Virtio پر pfSense: offload بند ہونے تک TCP رک جاتا ہے

ایک کلائنٹ بتاتا ہے کہ ٹنل جڑ جاتی ہے، پنگ جواب دیتا ہے، لاگ ان صفحہ لوڈ ہوتا ہے، اور پھر ہر کوشش میں منتقلی اسی مقام پر جم جاتی ہے۔ یہ نمونہ پہلے ہی بہت کچھ بتا دیتا ہے: رسائی کام کرتی ہے اور مستقل تھروپٹ نہیں۔ فائر وال کھولنے سے پہلے معلوم کریں کہ VPN اس ناکامی میں بالکل شامل ہے یا نہیں۔ اسی گیٹ وے سے راستے میں ٹنل کے بغیر بڑا TCP بھیجیں؛ اگر وہ بھی جم جائے تو OpenVPN کبھی شامل نہیں تھا۔

virtio نیٹ ورک کارڈ استعمال کرنے والے pfSense مہمان کے پاس بالکل اسی شکل میں ناکام ہونے کی بہت اچھی وجہ ہے۔

چھوٹے پیکٹ گزر جاتے ہیں، بڑا TCP لٹک جاتا ہے

ہینڈ شیک، DNS جوابات اور ICMP گونج چھوٹے ہوتے ہیں اور عموماً گزر جاتے ہیں۔ مستقل منتقلیاں مہمان کو تقسیم کرنے پر مجبور کرتی ہیں، اور وہیں خراب شدہ offload راستہ سامنے آتا ہے۔ خرابی کا متوازی ہونا ضروری نہیں: باہر جانے والا ٹریفک صاف ہو سکتا ہے جبکہ اندر آنے والا گر جائے، یا اس کے برعکس، اس لیے صارف لاگ ان کر سکتا ہے اور پھر پہلے بڑے جواب پر رک سکتا ہے۔ چونکہ وہی کلائنٹ دوسرے گیٹ وے سے کام کرتا ہے، الزام نئے ترین جزو پر ڈالا جاتا ہے۔

اس لیے ٹنل کے بغیر گیٹ وے آزمائیں۔ چند سیکنڈ چل سکنے کے قابل اتنی بڑی LAN سے WAN ڈاؤن لوڈ کافی ہے، اور یہ کسی بھی سیٹنگ تبدیلی سے پہلے کرنی چاہیے تاکہ بعد کی موازنہ معنی رکھے۔

offload واقعی کیا وعدہ کرتا ہے

virtio پیرا ورچوئل ہے: ہوسٹ اور مہمان کام بانٹتے ہیں، ہوسٹ چیک سم اور تقسیم کی صلاحیتیں اعلان کرتا ہے اور توقع کرتا ہے کہ مہمان نے جو شروع کیا اسے مکمل کرے۔ اگر مہمان کا اسٹیک ایسا نہیں کرتا تو فریم نامکمل چیک سم کے ساتھ نکلتے ہیں یا ہوسٹ انہیں گرا دیتا ہے۔ ایمولیٹ شدہ E1000 سادہ اور سست ماڈل دیتا ہے جس میں pfSense میں ایک بھی تبدیلی کے بغیر مسئلہ غائب ہو جاتا ہے۔ صلاحیتوں کی گفت و شنید ہر ڈیوائس کے لیے الگ ہوتی ہے، جو بتاتی ہے کہ کیوں ایک مہمان مہینوں چلتا ہے جبکہ اس کا دوبارہ بنایا گیا جڑواں پہلے ہی دن ناکام ہو جاتا ہے۔

طے شدہ مجموعہ ہائپر وائزر ورژن اور منتخب NIC ماڈل پر منحصر ہے، صرف آپ کے درآمد کردہ کنفیگریشن پر نہیں۔

ایک چیک باکس virtio رکھتا ہے

pfSense انٹرفیس میں، سسٹم پھر ایڈوانس پھر نیٹ ورکنگ میں ہارڈ ویئر چیک سم offload غیر فعال کریں نام کا چیک باکس ہے۔ اسے منتخب کرنے پر مہمان سافٹ ویئر میں چیک سم شمار کرتا ہے، جو pfSense کے پیچھے FreeBSD اسٹیک کی پیرا ورچوئل ڈیوائس سے توقع کے مطابق ہے۔ اسی صفحے پر دو متعلقہ اختیارات ہارڈ ویئر TCP تقسیم offload اور ہارڈ ویئر بڑی وصولی offload کو محیط ہیں۔ جب ہینڈ شیک کامیاب ہوں مگر بڑی منتقلیاں نہ ہوں تو انہی کی طرف جائیں۔

تبدیلی کرتے وقت NIC کو virtio ہی رکھیں۔ E1000 پر جانا VM کی پوری عمر میں ہر پیکٹ پر CPU جلاتا ہے اور ہوسٹ کے وارث کسی بھی شخص سے کنفیگریشن کا مسئلہ چھپا دیتا ہے، جو تھوڑا سست مگر قابلِ اندازہ ڈیٹا راستے سے بدتر سودا ہے۔

ابھی جو لاگت قبول کی ہے اسے ناپیں

سافٹ ویئر چیک سم کام کو مہمان میں منتقل کرتا ہے، اس لیے یہ ماننے کے بجائے کہ کوئی لاگت نہیں، بعد میں تھروپٹ ناپیں۔ چھوٹی VM پر سزا حقیقی ہے، مگر وہ نظر آتی ہے اور مستحکم ہے، خاموش نقصان کے برعکس۔ پہلے اور بعد میں انٹرفیس غلطی کاؤنٹر اور مہمان کا کرنل لاگ موازنہ کریں۔ برج کو فلٹر کرنے والا ہائپر وائزر مختلف شواہد والی الگ خرابی ہے، اور کوئی offload پرچم اسے ٹھیک نہیں کرے گا۔

ہر جانچ میں ایک چیز بدلیں اور مینو راستہ، منتخب کردہ باکس اور ناپی گئی تعداد لکھیں۔ اگلے دوبارہ بنائے گئے مہمان کا سامنا کرنے والے کو تینوں چاہیے ہوں گے۔

BSD پر مبنی دیگر فائر وال اپنی انٹرفیس سیٹنگز میں مساوی کنٹرول دیتے ہیں، اس لیے استدلال لاگو رہتا ہے چاہے مینو راستہ نہ ہو۔