Els paquets grans desapareixen per IPsec mentre els pings petits continuen funcionant

Els intèrprets remots continuen responent, les sondes petites responen, i llavors una còpia de fitxer s'arrossega i s'encalla sense cap error assenyalable. Un ping amb una càrrega més gran ho reprodueix a l'instant, i la mateixa transferència funciona des de la xarxa local. No hi ha res lent en el xifratge; alguns paquets no arriben mai. Dues divisions diferents poden produir aquest senyal i deixen proves diferents.

Dos llocs on es pot dividir un paquet

Abans del xifratge, l'encaminador pot dividir un paquet intern massa gran i protegir cada tros per separat. Després del xifratge, el que es divideix és el paquet extern acabat, i l'extrem llunyà l'ha de recompondre abans de desxifrar res. Mateix símptoma, feina diferent per al receptor i controls diferents per a vós.

La distinció importa perquè una correcció adreçada al costat equivocat canvia un número sense moure la fallada. Un paquet rebutjat a la interfície no arriba mai a ser un paquet extern, així que cap paràmetre del costat extern el pot salvar.

On es pren realment la decisió de mida

Una interfície de túnel porta una IP MTU, i aquest valor pot rebutjar un paquet intern massa gran molt abans que l'etapa IPsec el vegi. Posar un bit a la capçalera externa no revisa aquella decisió anterior, perquè el paquet ja havia estat rebutjat. Per això pujar la MTU interna de vegades empitjora les coses en lloc de millorar-les. Llegiu el valor de la interfície i el comportament extern abans de canviar cap dels dos, perquè l'edició més barata sol ser la que explica el símptoma.

Comproveu primer el valor de la interfície, després el comportament extern. Dos números, dues etapes, i normalment només una de les dues és la responsable.

El pressupost extern no és el pressupost intern

Cada encapsulació gasta bytes en capçaleres, i la quantitat depèn del transport, de la família d'adreces i de si hi ha traversal de NAT. Un paquet intern que cap a l'enllaç local encara pot produir un paquet extern que no cap al camí més enllà. Mesureu la sobrecàrrega en lloc de suposar-la, perquè cada capçalera opcional s'afegeix al compte. Un túnel amb traversal de NAT paga més que un de nu, i la diferència n'hi ha prou per trencar una transferència que ahir funcionava.

Quan el paquet extern porta el bit de no fragmentar, un salt que no el pot reenviar el descarta i hauria de tornar un missatge ICMP. Si aquest missatge es filtra en algun lloc, l'emissor continua reintentant i l'usuari veu una aturada sense explicació. Aquest descart silenciós és la raó habitual que un problema de mida es reporti com un problema de velocitat.

IPv6 elimina una de les opcions

Els encaminadors IPv6 no fragmenten en trànsit, així que el paquet extern o hi cap o desapareix amb un missatge Packet Too Big. Aquest missatge es converteix en l'únic canal de retroalimentació, i bloquejar-lo trenca el descobriment de camí per a cada transferència gran que vingui després. Els encaminadors IPv4 poden fragmentar un paquet gran quan el bit està clar, cosa que amaga la fallada fins que una altra cosa posa aquest bit.

En una pila mixta, el mateix túnel pot comportar-se diferent per a les dues famílies, i per això una prova sobre IPv4 no resol una queixa sobre IPv6. Una comprovació que exerceix una família deixa la meitat de la resposta sense mesurar.

La política de segments TCP no és una resposta general

Limitar la mida màxima del segment ajuda els fluxos TCP, i és un control legítim quan el problema s'hi limita. No té cap efecte sobre UDP, que porta DNS, alguns protocols de veu i una part creixent del trànsit web.

Apliqueu-lo i després proveu la càrrega que va fallar. Si el cas UDP continua fallant, la política de segments mai no va ser la resposta i el pressupost de la interfície encara necessita atenció. Identifiqueu primer el protocol de la càrrega que falla i llavors trieu el control que li pertoca.

L'ordre de treball

Anoteu la càrrega més gran que sobreviu, després la MTU de la interfície, després si el paquet extern porta el bit de no fragmentar i finalment si la retroalimentació ICMP arriba a l'emissor. Aquesta seqüència estreta la fallada sense endevinar. Guardeu cada observació amb una marca de temps i un extrem, perquè tots quatre números es mouen quan canvia el camí.

Canvieu un valor, torneu a provar la transferència original i guardeu el resultat. Un túnel que passa una sonda gran però encara s'encalla a l'aplicació ha passat a un altre problema, i això és un progrés que val la pena anotar. La propera persona prefereix els números a la conclusió.