Groot pakkette verdwyn oor IPsec terwyl klein pings steeds werk

Afgeleë skulpe bly reageer, klein toetse antwoord, en dan kruip 'n lêerkopie en stol sonder enige fout wat iemand kan aanwys. 'n Ping met 'n groter loonvrag reproduseer dit onmiddellik, en dieselfde oordrag werk van die plaaslike netwerk af. Niks aan die versyfering is stadig nie; sekere pakkette kom nooit aan nie. Twee verskillende splitsings kan daardie kenmerk lewer, en hulle laat verskillende bewyse.

Twee plekke waar 'n pakket verdeel kan word

Voor versyfering kan die router 'n oorgrootte binnerpakket split en elke stuk afsonderlik beskerm. Na versyfering is dit die voltooide buitenste pakket wat verdeel word, en die verre kant moet dit weer saamvoeg voordat dit enigiets kan ontsyfer. Dieselfde simptoom, verskillende werk vir die ontvanger en verskillende knoppe vir jou.

Die onderskeid maak saak, want 'n regstelling wat op die verkeerde kant gemik is, verander 'n getal sonder om die faling te verskuif. 'n Pakket wat by die koppelvlak geweier word, word glad nooit 'n buitenste pakket nie, so geen instelling aan die buitekant kan dit red nie.

Waar die groottebesluit werklik geneem word

'n Tonnelkoppelvlak dra 'n IP MTU, en daardie waarde kan 'n oorgrootte binnerpakket verwerp lank voordat die IPsec-stadium dit sien. Om 'n bis op die buitenste kop te stel, hersien nie daardie vroeëre besluit nie, want die pakket is reeds geweier. Dit is waarom die verhoging van die binner-MTU soms dinge slegter eerder as beter maak. Lees die koppelvlakwaarde en die buitenste gedrag voordat jy enige van die twee verander, want die goedkoopste wysiging is gewoonlik die een wat die simptoom verduidelik.

Kontroleer eers die koppelvlakwaarde, dan die buitenste gedrag. Twee getalle, twee stadiums, en gewoonlik is net een van hulle verantwoordelik.

Die buitenste begroting is nie die binnerbegroting nie

Elke inkapseling spandeer grepe aan kopstukke, en die hoeveelheid hang af van die vervoer, die adresfamilie en of NAT-traversering in die spel is. 'n Binnerpakket wat by die plaaslike skakel pas, kan steeds 'n buitenste pakket lewer wat nie by die pad anderkant pas nie. Meet die oorhoofse koste eerder as om dit te aanvaar, want elke opsionele kop voeg by die rekening. 'n Tonnel met NAT-traversering betaal meer as 'n kaal een, en die verskil is genoeg om 'n oordrag te breek wat gister gewerk het.

Waar die buitenste pakket 'n do-not-fragment-bis dra, laat 'n hop wat dit nie kan aanstuur nie dit val en behoort 'n ICMP-boodskap te stuur. As daardie boodskap iewers gefiltreer word, bly die sender probeer en die gebruiker sien 'n staking sonder verduideliking. Daardie stil val is die gewone rede waarom 'n grootteprobleem as 'n spoedprobleem gerapporteer word.

IPv6 verwyder een van die opsies

IPv6-routers fragmenteer nie in transito nie, so die buitenste pakket pas of verdwyn met 'n Packet Too Big-boodskap. Daardie boodskap word die enigste terugvoerkanaal, en om dit te blokkeer breek padontdekking vir elke groot oordrag wat volg. IPv4-routers kan 'n groot pakket fragmenteer wanneer die bis duidelik is, wat die fout verberg totdat iets anders daardie bis stel.

Op 'n gemengde stapel kan dieselfde tonnel anders optree vir die twee families, en daarom besleg een toets oor IPv4 nie 'n IPv6-klag nie. 'n Kontrole wat een familie oefen, laat die helfte van die antwoord ongemeet.

TCP-segmentbeleid is nie 'n algemene antwoord nie

Om die maksimum segmentgrootte te beperk help TCP-strome, en dit is 'n wettige beheer wanneer die probleem tot hulle beperk is. Dit het geen effek op UDP nie, wat DNS, sommige stemprotokolle en 'n groeiende deel van webverkeer dra.

Pas dit toe en toets dan die werklading wat gefaal het. As die UDP-geval steeds faal, was die segmentbeleid nooit die antwoord nie en het die koppelvlakbegroting steeds aandag nodig. Identifiseer eers die protokol van die falende werklading, kies dan die beheer wat daarby hoort.

Die volgorde om in te werk

Teken die grootste loonvrag aan wat oorleef, dan die koppelvlak-MTU, dan of die buitenste pakket die do-not-fragment-bis dra, en uiteindelik of ICMP-terugvoer die sender bereik. Daardie volgorde vernou die fout sonder om te raai. Hou elke waarneming met 'n tydstempel en 'n eindpunt, want al vier getalle beweeg wanneer die pad verander.

Verander een waarde, toets die oorspronklike oordrag weer en hou die resultaat. 'n Tonnel wat 'n groot toets slaag maar steeds op die toepassing stol, het na 'n ander probleem verskuif, wat vordering is wat werd is om neer te skryf. Die volgende persoon wil eerder die getalle as die gevolgtrekking hê.