Ṣé ìtẹ̀síwájú NAT ẹ̀rọ ń fọ́ àwọn ìlànà ìdarí VPN rẹ?

Pípéye NAT ẹ̀rọ lè jẹ́ kí ètò VPN yára sí, ó sì lè jẹ́ kí ìlànà ìdarí dáwọ́ ìṣilò lórí àwọn pákẹ́tì kan láìsí àṣìṣe kankan. Èwo nínú wọ́n yóò ṣẹlẹ̀ dá lórí ohun tí ọ̀nà yára ń fò, àti pé ìyẹn yàtọ̀ láàrín firmware, ẹ̀yà kernel àti irú ìtẹ̀síwájú tí a ń lò. Àwòrán ètò kì í sábà sọ èwo ni o ṣẹ̀ṣẹ̀ pà.

Àwọn ẹ̀sùn méjì yẹ kí a ya sọ́tọ̀ kí a tó dá ẹ̀bi lé ìtẹ̀síwájú náà: pé ìlànà kan dáwọ́ ìmúṣẹ, àti pé kàńtà kan dáwọ́ àtúnṣe. Wọ́n kì í ṣe àkíyèsí kan náà.

Àwọn ìtẹ̀síwájú mẹ́ta ọ̀tọ̀ọ̀tọ̀ ni a dà pọ̀

Offload gbígbé, ìtẹ̀síwájú cryptography àti offload ikanni dátà tunnel jẹ́ àwọn ọ̀nà ọ̀tọ̀ọ̀tọ̀ tí wọ́n sábà pín switch kan. Offload gbígbé ń jẹ́ kí àwọn ìṣàn tí ó ti fìdí múlẹ̀ fò apá kan stack déédé, ìtẹ̀síwájú cryptography ń mú iṣẹ́ cipher pọ́n díẹ̀, offload tunnel sì ń gbé ìkóra-ẹni mọ́ ẹ̀rọ. Router tí ń tẹ̀síwájú ìrìnàjò ìtọ́nisọ́nà déédé lè fi ìrìnàjò tunnel sínú ọ̀nà lọ́ra pátápátá, ìyẹn jẹ́ ìyọrísí iṣẹ́, kì í ṣe ìyípadà ètò. Ìdàkejì sì wà pẹ̀lú, níbi tí a ti ń ṣe offload ìrìnàjò tunnel nígbà tí a ṣì ń ṣàyẹ̀wò ètò yí ká.

Linux flowtables ni ọ̀rọ̀ tí a kọ sílẹ̀ tí ó yẹ kí a kà jùlọ, nítorí pé àwọn ìṣàn tí ó ti fìdí múlẹ̀ lè wà ní ọ̀nà yára. Nígbà náà ìṣirò wọn àti ìtọ́jú ipò wọn yàtọ̀ sí gbígbé àtẹ̀yìnwá, ìdí niyẹn tí àwọn kàńtà fi bẹ̀rẹ̀ sí dàbí àjèjì.

Kàńtà tí ó dáwọ́ ìṣẹ́ ẹ̀sọ́ kì í fi púpọ̀ hàn

Àwọn kàńtà ìlànà ń ka àwọn pákẹ́tì tí ó gbà ìlànà náà kọjá, ìṣàn tí a ṣe offload sì lè má gbà á kọjá mọ́ rárá lẹ́yìn pákẹ́tì àkọ́kọ́. Ìyẹn ń dá kàńtà tí ó dì nígbà tí ìrìnàjò ń lọ, ó sì dàbí ìkọyọ pátápátá bí o bá gbára lé nọ́mbà náà. Ṣíṣàyẹ̀wò kàńtà ṣì wúlò gẹ́gẹ́ bí àmì pé ìṣàn ti kúrò ní ọ̀nà tí a kà. Ìyókù ìwádìí gbọdọ̀ wá láti ibi tí àwọn pákẹ́tì ń lọ gan-an.

