Tăng tốc NAT phần cứng có phá vỡ quy tắc định tuyến VPN của bạn không?

Bật tăng tốc NAT phần cứng có thể làm cho một cấu hình VPN nhanh hơn, và cũng có thể làm cho một chính sách định tuyến ngừng áp dụng cho một số gói tin mà hoàn toàn không có lỗi. Điều nào xảy ra phụ thuộc vào việc đường nhanh bỏ qua cái gì, và điều đó khác nhau giữa firmware, phiên bản kernel và loại tăng tốc đang dùng. Menu cài đặt hiếm khi cho bạn biết bạn vừa bật cái nào.

Có hai khẳng định cần tách ra trước khi đổ lỗi cho bộ tăng tốc: rằng một quy tắc đã ngừng được áp dụng, và rằng một bộ đếm đã ngừng được cập nhật. Đó không phải cùng một quan sát.

Ba loại tăng tốc khác nhau bị gộp chung

Giảm tải chuyển tiếp, tăng tốc mật mã và giảm tải kênh dữ liệu của đường hầm là những cơ chế riêng biệt thường dùng chung một switch. Giảm tải chuyển tiếp cho phép các luồng đã thiết lập bỏ qua một phần của ngăn xếp thông thường, tăng tốc mật mã làm công việc mã hóa rẻ hơn, và giảm tải đường hầm chuyển việc đóng gói sang phần cứng. Một router tăng tốc lưu lượng định tuyến thông thường có thể để lưu lượng đường hầm hoàn toàn trên đường chậm, và đó là kết quả hiệu năng chứ không phải thay đổi chính sách. Chiều ngược lại cũng tồn tại, khi lưu lượng đường hầm được giảm tải trong lúc chính sách xung quanh vẫn đang được đánh giá.

Linux flowtable là trường hợp được ghi chép đáng đọc nhất, vì các luồng đã thiết lập có thể được giao cho một đường nhanh. Việc hạch toán và xử lý trạng thái của chúng khi đó khác với chuyển tiếp cổ điển, và đó là lý do các bộ đếm bắt đầu trông lạ.

Một bộ đếm ngừng nhúc nhích chứng minh được rất ít

Bộ đếm của quy tắc đếm các gói tin đi qua quy tắc, và một luồng đã được giảm tải có thể không bao giờ đi qua nó nữa sau gói tin đầu tiên. Điều đó tạo ra một bộ đếm đứng yên trong khi lưu lượng vẫn tiếp tục, và nó trông đúng như một lần đi vòng nếu bạn tin vào con số. Theo dõi bộ đếm vẫn hữu ích như một dấu hiệu rằng luồng đã rời khỏi đường được đếm. Phần còn lại của việc chẩn đoán phải đến từ chỗ các gói tin thực sự đi.

Suy luận ngược lại cũng thất bại tệ như vậy. Một lần tải xuống nhanh không chứng minh rằng các quy tắc ngoại lệ và việc xử lý lỗi của bạn vẫn áp dụng, vì nó chỉ thử một luồng chứ không phải chính sách.

Ba điều kiện quyết định giảm tải có phá chính sách hay không

Điều kiện thứ nhất là liệu đường nhanh có hỏi ý cái móc mà chính sách của bạn dựa vào, vì một chính sách diễn đạt bằng dấu và tuyến đường sống sót thường xuyên hơn một chính sách xây trên lọc từng gói. Điều thứ hai là liệu firmware có cho phép tổ hợp đó hay không, vì một số bản dựng tự động tắt giảm tải khi một đường hầm hoặc một tính năng tường lửa đang hoạt động. Điều thứ ba là liệu lưu lượng có đủ điều kiện hay không, vì tăng tốc thường gắn với các luồng đã thiết lập và có thể loại trừ các gói bị phân mảnh hoặc bất thường. Ở đâu cả ba đều ủng hộ tăng tốc thì chính sách vẫn áp dụng, và ở đâu điều thứ nhất thất bại thì không mức tinh chỉnh nào khôi phục được nó.

Hãy đọc tài liệu của nhà cung cấp cho tổ hợp bạn đang chạy, chứ không phải cho mẫu router nói chung. Các phiên bản firmware thay đổi những câu trả lời này một cách lặng lẽ.

Hãy kiểm tra chính sách, không phải thông lượng

Hãy đo điều mà chính sách phải bảo đảm trước khi đo nó chạy nhanh đến đâu. Các lệnh dưới đây cho thấy một flowtable có được cài hay không, theo dõi kết nối thấy gì, và máy khách thoát ra từ địa chỉ nào. So sánh một kết nối mới sau thay đổi, vì một kết nối đã thiết lập có thể giữ đường cũ.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Một mục flowtable bao phủ lưu lượng đường hầm cho bạn biết đường nhanh đang tham gia, và bảng kết nối cho thấy luồng có được theo dõi như bạn mong đợi hay không. Việc kiểm tra địa chỉ xác nhận lối ra khi chính sách liên quan đến lưu lượng ra internet, trong khi ping xác nhận một đích riêng tư phải còn truy cập được. Chạy cùng bộ đó với tăng tốc tắt rồi bật, và so sánh kết quả chứ không phải thời gian.

Ghi lại cài đặt trước đó để thí nghiệm vẫn có thể đảo ngược. Một chỉ dẫn chung chung là tắt giảm tải ở mọi nơi được tính là cách lách, không phải là một phát hiện.