Вялікія пакеты знікаюць праз IPsec, а малыя ping працуюць

Аддаленыя абалонкі застаюцца спагадлівымі, малыя праверкі адказваюць, а затым капіраванне файла паўзе і затынаецца без памылкі, на якую можна паказаць. Ping з большым нагрузам узнаўляе гэта імгненна, і тая ж перадача працуе з лакальнай сеткі. Нішто ў шыфраванні не павольнае; пэўныя пакеты проста не даходзяць. Два розныя падзелы могуць даць гэтую прыкмету, і яны пакідаюць розныя сведчанні.

Два месцы, дзе пакет можна падзяліць

Да шыфравання маршрутызатар можа падзяліць завялікі ўнутраны пакет і абараніць кожную частку асобна. Пасля шыфравання дзеліцца ўжо гатовы знешні пакет, і далёкі бок павінен сабраць яго зноў, перш чым нешта расшыфраваць. Тыя ж сімптомы, іншая праца для атрымальніка і іншыя рычагі для вас.

Розніца важная, бо выпраўленне, накіраванае на няправільны бок, змяняе лік, не зрушваючы збой. Пакет, адхілены на інтэрфейсе, ніколі не становіцца знешнім пакетам, таму ніякая налада знешняга боку не выратуе яго.

Дзе насамрэч прымаецца рашэнне пра памер

Інтэрфейс тунеля нясе IP MTU, і гэта значэнне можа адхіліць завялікі ўнутраны пакет задоўга да таго, як яго ўбачыць этап IPsec. Устаноўка біта ў знешнім загалоўку не пераглядае тое ранейшае рашэнне, бо пакет ужо адхілены. Таму павышэнне ўнутранага MTU часам робіць горш, а не лепш. Прачытайце значэнне інтэрфейса і знешнія паводзіны, перш чым змяняць любое з іх, бо больш танкая праўка звычайна і тлумачыць сімптом.

Спачатку праверце значэнне інтэрфейса, затым знешнія паводзіны. Два лікі, два этапы, і звычайна адказны толькі адзін з іх.

Знешні бюджэт — не ўнутраны бюджэт

Кожная інкапсуляцыя выдаткавае байты на загалоўкі, і колькасць залежыць ад транспарту, сямейства адрасоў і таго, ці задзейнічана NAT-транзіт. Унутраны пакет, які змяшчаецца ў лакальным канале, можа ўсё адно даць знешні пакет, які не змяшчаецца ў шлях за ім. Вымярайце накладныя выдаткі, а не дапушчайце іх, бо кожны неабавязковы загаловак дадаецца да рахунку. Тунель з NAT-транзітам плаціць больш, чым голы, і розніцы дастаткова, каб зламаць перадачу, якая працавала ўчора.

Калі знешні пакет нясе біт забароны фрагментацыі, хоп, які не можа яго перадаць, скідае яго і павінен вярнуць паведамленне ICMP. Калі гэтае паведамленне дзесьці фільтруецца, адпраўнік працягвае паўтараць спробы, і карыстальнік бачыць затын без тлумачэння. Гэтае маўклівае скідванне — звычайная прычына, чаму праблему памеру паведамляюць як праблему хуткасці.

IPv6 прыбірае адзін з варыянтаў

Маршрутызатары IPv6 не фрагментуюць у транзіце, таму знешні пакет або змяшчаецца, або знікае з паведамленнем Packet Too Big. Гэтае паведамленне становіцца адзіным каналам зваротнай сувязі, і яго блакаванне ламае выяўленне шляху для кожнай наступнай вялікай перадачы. Маршрутызатары IPv4 могуць фрагментаваць вялікі пакет, калі біт ясны, што хавае няспраўнасць, пакуль нешта іншае не ўсталюе гэты біт.

На змяшаным стэку адзін і той жа тунель можа паводзіць сябе па-рознаму для двух сямействаў, таму адзін тэст праз IPv4 не вырашае скаргі пра IPv6. Праверка, якая выпрабоўвае адно сямейства, пакідае палову адказу невымеранай.

Палітыка сегментаў TCP — не агульны адказ

Абмежаванне максімальнага памеру сегмента дапамагае плыням TCP, і гэта законнае кіраванне, калі праблема абмяжоўваецца імі. Яно не ўплывае на UDP, які нясе DNS, некаторыя галасавыя пратаколы і долю вэб-трафіку, што расце.

Ужыць яго, затым праверыць нагрузку, якая не спрацавала. Калі выпадак UDP усё яшчэ не працуе, палітыка сегментаў ніколі не была адказам, і бюджэт інтэрфейса ўсё яшчэ патрабуе ўвагі. Спачатку вызначце пратакол збойнай нагрузкі, затым выбірайце кіраванне, якое да яго належыць.

Парадак працы

Запішыце найбольшую нагрузку, якая выжывае, затым MTU інтэрфейса, затым ці нясе знешні пакет біт забароны фрагментацыі, і нарэшце ці даходзіць зваротная сувязь ICMP да адпраўніка. Гэтая паслядоўнасць звужае збой без здагадак. Захоўвайце кожнае назіранне з адзнакай часу і канчатковым пунктам, бо ўсе чатыры лікі зрушваюцца, калі шлях змяняецца.

Змяніце адно значэнне, паўторна праверце зыходную перадачу і захавайце вынік. Тунель, які праходзіць вялікую праверку, але ўсё яшчэ затынаецца на праграме, перайшоў да іншай праблемы, і гэта прагрэс, які варта запісаць. Наступны чалавек хутчэй захоча лікі, чым выснову.