Ìdánilẹ́kọ̀ọ́ ìdàkejì kì í ṣẹ́gun bẹ́ẹ̀ náà. Gbígba ẹ̀rọ ìsọ̀rí kì í fi hàn pé àwọn ìlànà ìyọkúrò àti ìtọ́jú ìkùnà rẹ ṣì wà lóòótọ́, nítorí pé ó ń dán ìṣàn kan wò, kì í ṣe ètò náà.

Àwọn ipò mẹ́ta ń pinnu bóyá offload ń ba ètò jẹ́

Ipò àkọ́kọ́ ni bóyá ọ̀nà yára ń gbàdúrà lọ́wọ́ háàkì tí ètò rẹ gbára lé, nítorí ètò tí a fi àmì àti ọ̀nà hàn sábà wà láàyè ju èyí tí a kọ́ lórí àṣẹ́ pákẹ́tì kọ̀ọ̀kan. Èkejì ni bóyá firmware gbà irú àpapọ̀ yẹn lọ́nà rárá, nítorí àwọn ìkọ́ kan máa ń pa offload ní àìfọwọ́sowọ́pọ̀ nígbà tí tunnel tàbí ẹ̀ka firewall ń ṣiṣẹ́. Ẹ̀kẹta ni bóyá ìrìnàjò náà yẹ, nítorí ìtẹ̀síwájú sábà so mọ́ àwọn ìṣàn tí ó ti fìdí múlẹ̀, ó sì lè yọ àwọn pákẹ́tì tí a pín tàbí tí kò ṣàjèjì kúrò. Níbi tí àwọn mẹ́tẹ̀ẹ̀ta bá ti ṣe ojúṣe fún ìtẹ̀síwájú, ètò náà ṣì wà lóòótọ́, níbi tí èkínní bá ti kùnà, kò sí àtúnṣe tí yóò dá a padà.

Ka ìwé olùpèsè fún àpapọ̀ tí o ń ṣiṣẹ́, kì í ṣe fún àwòrán router lápapọ̀. Àwọn ẹ̀yà firmware ń yí àwọn ìdáhùn wọ̀nyí padà ní ìdákẹ́jẹ́.

Dán ètò wò, kì í ṣe ìwọ̀n ìgbéjáde

Wọ̀n ohun tí ètò yẹ kí ó ṣèlérí kí o tó wọ̀n bí ó ṣe ń yára. Àwọn àṣẹ tí ó wà nísàlẹ̀ ń fi hàn bóyá flowtable wà níbẹ̀, ohun tí àtẹ̀lé ìsopọ̀ ń rí, àti ibi tí olùlò ń gbà jáde. Fi ìsopọ̀ tuntun wé lẹ́yìn ìyípadà, nítorí èyí tí ó ti fìdí múlẹ̀ lè pa ọ̀nà rẹ̀ àtijọ́ mọ́.

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

Ìkọ̀ọ̀kan flowtable tí ó bo ìrìnàjò tunnel ń sọ fún ọ pé ọ̀nà yára ń ṣiṣẹ́, àtẹ ìsopọ̀ sì ń fi hàn bóyá a ń tẹ̀lé ìṣàn náà bí o ṣe retí. Ìṣàyẹ̀wò àdírẹ́sì ń jẹ́rìí jáde nígbà tí ètò náà kan ìjáde sí íńtánẹ́ẹ̀tì, nígbà tí ping ń jẹ́rìí ibi ìlú kan tí ó yẹ kí ó ṣì wà lárọ́wọ́tó. Ṣiṣẹ́ àpapọ̀ kan náà pẹ̀lú ìtẹ̀síwájú tí a pa àti lẹ́yìn náà tí a tan, kí o sì fi àwọn ìyọrísí wé, kì í ṣe àwọn àkókò.

Kọ ètò àtẹ̀yìnwá sílẹ̀ kí ìdánwò náà lè yí padà. Ìtọ́nisọ́nà gbogbogbò láti pa offload ní gbogbo ibi ni a kà sí ọ̀nà àyíká, kì í ṣe àwárí.