Les trames jumbo no fan que un camí VPN transporti paquets de 9000 bytes

Vau activar trames de 9000 bytes a la LAN i esperàveu que la VPN anés més ràpida. Va anar més lenta o va deixar de passar transferències grans del tot. Les trames jumbo són un acord de l'enllaç local; no eixamplen el camí que travessa el túnel.

El pressupost utilitzable el fixa la frontera més petita de la ruta, inclosa l'encapsulació que afegeix el túnel.

Què canvien realment les trames jumbo

Una MTU és una propietat d'una interfície. Augmentar-la en un servidor i el seu commutador vol dir que aquests dos poden intercanviar trames més grans sense fragmentació. No diu res del router més enllà del commutador, de l'ISP ni de l'altre costat d'un túnel. Aquests dispositius tenen els seus propis límits, i un paquet que supera un d'ells es descarta o es fragmenta segons unes regles que no heu definit.

Acord local, conseqüències globals. Aquesta és tota la confusió.

L'impost d'encapsulació

Un túnel embolcalla el vostre paquet dins d'un altre. WireGuard sobre IPv4 UDP afegeix uns 60 bytes de sobrecàrrega; el mode UDP d'OpenVPN és del mateix ordre, i IPsec varia segons el mode i els algorismes. Aquests bytes surten del pressupost del camí exterior, no del no-res.

Per tant, un enllaç exterior de 1500 bytes no pot portar un paquet interior de 1500 bytes un cop afegit el capçal del túnel.

Val la pena fer l'aritmètica una vegada. En un camí de 1500 bytes, una interfície WireGuard vol una MTU d'uns 1420 perquè el paquet encapsulat hi càpiga. Posa la interfície interior a 9000 i cada paquet gran necessitarà una fragmentació que el túnel no pot fer, o es descartarà.

Trobeu l'enllaç més petit del camí

Recorreu la ruta i trobeu la MTU més baixa. La LAN sol ser 1500 o 9000, la WAN sol ser 1500, i un enllaç mòbil o PPP pot ser encara més baix. Després resteu la sobrecàrrega del túnel. Si el resultat és més petit que la MTU de la interfície interior, ja teniu la resposta. El descobriment de MTU del camí ho pot trobar automàticament, però només quan es deixen passar els missatges ICMP dels quals depèn.

L'ICMP filtrat és la raó clàssica per la qual una transferència gran s'encalla mentre les peticions petites funcionen bé.

Proveu la dependència de la mida sense ampliar el canvi

Utilitzeu una transferència representativa i conserveu els valors originals per poder-los tornar. ping -M do -s 1472 prova un paquet de 1500 bytes amb el bit DF activat; reduïu la mida fins que passi. Si només fallen els paquets grans, teniu un problema de mida i no d'encaminament.

Compte amb l'offload del costat de l'amfitrió en llegir captures. L'offload de segmentació pot mostrar trames molt més grans que les que van creuar realment el cable, cosa que fa que un camí que funciona sembli trencat i un de trencat sembli bé.

Quan una MTU gran és el disseny correcte

Una xarxa privada controlada pot fer córrer legítimament trames més grans d'extrem a extrem, sempre que tots els dispositius del camí hi estiguin d'acord i la sobrecàrrega del túnel es comptabilitzi. Això és un disseny coordinat amb un valor documentat per enllaç, no un número gran escrit en un client.

Per a una sortida pública corrent, suposeu 1500 o menys i deixeu que el túnel triï una MTU interior segura. RFC 8201 cobreix el descobriment de MTU del camí per al cas IPv6 i és una referència útil sobre com hauria de funcionar la retroalimentació.