Uskuna NAT tezlashtirishi VPN marshrutlash qoidalarini buzadimi?

Uskuna NAT tezlashtirishini yoqish VPN sozlamasini tezroq qilishi mumkin, shuningdek marshrutlash siyosati ba'zi paketlarga hech qanday xato bermasdan qo‘llanilishini to‘xtatishi mumkin. Qaysi biri sodir bo‘lishi tez yo‘l nimani chetlab o‘tishiga bog‘liq va bu firmware, yadro versiyasi hamda ishlatilayotgan tezlashtirish turiga qarab farq qiladi. Sozlamalar menyusi hozir qaysi birini yoqqaningizni kamdan-kam aytadi.

Tezlashtiruvchini ayblashdan oldin ikki da'voni ajratish kerak: qoida bajarilishini to‘xtatdi va hisoblagich yangilanishini to‘xtatdi. Bu bir xil kuzatish emas.

Uch xil tezlashtirish bir-biriga aralashtiriladi

Yo‘naltirish offloadi, kriptografik tezlashtirish va tunnel ma'lumot kanali offloadi ko‘pincha bitta kalitni bo‘lishadigan alohida mexanizmlardir. Yo‘naltirish offloadi o‘rnashgan oqimlarga oddiy stekning bir qismini chetlab o‘tishga imkon beradi, kriptografik tezlashtirish shifr ishini arzonlashtiradi, tunnel offloadi esa inkapsulyatsiyani uskunaga ko‘chiradi. Oddiy marshrutlangan trafikni tezlashtiruvchi router tunnel trafigini butunlay sekin yo‘lda qoldirishi mumkin, bu esa ishlash natijasi, siyosat o‘zgarishi emas. Teskarisi ham bor: tunnel trafigi offload qilinayotganda atrofdagi siyosat hali baholanadi.

Linux flowtables o‘qishga eng arziydigan hujjatlashtirilgan holat, chunki o‘rnashgan oqimlarni tez yo‘lga topshirish mumkin. Shunda ularning hisobi va holat bilan ishlashi klassik yo‘naltirishdan farq qiladi, shuning uchun hisoblagichlar g‘alati ko‘rina boshlaydi.

Harakatdan to‘xtagan hisoblagich kam narsani isbotlaydi

Qoida hisoblagichlari qoidadan o‘tadigan paketlarni sanaydi, offload qilingan oqim esa birinchi paketdan keyin undan boshqa hech qachon o‘tmasligi mumkin. Bu trafik davom etayotganda qotib qoladigan hisoblagichni hosil qiladi va raqamga ishonsangiz u aynan chetlab o‘tishga o‘xshaydi. Hisoblagichni kuzatish oqim sanalgan yo‘lni tark etgani haqidagi ishora sifatida baribir foydali. Tashxisning qolgan qismi paketlar haqiqatda qayerga ketishidan kelib chiqishi kerak.

Qarama-qarshi xulosa ham xuddi shunday yomon muvaffaqiyatsizlikka uchraydi. Tez yuklab olish istisno qoidalaringiz va xatolik bilan ishlash hali amal qilishini ko‘rsatmaydi, chunki u bitta oqimni sinaydi, siyosatni emas.

Offload siyosatni buzadimi-yo‘qmi, buni uch shart hal qiladi

Birinchi shart — tez yo‘l siyosatingiz tayanadigan ilgakka murojaat qiladimi, chunki belgilar va marshrutlar bilan ifodalangan siyosat har bir paketni filtrlashga qurilganidan ko‘ra ko‘proq omon qoladi. Ikkinchisi — firmware bunday birikmaga umuman ruxsat beradimi, chunki ba'zi buildlar tunnel yoki xavfsizlik devori funksiyasi faol bo‘lganda offloadni avtomatik o‘chiradi. Uchinchisi — trafik munosibmi, chunki tezlashtirish odatda o‘rnashgan oqimlarga bog‘lanadi va bo‘laklangan yoki noodatiy paketlarni chiqarib tashlashi mumkin. Uchovi ham tezlashtirishni qo‘llab-quvvatlaydigan joyda siyosat baribir amal qiladi, birinchisi muvaffaqiyatsiz bo‘lgan joyda esa hech qanday sozlash uni tiklamaydi.

Ishlatayotgan birikmangiz uchun sotuvchi hujjatlarini o‘qing, umuman router modeli uchun emas. Firmware versiyalari bu javoblarni jimgina o‘zgartiradi.

Siyosatni sinang, o‘tkazish qobiliyatini emas

Siyosat qanchalik tez ishlashini o‘lchashdan oldin u nimani kafolatlashi kerakligini o‘lchang. Quyidagi buyruqlar flowtable o‘rnatilganini, ulanish kuzatuvi nimani ko‘rishini va mijoz qaysi manzildan chiqishini ko‘rsatadi. O‘zgarishdan keyin yangi ulanishni solishtiring, chunki o‘rnashgani eski yo‘lini saqlab qolishi mumkin.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Tunnel trafigini qamrab oluvchi flowtable yozuvi tez yo‘l o‘yinda ekanini aytadi, ulanish jadvali esa oqim kutganingizdek kuzatilayotganini ko‘rsatadi. Manzil tekshiruvi siyosat internetga chiqishga tegishli bo‘lganda chiqishni tasdiqlaydi, ping esa kirish mumkin bo‘lib qolishi kerak bo‘lgan xususiy manzilni tasdiqlaydi. Xuddi shu to‘plamni tezlashtirish o‘chirilgan va keyin yoqilgan holda ishlating va vaqtlarni emas, natijalarni solishtiring.

Oldingi sozlamani yozib qo‘ying, tajriba qaytariladigan bo‘lib qolsin. Offloadni hamma joyda o‘chirish haqidagi umumiy ko‘rsatma vaqtinchalik yechim sanaladi, topilma emas.