Jumbo-raamwerke laat nie toe dat 'n VPN-roete 9000-greep-pakkette dra nie

Jy het 9000-greep-raamwerke op die LAN geaktiveer en verwag die VPN sal vinniger word. Dit het stadiger geword, of het opgehou om groot oordragte deur te laat. Jumbo-raamwerke is 'n plaaslike skakelooreenkoms; hulle vergroot nie die pad wat die tonnel oorsteek nie.

Die bruikbare begroting word deur die kleinste grens op die roete bepaal, insluitend die inkapseling wat die tonnel byvoeg.

Wat jumbo-raamwerke werklik verander

'n MTU is 'n eienskap van een koppelvlak. Om dit op 'n bediener en sy skakelaar te verhoog, beteken dat daardie twee groter raamwerke sonder fragmentering kan uitruil. Dit sê niks oor die router anderkant die skakelaar, die ISP, of die ander kant van 'n tonnel nie. Daardie toestelle het hul eie perke, en 'n pakket wat een van hulle oorskry, word volgens reëls wat jy nie gestel het nie, laat vaar of gefragmenteer.

Plaaslike ooreenkoms, globale gevolge. Dit is die hele verwarring.

Die inkapselingsbelasting

'n Tonnel draai jou pakket binne 'n ander een. WireGuard oor IPv4 UDP voeg ongeveer 60 grepe oorhoof by; OpenVPN se UDP-modus is in dieselfde omvang, en IPsec wissel met modus en algoritmes. Daardie grepe kom uit die buitenste pad se begroting, nie uit die lug nie.

Dus kan 'n buitenste skakel van 1500 grepe nie 'n binnerpakket van 1500 grepe dra sodra 'n tonnelopskrif bygevoeg word nie.

Die rekenkunde is werd om een keer te doen. Op 'n pad van 1500 grepe wil 'n WireGuard-koppelvlak 'n MTU van ongeveer 1420 hê sodat die ingekapselde pakket pas. Stel die binne-koppelvlak op 9000 en elke groot pakket benodig fragmentering wat die tonnel nie kan doen nie, of word laat vaar.

Vind die kleinste skakel op die pad

Stap die roete en vind die laagste MTU. Die LAN is gewoonlik 1500 of 9000, die WAN is gewoonlik 1500, en 'n mobiele of PPP-skakel kan nog laer wees. Trek dan die tonnel-oorhoof af. As die resultaat kleiner is as die binne-koppelvlak se MTU, het jy jou antwoord. Pad-MTU-ontdekking kan dit outomaties vind, maar net wanneer die ICMP-boodskappe waarvan dit afhang, deurgelaat word.

Gefiltreerde ICMP is die klassieke rede waarom 'n groot oordrag hang terwyl klein versoeke fyn werk.

Toets grootte-afhanklikheid sonder om die verandering te verbreed

Gebruik 'n verteenwoordigende oordrag en bewaar die oorspronklike waardes sodat jy dit kan terugsit. ping -M do -s 1472 toets 'n pakket van 1500 grepe met die DF-bis ingestel; verklein die grootte totdat dit deurgaan. As net groot pakkette misluk, het jy 'n grootteprobleem eerder as 'n roeteprobleem.

Pas op vir gasheer-ontlading wanneer jy opnames lees. Segmenteringsontlading kan raamwerke wys wat veel groter is as wat werklik oor die draad gegaan het, wat 'n werkende pad laat lyk asof dit stukkend is en 'n stukkende een asof dit reg is.

Wanneer 'n groot MTU die regte ontwerp is

'n Beheerde private netwerk kan wettiglik groter raamwerke van punt tot punt laat loop, mits elke toestel op die pad saamstem en die tonnel-oorhoof verreken word. Dit is 'n gekoördineerde ontwerp met 'n gedokumenteerde waarde per skakel, nie een groot nommer wat in 'n kliënt ingetik word nie.

Vir 'n gewone openbare uitgang, aanvaar 1500 of minder en laat die tonnel 'n veilige binne-MTU kies. RFC 8201 dek pad-MTU-ontdekking vir die IPv6-geval en is 'n nuttige verwysing vir hoe die terugvoer veronderstel is om te werk.