pfSense ee Virtio: TCP way istaagtaa ilaa offload la damiyo

Macmiil waxa uu soo sheegayaa in tunnel-ku xirmo, ping-ku jawaabo, bogga gelitaanku soo dego, kadibna wareejintu isku go’do isla meeshaas isku day kasta. Qaabkaas horeba wax badan ayuu sheegayaa: gaadhista way shaqaysaa, laakiin wax-soo-saarka joogtada ah ma shaqeeyo. Ka hor inta aanad furin firewall-ka, ogoow in VPN-ku uu haba yaraado ku lug leeyahay ciladtan. Mara TCP weyn isla gateway-kaas iyada oo aan tunnel jidka ku jirin; haddii ay sidoo kale isku go’do, OpenVPN waligiis lama lug lahayn.

Martida pfSense ee isticmaalaysa kaadhka shabakada virtio waxay leedahay sabab aad u fiican oo ay ku guuldareysato isla qaabkaas.

Baakadaha yaryar way gudbaan, TCP weyn way laalaadaa

Gacan-qabsiga, jawaabaha DNS iyo dhawaaqa ICMP waa yaryar yihiin oo badanaa way gudbaan. Wareejinta joogtada ah waxay ku qasabtaa martida inay qaybiso, oo halkaas ayaa wadada offload oo dhaawacantay soo baxdaa. Ciladdu maahan inay siman tahay: taraafikga baxa waxa uu noqon karaa mid nadiif ah inta kan soo gala uu dhaco, ama lidka ku ah, sidaas darteed isticmaaluhu waxa uu geli karaa kadibna ku istaagi karaa jawaabta weyn ee ugu horreysa. Maadaama isla macmiilku uu ka shaqeeyo gateway kale, qaladka waxaa lagu dhejiyaa qaybta ugu cusub.

Sidaas darteed tijaabi gateway-ka iyada oo aan tunnel jirin. Soo-dejin LAN-ilaa-WAN ah oo weyn oo ku filan in ay socoto dhawr il-biriqsi way ku filan tahay, waana in la sameeyaa ka hor wax kasta oo isbeddel goob ah si isbarbardhigga dambe uu macne yeesho.

Waxa offload dhab ahaan ballan qaado

virtio waa paravirtual: martigeliyaha iyo martidu shaqada way wadaagaan, martigeliyaha waxa uu ku dhawaaqaa awooda checksum iyo qaybinta waxaanu filayaa in martidu dhammeeyso waxa ay bilowday. Haddii stack-ga martidu aanu sidaas yeelin, frame-yadu waxay u baxaan checksum aan dhamaystirnayn ama martigeliyaha ayaa tuura. E1000 la ekaysiiyay waxa uu bixiyaa qaab ka fudud oo ka gaabis ah kaas oo dhibaatadu ku libdho iyada oo aan hal isbeddel ku iman pfSense. Gorgortanka awoodaha waxa uu dhacaa qalab kasta, taas oo sharraxaysa sababta hal marti uu bilo shaqeeyo halka mataankeeda dib loo dhisay uu ku guuldareysto maalinta ugu horreysa.

Qaabka la gorgortamay waxa uu ku xiran yahay nooca hypervisor-ka iyo qaabka kaadhka shabakada ee la doortay, ma aha oo kaliya qaabeynta aad soo dejisatay.

Hal sanduuq calaamad ah ayaa virtio haysta

Interface-ka pfSense, Nidaamka kadibna Sareeya kadibna Shabakadda waxa uu leeyahay sanduuq calaamad ah oo la yiraahdo Dami offload checksum-ka qalabka. Markaad calaamadiso, martidu waxay xisaabisaa checksum-ka software ahaan, taas oo u dhiganta waxa stack-ga FreeBSD ee ka dambeeya pfSense uu ka filayo qalab paravirtual ah. Laba ikhtiyaar oo xidhiidh la leh isla bogga waxay daboolaan offload qaybinta TCP ee qalabka iyo offload qaadashada weyn ee qalabka. U leexo iyaga marka gacan-qabsigu guulaysto laakiin wareejinta weyni aysan guulaysan.

Ka tag kaadhka shabakada sida virtio inta aad isbeddelka samaynayso. U gudubka E1000 waxa uu gubaa CPU baakad kasta inta uu nool yahay VM waxaanu qariyaa dhibaatada qaabeynta qof kasta oo dhaxla martigeliyaha, taas oo ah ganacsi ka xun waddo xogeed wax yar gaabis ah laakiin la saadaalin karo.

Cabbir kharashka aad hadda qaadatay

Checksum-ka software waxa uu shaqada u guuriyaa martida, sidaas darteed cabbir wax-soo-saarka kadib halkii aad u malayn lahayd in aanu wax kharash ah lahayn. VM yar ganaaxdu waa dhab, laakiin way muuqataa oo deggan tahay, si ka duwan lumo aamusnaan ah. Isbarbardhig tirsanayaasha khaladaadka interface-ka iyo log-ga kernel-ka martida ka hor iyo kadib. Hypervisor-ka shaandheeya buundada waa cilad gooni ah oo leh caddaymo kale, calan offload ahna ma daweyn karo.

Beddel hal shay tijaabo kasta oo qor wadada menu-ga, sanduuqa aad calaamadisay iyo lambarka aad cabbirtay. Qof kasta oo la kulma martida xigta ee dib loo dhisay waxa uu doonayaa saddexda.

Firewall-yada kale ee BSD ku saleysan waxay bixiyaan kontorool u dhigma goobahooda interface-ka, sidaas darteed sababtu way socotaa xitaa marka wadada menu-ga aysan socon.