Twneli VPN nythog: pam mae’r un mewnol yn stopio ar becynnau mawr

Mae DNS yn datrys, mae’r sesiwn SSH yn aros i fyny, ac yna mae llwythiad mawr yn rhewi tra bod ping i’r un gwesteiwr yn dal i ateb. Mae’r rhaniad hwnnw’n pwyntio at faint y pecyn yn hytrach nag at dwnnel toredig. Mae twneli nythog yn cyrraedd hynny ar feintiau na fyddai’r un twnnel yn eu cyrraedd ar ei ben ei hun. Mae’r sesiwn fewnol yn iawn; rhoddir pecynnau iddi nad ydynt yn ffitio mwyach.

I ble mae MTU’r llwybr yn mynd mewn gwirionedd

Mae pob encapswleiddiad yn gwario beitiau cyn i’r haen nesaf gael ei thro. Mae llwybr Ethernet yn cynnig 1500 beit i’r pecyn allanol, ac mae’r twnnel allanol yn cymryd ei ran cyn y gellir cyfeirio unrhyw beth y tu mewn iddo. Bydd un gwerth gorbenyn a ddyfalwyd yn anghywir yn union o’r swm sy’n bwysig.

Rhestrwch yr haenau mewn trefn: llwybr mynediad, cludiant allanol, twnnel allanol, cludiant mewnol, twnnel mewnol, cymhwysiad. Cyfrifwch bob pennawd unwaith, a chadwch UDP ar wahân i bennawd a thag y twnnel ei hun.

Dwy haen WireGuard, wedi’u cyfrif unwaith

Cymerwch lwybr mynediad IPv4 gydag un twnnel WireGuard y tu mewn i un arall. Mae’r haen allanol yn costio 20 beit o IPv4, 8 o UDP a 32 am bennawd data WireGuard ynghyd â’i dag dilysu. Y tu mewn i hynny, mae’r twnnel mewnol angen ei bennawd IPv4 20 beit ei hun a phennawd UDP 8 beit cyn ei ail 32 beit o orbenyn WireGuard. Mae’r hyn sy’n weddill yn dal pennawd IPv4, pennawd TCP a’r data. Mae llwybr allanol IPv6 yn costio 40 yn lle 20 ac yn gadael 1320.

Mae’r rhifyddeg yn glanio ar 1340 beit. Mae un haen o dan yr un rheolau yn gadael 1400 ar gyfer llwyth defnyddiol TCP, sef 1500 minws 20, 8, 32, 20 a 20, ac mae’r gwahaniaeth o 60 beit yn union yr encapswleiddiad mewnol y mae’r ail dwnnel yn ei ychwanegu.

Rhowch 1400 ar lwybr nythog ac mae’r twnnel mewnol 60 beit yn fyr, yn anweledig nes bod pecyn yn ddigon mawr i’w hangen. Mae padio a’r opsiwn darnio sydd gan y protocol ei hun yn symud y ffigurau eto, felly ymddiriedwch yn y tabl.

Mae MTU, MSS a darnio yn gweithredu mewn gwahanol leoedd

Mae MTU rhyngwyneb yn capio’r hyn y bydd y rhyngwyneb yn ei ollwng, tra bod clampio MSS mewn TCP yn newid yr hyn y mae cymar TCP yn fodlon ei anfon. Mae clampio yn trwsio sesiynau TCP ac yn gwneud dim i ddatagram UDP mawr, a dyna sut mae atgyweiriad yn edrych yn llwyddiannus i un cymhwysiad ac yn methu’r nesaf yn dawel. Mae’r opsiwn darnio sydd gan y protocol ei hun yn drydedd lifer â’i methiannau ei hun. MTU rhyngwyneb yw’r symudiad cyntaf cyffredin a’r un mwyaf di-lun.

Mae twneli pont ac wedi’u llwybro yn cario ffrâm gwahanol, felly anaml y mae ffigurau o osodiad arall yn trosglwyddo. Mae darganfod MTU llwybr, a ddisgrifir yn RFC 8201, yn helpu dim ond tra bo’r negeseuon ICMP y mae’n dibynnu arnynt yn cael mynd trwodd.

Dod o hyd i’r haen sy’n brin

Gwiriwch bob twnnel ar wahân cyn eu nythu, os yw’r gofynion yn caniatáu cymhariaeth. Mae prawf maint sefydlog yn setlo hyn: ping -M do -s 1472 -c 3 10.8.0.1 yn anfon pecyn IPv4 1500 beit llawn y tu mewn i’r haen honno. Ychwanegwch yr ail haen a ailadroddwch yr un prawf, fel bod unrhyw fethiant yn perthyn i newid hysbys.

Pan fydd trosglwyddiad yn stopio, newidiwch un paramedr dogfennedig ar y tro a chofnodwch y maint sy’n methu. Gwiriwch y llwybr dychwelyd hefyd, oherwydd gall ailadrodd llwybrau nythog ddynwared problem maint pecyn yn ddigon agos i gostio prynhawn. Gall ateb ICMP wedi’i hidlo guddio’r terfyn go iawn, felly mae’r prawf yn bwysicach na’r rhesymu.

Ysgrifennwch y gyllideb lle bydd y person nesaf yn dod o hyd iddi

Mae tabl ag un rhes y haen yn goroesi rheol bawd. Cadwch ef wrth ymyl diagram y twnnel fel na fydd neb yn ailwneud y rhifyddeg dan bwysau.

Mae mwy o dwneli yn golygu mwy o ddibyniaethau, felly mae cynllun olldroi yn ennill ei le wrth ymyl y gyllideb. Os nad yw’r ffigurau’n dal i adio, mesurwch y llwybr yn lle dyfalu eto. Y nod yw ffigur y gallwch ei amddiffyn, nid ei gofio.