OpenVPN ar PPPoE: gostwng link-mtu, tun-mtu neu mssfix?

Mae ping yn ateb, mae DNS yn datrys, ac mae pob tudalen sydd angen segment o faint llawn yn stopio. Ar ddolen sy’n ychwanegu ei chapsiwleiddio ei hun, mae’r llwybr yn colli ychydig ddwsin o feitiau o gyllideb yn dawel, ac mae proffil a ysgrifennwyd ar gyfer Ethernet glân yn dal i ofyn am becynnau na all y llinell eu cario. Nid yw’r cysylltiad yn araf; mae’n taflu i ffwrdd yn union y pecynnau sy’n bwysig.

Gall tair opsiwn drwsio hyn, ac maen nhw’n gweithio ar haenau gwahanol. Mae dewis yr un anghywir naill ai’n gwneud dim neu’n gwneud y twnnel yn fregus mewn ffordd newydd, felly mae’r dewis yn dechrau gyda’r hyn y mae’r llwybr yn ei gefnogi mewn gwirionedd.

Tri botwm, tair haen wahanol

link-mtu yw’r gyllideb allanol: y llwyth wedi’i amgryptio ynghyd â phennawd OpenVPN, pennawd UDP a’r pennawd IP allanol. Mae’n disgrifio’r hyn sy’n gadael y peiriant, a dyna pam mai dyma’r rhif y mae’r llwybr corfforol yn ei gyfyngu.

tun-mtu yw’r gyllideb fewnol: y rhyngwyneb y mae eich traffig yn ei weld. Mae’n fwy na’r hyn y gall y llwybr ei gario yn union o orben y twnnel, ac mae OpenVPN fel arfer yn ei ddeillio yn lle gwneud i chi ei osod.

mssfix yw mecanwaith hollol wahanol. Mae’n ailysgrifennu’r maint segment mwyaf a gyhoeddir yn ystod ysgwyd llaw TCP, fel bod cymheiriaid TCP yn dewis segmentau sy’n ffitio ar ôl capsiwleiddio. Nid yw’n newid MTU y rhyngwyneb, ac nid oes ganddo unrhyw effaith ar UDP.

Os gosodwch link-mtu yn benodol, mae OpenVPN yn tynnu ei orben ei hun i ddeillio’r MTU mewnol. Nid yw’r orben honno’n gysonyn sefydlog; mae’n dibynnu ar y seiffr a’r dilysiad, a dyna pam y gall gwerth a gopïwyd o bost fforwm fod yn anghywir ar broffil gwahanol. Mae gosod link-mtu a tun-mtu gyda’i gilydd yn rhoi dau gyfarwyddyd gwrthgyferbyniol i’r cleient.

Mesurwch y llwybr cyn dewis unrhyw rif

Mesurwch o’r rhyngwyneb corfforol, nid o fewn y twnnel, a chofiwch fod ping yn adrodd y llwyth, nid maint y pecyn. Ychwanegwch 28 beit ar gyfer pennawdau IPv4 ac ICMP cyn cymharu’r llwyth â ffrâm o 1500 beit, a chadwch y cywiriad hwnnw mewn cof pan fydd cymheiriaid yn adrodd rhif gwahanol.

Ar gleient Linux, mae ping -M do -s 1472 yn gwahardd darnio ac yn methu os yw’r pecyn yn rhy fawr. Gostyngwch y llwyth nes iddo basio, yna ychwanegwch 28 i gael MTU’r llwybr. Mae PPPoE yn costio 8 beit, felly mae 1492 yn arferol ar DSL. Mae DS-Lite a rhai llwybrau symudol yn costio 40 neu fwy, ac mae’r ateb fel arfer yn is nag y mae cyflymder enwol y ddolen yn ei awgrymu.

Os yw pob maint ping yn llwyddo ond mae trosglwyddiadau mawr yn dal i stopio, amheuwch dwll du yn hytrach na therfyn maint syml. Mae neges ICMP sy’n dweud bod angen darnio yn cael ei hidlo yn rhywle ar hyd y llwybr, felly nid yw’r anfonydd byth yn dysgu crebachu, a dim ond y ffrydiau sydd angen segment mawr sy’n sylwi.

Clampiwch TCP yn gyntaf, crebachwch y twnnel wedyn

Ysgwyd llaw TCP yw’r unig beth y mae mssfix yn ei gyffwrdd, sy’n ei wneud fel arfer y rheolaeth leiaf tarfu i’w thrio gyntaf. Gosodwch ef ychydig o dan gyllideb wirioneddol y llwybr, gwthiwch yr un gwerth o’r gweinydd fel bod y ddau ben yn cytuno, ac ailbrofwch lawrlwythiad mawr. Os yw’r stopio’n clirio, maint segment TCP oedd y broblem, ac nid oes angen newid dim arall.

Gostyngwch y MTU mewnol pan nad yw’r traffig yr effeithir arno yn TCP. Bydd gwasanaeth UDP, twnnel y tu mewn i dwnnel, neu raglen sy’n anfon datagramau o faint llawn yn parhau i fethu ar ôl clamp MSS oherwydd nid oes dim yn ailysgrifennu maint ei phecyn. Lleihawch tun-mtu ar gyfer y sefyllfa honno, neu gosodwch link-mtu a gadewch i’r cleient ddeillio’r gwerth mewnol, ond byth y ddau.

Peidiwch â chyrraedd am yr opsiwn darnio hen. Roedd yn hollti pecynnau y tu mewn i’r twnnel, yn ychwanegu gorben, ac mae wedi cael ei ddileu am resymau da; mae OpenVPN modern yn disgwyl yn lle hynny i’r llwybr gael ei ddisgrifio’n gywir.

Pam mae profion bach yn dal i weithio

Mae ymholiadau DNS, adlais ICMP ac ysgwyd llaw TCP i gyd ymhell o dan y maint sy’n methu. Felly mae’r twnnel yn edrych yn iach ym mhob prawf cyflym tra bod ysgwyd llaw TLS ac ymatebion HTTP yn methu’n dawel. Mae’r cyfuniad hwnnw, traceroute sy’n gweithio a phorwr sy’n stopio ar yr ymateb mawr cyntaf, yn arwydd i chwilio amdano. Cyrhaeddwch am brawf o faint llawn cyn i chi gyrraedd am broffil newydd.

Gwiriwch â’r traffig a fethodd. Estynnwch dudalen fawr, anfonwch ddatagram UDP o faint llawn os mai dyna’r gwasanaeth yr effeithiwyd arno, ac ailadroddwch o ail gleient ar ddolen wahanol. Cofnodwch MTU’r llwybr a fesurwyd a’r gwerth a ddewisoch, oherwydd bydd y person nesaf sy’n cyffwrdd â’r proffil fel arall yn trin y rhif fel un mympwyol.

Peidiwch byth â mynd â’r MTU mewnol o dan 1280 pan fydd IPv6 yn rhedeg dros y twnnel, oherwydd dyna’r lleiafswm y mae’n rhaid i bob dolen IPv6 ei gario. Mae MTU llai yn ffaith am y llwybr, nid yn osodiad perfformiad i’w diwnio wrth deimlad.