A i prish shkarkimi harduerik i NAT rregullat e tua të rrugëzimit të VPN-së?

Aktivizimi i përshpejtimit harduerik të NAT-it mund ta bëjë një konfigurim VPN më të shpejtë dhe gjithashtu mund ta bëjë një politikë rrugëzimi të ndalojë së zbatuari për disa paketa pa asnjë gabim fare. Cila prej tyre ndodh varet nga ajo që kalon rruga e shpejtë, dhe kjo ndryshon midis firmuerit, versionit të kernelit dhe llojit të përshpejtimit në përdorim. Menuja e cilësimeve rrallë të thotë cilën sapo aktivizove.

Dy pretendime meritojnë të ndahen përpara se të fajësohet përshpejtuesi: që një rregull ndaloi së zbatuari dhe që një numërues ndaloi së përditësuari. Nuk është i njëjti vëzhgim.

Tri përshpejtime të ndryshme përzihen bashkë

Shkarkimi i përcjelljes, përshpejtimi kriptografik dhe shkarkimi i kanalit të të dhënave të tunelit janë mekanizma të veçantë që shpesh ndajnë një ndërprerës të vetëm. Shkarkimi i përcjelljes i lejon rrjedhat e vendosura të kapërcejnë një pjesë të pirgut normal, përshpejtimi kriptografik e bën punën e shifrimit më të lirë, dhe shkarkimi i tunelit e zhvendos enkapsulimin në harduer. Një ruter që përshpejton trafikun e zakonshëm të rrugëzuar mund ta lërë trafikun e tunelit plotësisht në rrugën e ngadaltë, dhe ky është rezultat performance, jo ndryshim politike. Ekziston edhe e kundërta, kur trafiku i tunelit shkarkohet ndërsa politika përreth vazhdon të vlerësohet.

Linux flowtables janë rasti i dokumentuar që ia vlen më shumë të lexohet, pasi rrjedhat e vendosura mund t'i dorëzohen një rruge të shpejtë. Kontabiliteti dhe trajtimi i gjendjes së tyre atëherë ndryshojnë nga përcjellja klasike, dhe kjo është arsyeja pse numëruesit fillojnë të duken çuditshëm.

Një numërues që ndalon së lëvizuri provon pak

Numëruesit e rregullave numërojnë paketat që kalojnë nëpër rregull, dhe një rrjedhë e shkarkuar mund të mos kalojë kurrë më nëpër të pas paketës së parë. Kjo prodhon një numërues që ngrin ndërsa trafiku vazhdon, dhe duket saktësisht si anashkalim nëse i beson numrit. Vëzhgimi i numëruesit është ende i dobishëm si shenjë që rrjedha la rrugën e numëruar. Pjesa tjetër e diagnostikimit duhet të vijë nga ajo se ku shkojnë vërtet paketat.

Përfundimi i kundërt dështon po aq keq. Një shkarkim i shpejtë nuk tregon se rregullat e tua të përjashtimit dhe trajtimi i dështimeve ende zbatohen, sepse ushtron një rrjedhë dhe jo politikën.

Tri kushte vendosin nëse shkarkimi prish politikën

Kushti i parë është nëse rruga e shpejtë konsulton grepin nga i cili varet politika jote, sepse një politikë e shprehur si shenja dhe rrugë mbijeton më shpesh sesa një e ndërtuar mbi filtrimin për çdo paketë. I dyti është nëse firmware-i e lejon fare kombinimin, sepse disa ndërtime e çaktivizojnë automatikisht shkarkimin kur një tunel ose një veçori muri zjarri është aktiv. I treti është nëse trafiku është i përshtatshëm, pasi përshpejtimi zakonisht lidhet me rrjedhat e vendosura dhe mund të përjashtojë paketa të fragmentuara ose të pazakonta. Aty ku të tre favorizojnë përshpejtimin, politika ende zbatohet, dhe aty ku i pari dështon, asnjë sasi rregullimi nuk e rikthen.

Lexo dokumentacionin e furnizuesit për kombinimin që po ekzekuton, jo për modelin e ruterit në përgjithësi. Versionet e firmware-it i ndryshojnë këto përgjigje në heshtje.

Testo politikën, jo xhiron

Mat çka politika duhet të garantojë përpara se të matësh sa shpejt shkon. Komandat më poshtë tregojnë nëse një flowtable është instaluar, çfarë sheh gjurmimi i lidhjeve dhe nga cila adresë klienti del. Krahaso një lidhje të re pas ndryshimit, pasi një e vendosur mund të mbajë rrugën e vjetër.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Një zë flowtable që mbulon trafikun e tunelit të thotë se rruga e shpejtë është në lojë, dhe tabela e lidhjeve tregon nëse rrjedha gjurmohet siç pret. Kontrolli i adresës konfirmon daljen kur politika ka të bëjë me daljen në internet, ndërsa ping konfirmon një destinacion privat që duhet të mbetet i arritshëm. Ekzekuto të njëjtin grup me përshpejtimin e fikur dhe më pas të ndezur, dhe krahaso rezultatet, jo kohët.

Shkruaj cilësimin e mëparshëm që eksperimenti të mbetet i kthyeshëm. Një udhëzim i përgjithshëm për të fikur shkarkimin kudo llogaritet si zgjidhje e përkohshme, jo si gjetje.