OpenVPN meldet inkonsistente MTU-Nutzung: Was die Warnung vergleicht

Diese Warnung berichtet über einen Vergleich zwischen Peer-Optionen, nicht über eine Messung des Pfades dazwischen. Menschen lesen sie als „die MTU ist falsch“ und ändern die Zahl, bis die Zeile verschwindet. Das behandelt einen Konfigurationsvergleich wie eine Netzwerkmessung und macht den Tunnel oft schlechter, während das Protokoll ruhiger wird. Der nützliche erste Schritt ist zu entscheiden, welches der beiden Probleme Sie tatsächlich haben.

Drei Bedingungen entscheiden die Antwort: was die Peers vergleichen, ob der Wert veraltet ist und welches Symptom über die Warnung hinaus besteht.

Die Warnung vergleicht Optionen, nicht Pakete

OpenVPN-Peers tauschen während des Handshakes ihre Optionsstrings aus und vergleichen sie im Rahmen der Konsistenzprüfung der Optionen. Meldet eine Seite link-mtu oder tun-mtu anders als die andere, wird die Abweichung mit beiden Werten festgehalten. Dieser Austausch sendet nie ein großes Paket, um zu sehen, was passiert, daher beschreibt die Warnung Konfiguration statt Kapazität. Ein Tunnel kann Verkehr in voller Größe übertragen und die Warnung trotzdem ausgeben oder bei großen Paketen scheitern und gar nichts ausgeben.

Bewahren Sie die vollständige Warnung mit ihrem lokalen und entfernten Wert auf. Das Paar ist der Beleg; die einzelne Zahl, an die Sie sich erinnern, nicht.

Warum link-mtu veraltet ist

OpenVPN 2.6 erklärt link-mtu für veraltet, weil variable Header und ausgehandelte Verschlüsselungsverfahren einen festen Link-Wert unzuverlässig machen. Die Option setzte ein Paketlayout voraus, das das Protokoll nicht mehr garantiert, sodass ein altes Profil mit einem wörtlichen link-mtu eine Absicht beschreibt, die der aktuelle Code nicht erfüllen kann. Diese Zahl in ein neues Profil zu kopieren verbreitet eine veraltete Annahme. Lesen Sie sie als Teil der Geschichte des alten Profils, nicht als Empfehlung.

Die Konsistenzprüfung hat außerdem einen optionalen OCC-Wert, der an tun-mtu gebunden ist und ändert, was verglichen wird, ohne zu ändern, was das Netz überträgt. Ihn zu setzen lässt größere Pakete nicht hineinpassen.

Reparieren Sie das Profil, bevor Sie den Pfad testen

Beheben Sie eine unbeabsichtigte Abweichung über diejenigen, denen die Profile gehören, und bedenken Sie, dass eine Änderung auf Serverseite jeden Client betrifft. Bearbeiten Sie das Profil, das die Instanz tatsächlich lädt, nicht einen Export in einem Downloadordner. Verbinden Sie dann einen Testclient neu und notieren Sie, welche Warnung überlebt. Ändert die Meldung ihre Form, statt zu verschwinden, vergleichen Sie andere Optionen als gedacht.

Ein gemeinsam genutzter Server muss sein Client-Inventar prüfen lassen, bevor ein globaler Wert wandert, weil der Wert, der zu einem Standort passt, einen anderen brechen kann.

Testen Sie dann das Symptom, das Sie tatsächlich haben

Wenn große Übertragungen stocken, während kleine Anfragen gelingen, messen Sie die Paketgröße gegen ein kontrolliertes Ziel. Eine Sonde, die das Don't-Fragment-Bit setzt und die Nutzlastgröße erhöht, findet die nutzbare MTU des Pfades weit zuverlässiger als ein Ping, der einfach gelingt. Beziehen Sie die fehlschlagende Anwendung in den Test ein: Ein ICMP-Timeout kann Filterung widerspiegeln, und ein kleiner erfolgreicher Ping sagt nichts über ein Anwendungspaket voller Größe aus.

mssfix begrenzt die für TCP-Sitzungen innerhalb des Tunnels angekündigte MSS, was TCP hilft und für eine innere UDP-Last nichts tut. Fragmentierung und Offload-Einstellungen haben ihre eigenen Kompatibilitätsbedingungen. Wählen Sie einen Mechanismus für das nachgewiesene Problem, statt mehrere gleichzeitig zu ändern, um eine Protokollzeile ruhig zu stellen.

Halten Sie die effektiven Werte mit dem Ergebnis fest

Halten Sie die ursprünglichen und korrigierten effektiven Werte neben dem Ergebnis einer echten Übertragung fest. Genau diese Paarung trennt eine veraltete Profiloption von einem Path-MTU-Problem, das unabhängig besteht. Ohne sie sieht der nächste Leser eine Warnung, die verschwunden ist, und nimmt an, das Netz habe sich geändert.

Die Konsistenzprüfung zu unterdrücken gleicht nichts aus. Sie entfernt die Beobachtung und lässt beide Konfigurationen, wie sie waren.