MTU у VPN на iPhone: вызначце ўладальніка, перш чым змяняць лік
Тры пытанні вырашаюць, ці можа праграма, профіль шлюза ці ніхто на тэлефоне змяніць памер. Адкажыце на іх, перш чым пазычаць лік з Mac.
Кожная размова пра памер пакетаў VPN на iPhone урэшце прапануе адну і тую ж каманду Mac для інтэрфейса з іменем ppp0, звычайна з лікам побач. Яна не пераносіцца, і яна не была б правільным сродкам кіравання нават на Mac, калі б гэты інтэрфейс не належаў адпаведнаму злучэнню. На тэлефоне лікам валодае той, хто рэалізуе тунель: аперацыйная сістэма для ўласнага профілю, пастаўшчык пакетнага тунелю для праграмы ці шлюз, калі ўзгадняецца дакументаваны атрыбут. Тры пытанні вырашаюць, з якім з іх вы маеце справу.
Пытанне першае: які кліент працуе
Уласны профіль IKEv2, убудаваны профіль Cisco IPsec і кліент Cisco ад трэцяга боку — гэта тры розныя рэалізацыі з трыма рознымі наборамі падтрыманых атрыбутаў. Тып профілю ў Наладах паказвае, які з іх тэлефон сапраўды запусціў, а спіс праграм — ці ёсць пастаўшчык на шляху наогул. Пачніце адтуль, бо астатняе рашэнне вынікае з гэтага. Калі ў спісе праграм няма пастаўшчыка, тунелем валодае аперацыйная сістэма.
Не выводзьце рэалізацыю з пастаўшчыка шлюза. Галоўны вузел Cisco можа спыняць злучэнні ад кліентаў, якія не маюць нічога агульнага, акрамя імені пастаўшчыка. Здымак экрана старой зборкі на старым выпуску кажа вам, што падтрымлівала тая пара, а не што робіць тэлефон у вашай руцэ.
Пытанне другое: хто валодае значэннем
Apple прадастаўляе ўласцівасць MTU распрацоўшчыкам пакетных тунеляў праз аб'ект налад пашырэння сеткі. Гэта API для пастаўшчыка, які наладжвае ўласны тунель, а не перамыкач, які карыстальнік ці адміністратар можа ўключыць на ўсталяваным кліенце кагосьці іншага. Праграма трэцяга боку можа вырашыць паказаць яго, ігнараваць або жорстка задаць значэнне.
Для ўласнага профілю памер інтэрфейса выбірае аперацыйная сістэма, і тэлефон не прадастаўляе для яго ніякага рэдактара. Для шлюза аддаленага доступу Cisco існуе дакументаваны атрыбут для профілю злучэння, і ці ўжываецца ён, залежыць ад кліента, выпуску і ўзгодненага транспарту. Менавіта ў гэтай шчыліне паміж дакументаваным і выкананым скапіяваны лік ідзе не так.
| Owner | Who can change it | Reachable from the phone |
|---|---|---|
| Packet-tunnel provider | The app vendor through its API | Only if the app exposes a setting |
| Native IKEv2 or Cisco IPsec profile | The operating system | No user control |
| Gateway group policy attribute | The gateway administrator | If the client honours it |
Пытанне трэцяе: ці залежыць сімптом ад памеру наогул
Праблемы з памерам маюць подпіс: дробныя запыты ўдаюцца, вялікія загрузкі або вялікія адказы завісаюць, а тая ж паслуга працуе праз іншую сетку доступу. Фільтраванне, абмежаванне карыснай нагрузкі праграмы і завіслы сервер могуць даць падобную скаргу, таму зафіксуйце адну аперацыю, якая не ўдаецца, побач з той, якая ўдаецца. Запішыце абедзве з часам і памерам, калі праграма паведамляе іх. Без гэтай пары кожнае наступнае змяненне — здагадка.
Правядзіце той жа тэст на Wi-Fi і ў сотавай сетцы. Збой, які ідзе за сеткай, паказвае на шлях; збой, які ідзе за прыладай, паказвае на кліент або профіль, і двум патрэбны розныя ўладальнікі. Выкарыстоўвайце тую ж паслугу і той жа ўліковы запіс для абодвух запускаў, інакш параўнанне вам нічога не скажа.
Чаму рэцэпт для Mac працягвае з'яўляцца
Гады настольных VPN на аснове PPP зрабілі змяненне памеру інтэрфейса законным лакальным абыходным рашэннем, і гэтыя інструкцыі скапіявалі ў мабільныя размовы. На тэлефоне няма ні абалонкі, ні такога імені інтэрфейса, ні захавання пасля перападключэння. Рэцэпт, які вырашыў праблему настольнага камп'ютара ў 2011 годзе, прайшоў значна далей за ўмовы, якія рабілі яго правільным. Мабільныя кліенты не прымаюць ніякай каманды абалонкі для гэтага, што б ні сцвярджала размова.
Разглядайце скапіяванае значэнне як гіпотэзу пра шлях, а не як наладу. Калі меншы памер прымушае перадачу працаваць, а большы надзейна не ўдаецца, у вас ёсць доказы пра шлях; вам усё яшчэ трэба знайсці кампанент, якому дазволена на гэта ўплываць. Гэты пошук звычайна сканчаецца на профілі шлюза або ў пастаўшчыка праграмы і рэдка на тэлефоне.
Транспарт мяняе адказ
Калі сеанс ідзе праз TLS, а не IPsec, дапамагчы можа карэкцыя сегментацыі TCP на шлюзе, бо яна перапісвае абвешчаны памер сегмента для патокаў TCP. Для трафіку UDP яна не робіць нічога, а туды ўваходзіць большая частка сучаснага вэбу, чым чакаюць людзі. Праверце ўзгоднены транспарт, перш чым прапаноўваць змяненне, і ўкажыце ў заяўцы, на які транспарт вы чакаеце ўплыву.
Выяўленне MTU шляху існуе, каб канцавыя пункты маглі даведацца рэальную мяжу замест здагадак. Блакаванне зваротнай сувязі і жорсткае заданне малога памеру абменьвае працоўную вялікую перадачу на пастаянныя схаваныя выдаткі на кожным злучэнні.
Што спытаць у каманды шлюза
Папрасіце тры рэчы: дакладнае імя атрыбута і яго межы, ці выконваюць яго разгорнутыя кліенты, і які транспарт узгадніў сеанс. Змяненне, ужытае да адной групавой палітыкі, можна праверыць; глабальная правака — не, і яна пераносіць рызыку на карыстальнікаў, якія ніколі не паведамлялі пра праблему. Папрасіце таксама спасылку на дакумент, бо імёны атрыбутаў змяняюцца паміж выпускамі.
Затым змяніце адно і паўторна праверце першапачатковую няўдалую аперацыю, а не спампоўку тэсту хуткасці. Захоўвайце запіс да і пасля разам з версіяй кліента і сеткай доступу, каб наступную справаздачу можна было параўнаць, а не абмяркоўваць нанова.
Калі аперацыя ўсё яшчэ не ўдаецца пры першапачатковым памеры, то памер не быў прычынай. Запішыце і гэтую выснову, каб наступны чалавек не адкрыў тую ж гіпотэзу зноў.