikujeta od klasičnega posredovanja, zato so števci videti čudni.

Števec, ki se ustavi, malo dokaže

Števci pravil štejejo pakete, ki gredo skozi pravilo, razbremenjen tok pa morda po prvem paketu nikoli več ne gre skozenj. Tako nastane števec, ki zamrzne, medtem ko promet teče, in če številu zaupate, je videti natanko kot obhod. Opazovanje števca je še vedno koristno kot namig, da je tok zapustil šteto pot. Preostanek diagnoze mora priti iz tega, kam paketi v resnici gredo.

Nasprotni sklep odpove prav tako slabo. Hitro prenašanje ne pokaže, da vaša pravila izjem in ravnanje z napakami še veljajo, ker preizkuša en tok in ne politike.

Trije pogoji odločijo, ali razbremenitev pokvari politiko

Prvi pogoj je ali hitra pot svetuje kavelj, od katerega je odvisna vaša politika, ker politika, izražena z oznakami in potmi, preživi pogosteje kot tista, zgrajena na filtriranju vsakega paketa. Drugi je, ali vdelana programska oprema takšno kombinacijo sploh dovoli, ker nekatere gradnje samodejno izklopijo razbremenitev, ko je aktiven tunel ali funkcija požarnega zidu. Tretji je, ali je promet primeren, saj je pospešitev običajno vezana na uveljavljene tokove in lahko izključi razdrobljene ali nenavadne pakete. Kjer vse tri podpirajo pospešitev, politika še vedno velja, in kjer prva odpove, je nobeno uglaševanje ne obnovi.

Preberite dokumentacijo proizvajalca za kombinacijo, ki jo poganjate, ne za model usmerjevalnika na splošno. Različice vdelane programske opreme te odgovore tiho spreminjajo.

Preizkusite politiko, ne prepustnosti

Izmerite, kaj naj bi politika zagotavljala, preden izmerite, kako hitro deluje. Spodnji ukazi pokažejo, ali je flowtable nameščen, kaj vidi sledenje povezavam in iz katerega naslova odjemalec izhaja. Primerjajte novo povezavo po spremembi, saj lahko uveljavljena obdrži staro pot.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Vnos v flowtable, ki pokriva promet tunela, vam pove, da je hitra pot v igri, tabela povezav pa pokaže, ali se tok sledi tako, kot pričakujete. Preverjanje naslova potrdi izhod, ko politika zadeva izhod v internet, medtem ko ping potrdi zasebni cilj, ki naj ostane dosegljiv. Zaženite isti nabor z izklopljeno in nato vklopljeno pospešitvijo ter primerjajte rezultate in ne čase.

Zapišite prejšnjo nastavitev, da poskus ostane povraten. Splošno navodilo, naj se razbremenitev izklopi povsod, velja za obhod, ne za ugotovitev.