Sinisira ba ng hardware NAT offload ang iyong mga patakaran sa ruta ng VPN?

Ang pag-on ng hardware NAT acceleration ay maaaring gawing mas mabilis ang isang VPN setup, at maaari rin nitong gawing huminto ang isang patakaran sa ruta sa pag-apply sa ilang packet nang walang anumang error. Alin sa mga ito ang mangyayari ay depende sa kung ano ang nilalaktawan ng mabilis na landas, at nag-iiba iyon sa firmware, bersyon ng kernel at uri ng acceleration na ginagamit. Bihirang sabihin ng menu ng mga setting kung alin ang kakabukas mo lang.

Dalawang pahayag ang dapat paghiwalayin bago sisihin ang accelerator: na huminto ang isang patakaran sa pagpapatupad, at na huminto ang isang counter sa pag-update. Hindi ito ang parehong obserbasyon.

Tatlong magkaibang acceleration ang pinagsasama

Ang forwarding offload, cryptographic acceleration at tunnel data-channel offload ay magkahiwalay na mekanismong madalas nagbabahagi ng isang switch. Hinahayaan ng forwarding offload ang mga naitatag na flow na laktawan ang bahagi ng normal na stack, pinapamura ng cryptographic acceleration ang gawain sa cipher, at inililipat ng tunnel offload ang encapsulation sa hardware. Ang router na nagpapabilis ng ordinaryong niruta na trapiko ay maaaring iwan ang trapiko ng tunnel nang buo sa mabagal na landas, at iyon ay resulta ng performance at hindi pagbabago ng patakaran. Mayroon din namang kabaligtaran, kung saan ang trapiko ng tunnel ay ini-offload habang ang nakapaligid na patakaran ay sinusuri pa rin.

Ang Linux flowtables ang dokumentadong kaso na pinakamahalagang basahin, dahil ang mga naitatag na flow ay maaaring ibigay sa isang mabilis na landas. Ang accounting at paghawak ng estado nila ay nagkakaiba noon sa klasikong forwarding, at iyon ang dahilan kung bakit nagsisimulang magmukhang kakaiba ang mga counter.

Kaunti lang ang pinapatunayan ng counter na huminto sa paggalaw

Binibilang ng mga counter ng patakaran ang mga packet na dumadaan sa patakaran, at ang isang na-offload na flow ay maaaring hindi na muling dumaan dito pagkatapos ng unang packet. Gumagawa iyon ng counter na nagyeyelo habang tumatakbo ang trapiko, at eksaktong mukhang bypass ito kung pagkakatiwalaan mo ang bilang. Kapaki-pakinabang pa rin ang pagmamasid sa counter bilang hudyat na umalis ang flow sa binilang landas. Ang natitirang diagnosis ay dapat magmula sa kung saan talaga pumupunta ang mga packet.

Parehong malas ang kabaligtarang hinuha. Ang mabilis na download ay hindi nagpapakita na umiiral pa rin ang iyong mga patakaran sa pagbubukod at paghawak ng kabiguan, dahil isang flow lang ang sinasanay nito at hindi ang patakaran.

Tatlong kundisyon ang nagpapasya kung sinisira ng offload ang patakaran

Ang unang kundisyon ay kung kinukonsulta ng mabilis na landas ang hook na nakasalalay dito ang iyong patakaran, dahil ang patakarang ipinahayag bilang marka at ruta ay mas madalas na tumatagal kaysa sa itinayo sa pagsasala kada packet. Ang pangalawa ay kung pinapayagan man ng firmware ang kombinasyon, dahil ang ilang build ay awtomatikong nagpapatay ng offload kapag aktibo ang isang tunnel o tampok ng firewall. Ang pangatlo ay kung karapat-dapat ang trapiko, dahil kadalasang nakatali ang acceleration sa mga naitatag na flow at maaaring ibukod ang mga packet na nahati o hindi karaniwan. Kung saan ang tatlo ay pumapabor sa acceleration, umiiral pa rin ang patakaran, at kung saan nabigo ang una, walang dami ng pagsasaayos ang makapagbabalik nito.

Basahin ang dokumentasyon ng vendor para sa kombinasyong pinapatakbo mo, hindi para sa modelo ng router sa pangkalahatan. Tahimik na binabago ng mga bersyon ng firmware ang mga sagot na ito.

Subukin ang patakaran, hindi ang throughput

Sukatin kung ano ang dapat garantiya ng patakaran bago sukatin kung gaano ito kabilis. Ipinapakita ng mga utos sa ibaba kung may naka-install na flowtable, ano ang nakikita ng connection tracking, at sa aling address lumalabas ang client. Ihambing ang isang bagong koneksyon pagkatapos ng pagbabago, dahil ang naitatag na isa ay maaaring panatilihin ang lumang landas nito.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Sinasabi sa iyo ng isang entry sa flowtable na sumasaklaw sa trapiko ng tunnel na nasa laro ang mabilis na landas, at ipinapakita ng talahanayan ng koneksyon kung sinusubaybayan ang flow ayon sa inaasahan mo. Kinukumpirma ng pagsusuri ng address ang labasan kapag ang patakaran ay tungkol sa internet egress, habang kinukumpirma ng ping ang isang pribadong destinasyon na dapat manatiling maabot. Patakbuhin ang parehong set nang patay ang acceleration at pagkatapos ay bukas, at ihambing ang mga resulta hindi ang mga oras.

Itala ang nakaraang setting para manatiling maibabalik ang eksperimento. Ang pangkalahatang tagubilin na patayin ang offload sa lahat ng dako ay itinuturing na pansamantalang solusyon, hindi bilang natuklasan.