Velké pakety přes IPsec mizí, malé pingy stále fungují

Vzdálené shelly zůstávají responzivní, malé sondy odpovídají, a pak se kopírování souboru plazí a zasekne bez chyby, na kterou by se dalo ukázat. Ping s větším užitečným zatížením to okamžitě reprodukuje a stejný přenos funguje z lokální sítě. Na šifrování není nic pomalého; určité pakety prostě nedorazí. Dvě různá dělení mohou dát tento znak a zanechávají různé důkazy.

Dvě místa, kde lze paket rozdělit

Před šifrováním může router rozdělit příliš velký vnitřní paket a každou část chránit zvlášť. Po šifrování se dělí hotový vnější paket a vzdálená strana ho musí znovu složit, než cokoli dešifruje. Stejný příznak, jiná práce pro příjemce a jiné páčky pro vás.

Rozdíl je důležitý, protože oprava zaměřená na špatnou stranu změní číslo, aniž by se závada pohnula. Paket odmítnutý na rozhraní se nikdy nestane vnějším paketem, takže ho žádné nastavení na vnější straně nezachrání.

Kde se rozhodnutí o velikosti skutečně děje

Rozhraní tunelu nese IP MTU a tato hodnota může odmítnout příliš velký vnitřní paket dávno předtím, než ho uvidí fáze IPsec. Nastavení bitu ve vnější hlavičce to dřívější rozhodnutí nepřezkoumá, protože paket už byl odmítnut. Proto zvýšení vnitřního MTU někdy věci zhorší, místo aby je zlepšilo. Přečtěte si hodnotu rozhraní a vnější chování, než změníte kterékoli z nich, protože levnější úprava bývá ta, která příznak vysvětluje.

Nejprve zkontrolujte hodnotu rozhraní, potom vnější chování. Dvě čísla, dvě fáze a obvykle je odpovědné jen jedno z nich.

Vnější rozpočet není vnitřní rozpočet

Každá enkapsulace spotřebuje bajty na hlavičky a množství závisí na transportu, rodině adres a na tom, zda je ve hře NAT traversal. Vnitřní paket, který se vejde do lokálního spoje, může stále vytvořit vnější paket, který se nevejde do cesty za ním. Režii změřte, místo abyste ji předpokládali, protože každá volitelná hlavička se přičítá k účtu. Tunel s NAT traversal platí víc než holý a rozdíl stačí na to, aby rozbil přenos, který včera fungoval.

Když vnější paket nese bit zákazu fragmentace, skok, který ho nemůže předat, ho zahodí a měl by vrátit zprávu ICMP. Pokud je tato zpráva někde filtrována, odesílatel dál opakuje pokusy a uživatel vidí zaseknutí bez vysvětlení. To tiché zahazování je obvyklý důvod, proč se problém velikosti hlásí jako problém rychlosti.

IPv6 odstraňuje jednu z možností

Routery IPv6 ve tranzitu nefragmentují, takže vnější paket se buď vejde, nebo zmizí se zprávou Packet Too Big. Tato zpráva se stane jediným kanálem zpětné vazby a její blokování rozbije objevování cesty pro každý další velký přenos. Routery IPv4 mohou velký paket fragmentovat, když je bit čistý, což závadu skrývá, dokud ho něco jiného nenastaví.

Na smíšeném zásobníku se stejný tunel může chovat různě pro obě rodiny, a proto jeden test přes IPv4 nevyřeší stížnost na IPv6. Kontrola, která procvičí jednu rodinu, nechává polovinu odpovědi nezměřenou.

Zásada segmentů TCP není obecná odpověď

Omezení maximální velikosti segmentu pomáhá tokům TCP a je legitimní kontrolou, když je problém omezen na ně. Na UDP nemá vliv, přitom UDP nese DNS, některé hlasové protokoly a rostoucí podíl webového provozu.

Nasaďte ji, pak otestujte zátěž, která selhala. Pokud případ UDP stále selhává, zásada segmentů nikdy nebyla odpovědí a rozpočet rozhraní stále potřebuje pozornost. Nejprve určete protokol selhávající zátěže, potom vyberte kontrolu, která k němu patří.

Pořadí práce

Zaznamenejte největší zatížení, které přežije, pak MTU rozhraní, pak zda vnější paket nese bit zákazu fragmentace, a nakonec zda se zpětná vazba ICMP dostane k odesílateli. Tato posloupnost zužuje závadu bez hádání. U každého pozorování uchovejte časové razítko a koncový bod, protože všechna čtyři čísla se hýbou, když se cesta změní.

Změňte jednu hodnotu, znovu otestujte původní přenos a výsledek si ponechte. Tunel, který projde velkou sondou, ale na aplikaci se stále zasekává, přešel k jinému problému, a to je pokrok, který stojí za zapsání. Další člověk raději uvidí čísla než závěr.