MTU, yoxsa MSS? VPN dəyişikliyi əslində nəyi həll edir

Ping-lər keçir, böyük ötürmələr ilişib qalır, tunel isə özünü sağlam elan edir. Biri interfeysin MTU-sunu aşağı salır, başqası MSS-i məhdudlaşdırır və bəzən problem heç kimin qeyd etmədiyi səbəblərdən yox olur. Bu iki rəqəm fərqli obyektləri təsvir edir, ona görə də səhv olanı dəyişmək şansa bənzəyən düzəliş yaradır. Təlimat budur: qatı müəyyənləşdirin, uyğun düzəlişi tətbiq edin, sonra təzə bağlantıda sınaqdan keçirin.

İki rəqəm, iki obyekt

MTU linkə və ya interfeysə aiddir: o, bölünmədən ötürülə bilən ən böyük paketdir. MSS isə TCP-yə aiddir: seqmentin daşıya biləcəyi ən böyük TCP yüküdür və həm TCP, həm də IP başlıqlarını çıxarır. IPv4 ilə işləyən adi Ethernet linkində 1500 baytlıq MTU tanış 1460 baytlıq MSS verir. Bu rəqəmlər fərqli qatları təsvir edir və fərqli mexanizmlərlə mübadilə olunur. Onları qarışdırmaq asandır, çünki hər ikisi baytla ölçülür və hər ikisi 1500-ə yaxındır.

Biri interfeys parametri kimi gəlir. Digəri isə SYN seqmentinin içində seçim kimi gəlir və interfeysinizi heç vaxt görməyən son nöqtələr arasında razılaşdırılır.

Xarici əlavə yük harada yerləşir

VPN daxili paketi başqa bir paketin içərisinə qoyur və xarici paket fiziki yola sığmalıdır. Kapsullaşdırma başlıqları, xarici IP başlığı, nəqliyyat başlığı və hər hansı autentifikasiya etiketi daxili paketin istifadə edə bilmədiyi baytları tutur. Tunel interfeysini 1500-də buraxsanız, xarici paket müntəzəm olaraq yolun daşıya biləcəyindən artıq olur. Parçalama qadağası biti qoyulanda marşrutlaşdırıcı onu atır və ICMP xətası ilə cavab verməlidir; bu xəta süzülürsə, göndərən bundan xəbər tutmur.

Buna görə nasazlıq seçici görünür. Kiçik sorğular tamamlanır, seqmenti dolduran hər şey isə dayanır, çünki yalnız böyük paketlər atılır. Ping-i keçirən tunel məlumat daşıyan tunel deyil.

MSS-in məhdudlaşdırılması və onun tətbiq yeri

MSS məhdudlaşdırması seçilmiş nöqtədən keçərkən SYN seqmentindəki dəyəri yenidən yazır və beləliklə hər iki son nöqtə səbəbini bilmədən daha kiçik yük seçir. Linux-da bu, açıq qayda ilə tətbiq olunan mangle cədvəli hədəfidir və SYN paketlərini nəzərdə tutduğunuz istiqamətdə vurmalıdır. Onu tunel interfeysi və ünvan aralığı ilə məhdudlaşdırın, çünki geniş qayda tunelə heç vaxt girməyən trafikin davranışını dəyişir.

Təsir yalnız TCP-yə aiddir. UDP tətbiqi, QUIC sessiyası və öz datagramlarını quran hər hansı protokol bundan təsirlənmir.

Sabit yolla diaqnostika

Bir anda bir dəyişəni saxlayın. Ölçüsünü özünüz seçdiyiniz paketlə sınaqdan keçirin və nüvə nəticəni gizlətmək əvəzinə bildirsin deyə parçalama qadağası bayrağını qoyun.

Nasazlığın harada başladığını qeyd edin: tunelin içində, tunel interfeysində və ya kapsullaşdırmadan sonra fiziki yolda. Sonra bir rəqəmi dəyişin və başqa deyil, eyni sınağı təkrarlayın. Mövcud bağlantılar razılaşdırdıqları MSS-i saxlayır, ona görə siyasət dəyişikliyi yalnız yeni bağlantıda görünür; buna görə keşlənmiş səhifə heç bir tərəfə sübut deyil. Bir böyük yükləmə işləməyə başlasa, o yol haqqında öyrənmişsiniz, ondakı hər protokol haqqında deyil.

Hər dəyişikliyin həll etmədiyi şeylər

İnterfeysin MTU-sunu aşağı salmaq artıq qurulmuş sessiyanın MSS-ini dəyişmir. MSS-in məhdudlaşdırılması UDP axınına kömək etmir və ICMP xətalarının yalnız bir istiqamətdə süzüldüyü yolu bərpa etmir. Hər dəyişiklik bir problem sinfini həll edir və qalanını olduğu kimi buraxır.

Hansı düzəlişi tətbiq etdiyinizi, harada etdiyinizi və hansı sınağın fərqi göstərdiyini yazın, əks halda növbəti mühəndis ikisini birdən tətbiq edir və hansının vacib olduğunu ayırd etmək qabiliyyətini itirir. Məhdudiyyət real və daimidirsə, onu gizlədən məhdudlaşdırma əvəzinə onu əks etdirən tunel MTU-suna üstünlük verin. Məhdudlaşdırmaq məcburiyyətindəsinizsə, qaydayı məhdud əhatəli və şərhlə buraxın, çünki izah edilməmiş mangle qaydası defolt olaraq daimi olur.