MTU de la VPN a l'iPhone: tria el propietari abans de canviar un número
Tres preguntes decideixen si l'aplicació, el perfil de la passarel·la o ningú al telèfon pot canviar la mida. Responeu-les abans de manllevar un número del Mac.
Cada fil sobre la mida dels paquets de la VPN a l'iPhone acaba oferint la mateixa ordre del Mac contra una interfície anomenada ppp0, normalment amb un número adjunt. No es trasllada, i no seria el control correcte ni tan sols al Mac tret que aquella interfície pertanyés a la connexió en qüestió. Al telèfon, el número el posseeix qui implementa el túnel: el sistema operatiu per a un perfil natiu, un proveïdor de túnel de paquets per a una aplicació, o la passarel·la quan es negocia un atribut documentat. Tres preguntes resolen amb quin d'aquests tracteu.
Pregunta u: quin client s'executa
Un perfil IKEv2 natiu, el perfil Cisco IPsec integrat i un client Cisco de tercers són tres implementacions diferents amb tres conjunts diferents d'atributs compatibles. El tipus de perfil a Configuració us diu quin ha iniciat realment el telèfon, i la llista d'aplicacions us diu si hi ha cap proveïdor al camí. Comenceu per aquí, perquè la resta de la decisió se'n deriva. Si no apareix cap proveïdor a la llista d'aplicacions, el sistema operatiu posseeix el túnel.
No deduïu la implementació del fabricant de la passarel·la. Un capçal Cisco pot acabar connexions de clients que no comparteixen res més que el nom del fabricant. Una captura d'una versió antiga en un llançament antic us diu què suportava aquell parell, no què fa el telèfon que teniu a la mà.
Pregunta dos: qui posseeix el valor
Apple exposa una propietat MTU als desenvolupadors de túnels de paquets mitjançant l'objecte de configuració de l'extensió de xarxa. És una API per al proveïdor que configura el seu propi túnel, no un interruptor que un usuari o un administrador pugui activar al client instal·lat d'una altra persona. Una aplicació de tercers pot triar exposar-lo, ignorar-lo o codificar un valor directament.
Per a un perfil natiu, el sistema operatiu tria la mida de la interfície, i el telèfon no exposa cap editor per a això. Per a una passarel·la Cisco d'accés remot hi ha un atribut documentat per al perfil de connexió, i si s'aplica depèn del client, del llançament i del transport negociat. Aquesta escletxa entre allò documentat i allò respectat és on un número copiat falla.
| Owner | Who can change it | Reachable from the phone |
|---|---|---|
| Packet-tunnel provider | The app vendor through its API | Only if the app exposes a setting |
| Native IKEv2 or Cisco IPsec profile | The operating system | No user control |
| Gateway group policy attribute | The gateway administrator | If the client honours it |
Pregunta tres: el símptoma depèn de la mida, almenys
Els problemes de mida tenen una signatura: les sol·licituds petites tenen èxit, les càrregues grans o les respostes grans es pengen, i el mateix servei funciona en una altra xarxa d'accés. El filtratge, un límit de càrrega útil de l'aplicació i un servidor encallat poden produir una queixa semblant, així que enregistreu l'operació que falla al costat d'una que funcioni. Escriviu totes dues amb hores i mides si l'aplicació les indica. Sense aquest parell, cada canvi posterior és una conjectura.
Feu la mateixa prova amb Wi-Fi i amb dades mòbils. Una fallada que segueix la xarxa assenyala el camí; una que segueix el dispositiu assenyala el client o el perfil, i les dues necessiten propietaris diferents. Feu servir el mateix servei i el mateix compte per a les dues execucions, o la comparació no us diu res.
Per què la recepta del Mac no para d'aparèixer
Anys de VPN d'escriptori basades en PPP van fer del canvi de mida de la interfície una solució local legítima, i aquelles instruccions es van copiar cap als fils de mòbil. Al telèfon no hi ha intèrpret d'ordres, ni cap nom d'interfície així, ni persistència després d'una reconnexió. Una recepta que va resoldre un problema d'escriptori el 2011 va viatjar molt més enllà de les condicions que la feien certa. Els clients mòbils no accepten cap ordre d'intèrpret per a això, digui el que digui el fil.
Tracteu el valor copiat com una hipòtesi sobre un camí, no com una configuració. Si una mida més petita fa funcionar una transferència i una de més gran falla de manera fiable, teniu proves sobre el camí; encara heu de trobar el component a qui es permet actuar-hi. Aquesta recerca sol acabar al perfil de la passarel·la o al fabricant de l'aplicació, i rares vegades al telèfon.
El transport canvia la resposta
Si la sessió funciona sobre TLS en lloc d'IPsec, un ajust de segmentació TCP a la passarel·la pot ajudar, perquè reescriu la mida de segment anunciada per als fluxos TCP. No fa res per al trànsit UDP, que inclou més part del web modern del que la gent espera. Comproveu el transport negociat abans de proposar el canvi, i indiqueu al tiquet a quin transport espereu que afecti.
El descobriment de MTU del camí existeix perquè els extrems aprenguin el límit real en lloc d'endevinar-lo. Bloquejar la retroalimentació i codificar una mida petita canvia una transferència gran que funciona per un cost permanent i ocult a cada connexió.
Què preguntar a l'equip de la passarel·la
Demaneu tres coses: el nom exacte de l'atribut i el seu abast, si els clients desplegats el respecten, i quin transport ha negociat la sessió. Un canvi aplicat a una política de grup és provable; una edició global no ho és, i trasllada el risc a usuaris que mai no han denunciat cap problema. Demaneu també la referència del document, perquè els noms dels atributs canvien entre llançaments.
Aleshores canvieu una cosa i torneu a provar l'operació original que falla, no una descàrrega de prova de velocitat. Guardeu el registre d'abans i després amb la versió del client i la xarxa d'accés, perquè l'informe següent es pugui comparar en lloc de tornar a discutir.
Si l'operació encara falla amb la mida original, la mida no era la causa. Enregistreu també aquesta conclusió, perquè la propera persona no torni a obrir la mateixa hipòtesi.