pfSense në Virtio: TCP bllokohet derisa offload të fiket

Një klient raporton se tuneli lidhet, ping përgjigjet, faqja e hyrjes ngarkohet dhe pastaj transferimi ngrin në të njëjtën pikë në çdo provë. Ky model tashmë thotë shumë: arritshmëria funksionon dhe xhiroja e qëndrueshme jo. Përpara se të hapni firewall-in, zbuloni nëse VPN merr pjesë fare në dështim. Kaloni TCP të madh përmes të njëjtit gateway pa tunel në rrugë; nëse edhe ai ngrin, OpenVPN nuk ishte përfshirë kurrë.

Një mikpritës pfSense me kartë rrjeti virtio ka një arsye shumë të mirë të dështojë pikërisht në atë formë.

Paketat e vogla kalojnë, TCP i madh varet

Shtrëngimet e duarve, përgjigjet DNS dhe jehona ICMP janë të vogla dhe zakonisht kalojnë. Transferimet e qëndrueshme e detyrojnë mikpritësin të segmentojë, dhe pikërisht aty del një rrugë offload e dëmtuar. Dështimi nuk duhet të jetë simetrik: trafiku dalës mund të jetë i pastër ndërsa ai hyrës humbet, ose anasjelltas, kështu që një përdorues mund të hyjë dhe pastaj të bllokohet në përgjigjen e parë të madhe. Meqenëse i njëjti klient funksionon përmes një gateway tjetër, fajin e merr komponenti më i re.

Prandaj testoni gateway-in pa tunel. Një shkarkim nga LAN në WAN mjaft i madh sa të zgjasë disa sekonda mjafton, dhe duhet bërë përpara çdo ndryshimi të cilësimeve që krahasimi i mëvonshëm të ketë kuptim.

Çfarë premton në të vërtetë offload

virtio është paravirtual: hosti dhe mikpritësi ndajnë punën, hosti shpall aftësi të shumës kontrolluese dhe segmentimit dhe pret që mikpritësi të përfundojë atë që nisi. Nëse stiva e mikpritësit nuk e bën këtë, kornizat dalin me shuma kontrolluese të paplota ose hosti i hedh ato. Një E1000 e emuluar ofron një model më të thjeshtë dhe më të ngadaltë në të cilin problemi zhduket pa një ndryshim të vetëm në pfSense. Negocimi i aftësive bëhet për çdo pajisje, gjë që shpjegon pse një mikpritës punon me muaj ndërsa binjaku i tij i rindërtuar dështon ditën e parë.

Grupi i negociuar varet nga versioni i hipervizorit dhe modeli i kartës së rrjetit i zgjedhur, jo vetëm nga konfigurimi që importuat.

Një kuti zgjedhjeje mban virtio

Në ndërfaqen e pfSense, Sistemi pastaj Avancuar pastaj Rrjeti përmban një kuti zgjedhjeje të quajtur Çaktivizo offload-in e shumës kontrolluese të harduerit. Kur shënohet, mikpritësi llogarit shumat kontrolluese në softuer, gjë që përputhet me atë që stiva FreeBSD pas pfSense pret nga një pajisje paravirtuale. Dy opsione të lidhura në të njëjtën faqe mbulojnë offload-in e harduerit të segmentimit TCP dhe offload-in e harduerit të pritjes së madhe. Drejtohuni nga ato kur shtrëngimet e duarve ia dalin, por transferimet e mëdha jo.

Lëreni kartën e rrjetit si virtio gjatë kryerjes së ndryshimit. Kalimi në E1000 djeg CPU në çdo paketë për gjithë jetën e VM dhe fsheh problemin e konfigurimit nga kushdo që trashëgon hostin, gjë që është një shkëmbim më i keq sesa një rrugë e dhënash pak më e ngadaltë, por e parashikueshme.

Matni koston që sapo pranuat

Llogaritja e shumave kontrolluese në softuer e zhvendos punën te mikpritësi, prandaj matni xhiron më pas në vend që të supozoni se nuk kushton asgjë. Në një VM të vogël ndëshkimi është i vërtetë, por është i dukshëm dhe i qëndrueshëm, ndryshe nga një humbje e heshtur. Krahasoni numëruesit e gabimeve të ndërfaqes dhe regjistrin e kernelit të mikpritësit përpara dhe pas. Një hipervizor që filtron urën është një dështim i veçantë me prova të tjera, dhe asnjë flamur offload nuk do ta shërojë.

Ndryshoni një gjë për provë dhe shkruani rrugën e menysë, kutinë që shënuat dhe numrin që matët. Kushdo që përballet me mikpritësin tjetër të rindërtuar do t’i dojë të tria.

Firewall-et e tjera të bazuara në BSD ofrojnë kontroll ekuivalent në cilësimet e tyre të ndërfaqes, kështu që arsyetimi vlen edhe kur rruga e menysë nuk vlen.