IPv6 paketi çox böyükdür: böyük VPN ötürmələri niyə dayanır

Ping işləyir, brauzer kiçik səhifə açır, fayl ötürməsi isə donur — hamısı eyni tuneldən IPv6 üzərindən. Bu mənzərə adətən göndərənin yolun həqiqi ölçüsünü heç vaxt öyrənmədiyini bildirir, tunelin yavaş olmasını yox. IPv6 marşrutlaşdırıcılardan problemi Packet Too Big mesajı ilə bildirməsini gözləyir və inkapsulyasiya paket xarici şəbəkəyə çatmadan əlavə yük yaradır. Həmin mesaj süzülürsə, göndərən keçə bilməyən ölçünü təkrar-təkrar göndərməyə davam edir.

Kiçik sorğular, böyük dayanmalar

Tunnel hər paketi başqa başlığa bükür, buna görə içəridə istifadə oluna bilən ölçü çöldəkindən kiçikdir. İnkapsulyasiyadan əvvəl fiziki əlaqəyə uyğun ölçülən paket sonradan çox böyük olur. IPv4 marşrutlaşdırıcıları yolda fraqmentləşdirə bilər, IPv6 marşrutlaşdırıcıları isə bunu göndərənin adından etmir, ona görə göndərən özü uyğunlaşmalıdır. Bu uyğunlaşma tamamilə əks əlaqənin alınmasından asılıdır.

Tək bir itirilmiş mesaj klassik simptomu yaratmağa kifayətdir: əl sıxmalar və kiçik cavablar uğurlu olur, kataloq siyahısı və ya yükləmə isə hər dəfə eyni nöqtədə dayanır. İstifadəçilər bunu VPN-in yavaş olması kimi təsvir edir, jurnallar isə autentifikasiyada heç bir qüsur göstərmir. Hər iki müşahidə düzgündür və heç biri nasazlığın yerini müəyyən etmir.

Packet Too Big əks əlaqədir, trafik deyil

ICMPv6 Packet Too Big mesajı növbəti hopun qəbul edə biləcəyi ölçünü daşıyır və göndərən bundan öz təxminini azaltmaq üçün istifadə edir. Onu süzmək yol nişanını götürüb sonra sürücüləri günahlandırmaqla eynidir. Bütün ICMPv6-nı atan qayda ciddi görünür, amma ona ehtiyac duyan hər əlaqədə yol kəşfini pozur. Mesaj yol haqqında nəzarət məlumatıdır, tətbiq yükü deyil.

Seçici süzgəcləmə hələ də məqbuldur. Exo sorğuları və qonşu kəşfi xəta mesajlarından fərqli rol oynayır və siyasət onlara fərqli yanaşa bilər. Bütün protokolu qəbul etmək və ya atmaq əvəzinə platformanın sənədləşdirilmiş süzgəcləmə təlimatına əməl edin, çünki RFC 8201 bu əks əlaqənin kəşfi necə idarə etdiyini müəyyənləşdirir.

Hər iki ünvan ailəsini ayrıca yoxlayın

IPv6-nı tək yoxlayın, çünki uğurlu IPv4 ötürməsi IPv6 yolu haqqında heç nə sübut etmir. Sonra böyük ötürmə dayanarkən nəzarət mesajlarını tutun. İki qeyd birlikdə ya əks əlaqənin çıxdığını göstərir, ya da heç vaxt çatmadığını sübut edir.

ping -6 -M do -s 1400 host.internal
ip -6 route get 2001:db8:2::10
sudo tcpdump -ni any 'icmp6 and ip6[40] == 2'

Prob paketi do-not-fragment biti qurulmuş halda göndərir və uğursuz olduğu ölçünü bildirir; bu, tunelin yerləşdirməli olduğu rəqəmdir. Marşrut sorğusu təyinatı daşıyacaq interfeysi göstərir, beləliklə hansı əlaqənin MTU-sunun tətbiq olunduğunu bilirsiniz. Tutma ICMPv6 tip 2-ni, yəni Packet Too Big mesajını süzür və onun bu hosta ümumiyyətlə çatıb-çatmadığını göstərir. Mesaj tutmada görünürsə və ötürmə yenə dayanırsa, göndərən onu nəzərə almır, bu da araşdırmanı şəbəkədən yığıma keçirir.

Tunnel ölçüsünü yalnız sübutdan sonra dəyişin

Tunelin MTU-sunu azaltmaq süzülmüş mesajı gizlədə və simptomu yox edə bilər, amma bunun qiyməti hər paketə düşən əlavə yükdür. Bu, diaqnoz deyil, müvəqqəti həlldir və tutmanı əvəz etmək əvəzinə ondan sonra gəlməlidir. Təsadüfi aşağı dəyər də görünən heç nəyi pozmur, buna görə illərlə konfiqurasiyalarda qalır. Onu qəsdən dəyişin, dəyəri qeyd edin və hansı ölçmənin bunu əsaslandırdığını yazın.

Şlüzə nəzarət etdiyiniz halda, firewall-u söndürmək əvəzinə mesajı atan qaydayı yoxlayın. Düzəldilmiş bir qayda siyasət istisnasından daha dardır və sonradan müdafiə etmək çox asandır. Eyni məntiq fasilələrə də aiddir: hər dayanma ölçü problemi deyil və ikisini ayıran şey tutmadır.