Donanım NAT hızlandırması VPN yönlendirme kurallarınızı bozuyor mu?

Donanım NAT hızlandırmasını açmak bir VPN kurulumunu hızlandırabilir ve aynı zamanda bir yönlendirme ilkesinin bazı paketlere hiçbir hata vermeden uygulanmayı bırakmasına yol açabilir. Bunlardan hangisinin olacağı hızlı yolun neyi atladığına bağlıdır ve bu, yazılım sürümü, çekirdek sürümü ve kullanılan hızlandırma türü arasında farklılık gösterir. Ayarlar menüsü az önce hangisini açtığınızı nadiren söyler.

Hızlandırıcıyı suçlamadan önce iki iddiayı ayırmak gerekir: bir kuralın uygulanmayı bırakması ve bir sayacın güncellenmeyi bırakması. Bunlar aynı gözlem değildir.

Üç farklı hızlandırma birbirine karıştırılıyor

Yönlendirme boşaltması, kriptografik hızlandırma ve tünel veri kanalı boşaltması genellikle tek bir anahtarı paylaşan ayrı mekanizmalardır. Yönlendirme boşaltması yerleşik akışların normal yığının bir bölümünü atlamasına izin verir, kriptografik hızlandırma şifre işini ucuzlatır ve tünel boşaltması kapsüllemeyi donanıma taşır. Sıradan yönlendirilmiş trafiği hızlandıran bir yönlendirici tünel trafiğini tamamen yavaş yolda bırakabilir; bu bir performans sonucudur, ilke değişikliği değildir. Tersi de vardır: tünel trafiği boşaltılırken çevresindeki ilke hâlâ değerlendirilir.

Linux flowtable'ları okunmaya en değer belgelenmiş durumdur, çünkü yerleşik akışlar hızlı bir yola devredilebilir. O zaman muhasebeleri ve durum işleyişleri klasik yönlendirmeden farklılaşır; sayaçların tuhaf görünmeye başlamasının nedeni budur.

Hareket etmeyi bırakan bir sayaç az şey kanıtlar

Kural sayaçları kuraldan geçen paketleri sayar ve boşaltılmış bir akış ilk paketten sonra oradan bir daha hiç geçmeyebilir. Bu, trafik sürerken donan bir sayaç üretir ve sayıya güvenirseniz tam olarak bir atlatma gibi görünür. Sayacı izlemek, akışın sayılan yolu terk ettiğine dair bir ipucu olarak hâlâ yararlıdır. Teşhisin geri kalanı paketlerin gerçekte nereye gittiğinden gelmelidir.

Karşıt çıkarım da aynı kötülükte başarısız olur. Hızlı bir indirme, istisna kurallarınızın ve hata işleyişinizin hâlâ geçerli olduğunu göstermez, çünkü tek bir akışı çalıştırır, ilkeyi değil.

Boşaltmanın ilkeyi bozup bozmadığını üç koşul belirler

Birinci koşul şudur: hızlı yolun ilkenizin dayandığı kancaya başvurup başvurmaması; çünkü işaretler ve rotalar olarak ifade edilen bir ilke, her paketi filtrelemeye dayanan bir ilkeden daha sık ayakta kalır. İkincisi, yazılımın bu bileşime hiç izin verip vermemesi; çünkü bazı derlemeler bir tünel veya güvenlik duvarı özelliği etkinken boşaltmayı otomatik olarak kapatır. Üçüncüsü, trafiğin uygun olup olmaması; çünkü hızlandırma genellikle yerleşik akışlara bağlıdır ve parçalanmış veya olağandışı paketleri dışlayabilir. Üçünün de hızlandırmayı desteklediği yerde ilke hâlâ geçerlidir ve birincinin başarısız olduğu yerde hiçbir ayar onu geri getirmez.

Çalıştırdığınız bileşim için satıcı belgelerini okuyun, genel olarak yönlendirici modeli için değil. Yazılım sürümleri bu yanıtları sessizce değiştirir.

İlkeyi test edin, aktarım hızını değil

İlkenin ne kadar hızlı gittiğini ölçmeden önce neyi garanti etmesi gerektiğini ölçün. Aşağıdaki komutlar bir flowtable kurulu olup olmadığını, bağlantı izlemenin ne gördüğünü ve istemcinin hangi adresten çıktığını gösterir. Değişiklikten sonra yeni bir bağlantıyı karşılaştırın, çünkü yerleşik olan eski yolunu koruyabilir.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Tünel trafiğini kapsayan bir flowtable girdisi hızlı yolun oyunda olduğunu söyler ve bağlantı tablosu akışın beklediğiniz gibi izlenip izlenmediğini gösterir. Adres kontrolü, ilke internet çıkışıyla ilgili olduğunda çıkışı doğrular; ping ise erişilebilir kalması gereken özel bir hedefi doğrular. Aynı kümeyi hızlandırma kapalıyken ve sonra açıkken çalıştırın ve süreleri değil sonuçları karşılaştırın.

Önceki ayarı kaydedin ki deney geri alınabilir kalsın. Boşaltmayı her yerde kapatma yönündeki genel bir talimat bir geçici çözüm sayılır, bulgu değil.