Τα μεγάλα πακέτα χάνονται πάνω από IPsec ενώ τα μικρά ping δουλεύουν ακόμη

Τα απομακρυσμένα κελύφη μένουν αποκρίσιμα, οι μικρές δοκιμές απαντούν, και μετά μια αντιγραφή αρχείου σέρνεται και κολλάει χωρίς κανένα σφάλμα που να μπορεί κάποιος να υποδείξει. Ένα ping με μεγαλύτερο ωφέλιμο φορτίο το αναπαράγει αμέσως, και η ίδια μεταφορά δουλεύει από το τοπικό δίκτυο. Τίποτα στην κρυπτογράφηση δεν είναι αργό· ορισμένα πακέτα απλώς δεν φτάνουν ποτέ. Δύο διαφορετικοί διαχωρισμοί μπορούν να δώσουν αυτό το σημάδι, και αφήνουν διαφορετικά στοιχεία.

Δύο σημεία όπου ένα πακέτο μπορεί να διαιρεθεί

Πριν από την κρυπτογράφηση, ο δρομολογητής μπορεί να χωρίσει ένα υπερμέγεθες εσωτερικό πακέτο και να προστατεύσει κάθε κομμάτι ξεχωριστά. Μετά την κρυπτογράφηση, αυτό που διαιρείται είναι το έτοιμο εξωτερικό πακέτο, και το μακρινό άκρο πρέπει να το επανασυναρμολογήσει πριν αποκρυπτογραφήσει οτιδήποτε. Ίδιο σύμπτωμα, διαφορετική δουλειά για τον δέκτη και διαφορετικά κουμπιά για εσάς.

Η διάκριση έχει σημασία γιατί μια διόρθωση στραμμένη στη λάθος πλευρά αλλάζει έναν αριθμό χωρίς να μετακινήσει τη βλάβη. Ένα πακέτο που απορρίπτεται στη διεπαφή δεν γίνεται ποτέ εξωτερικό πακέτο, άρα καμία ρύθμιση στην εξωτερική πλευρά δεν μπορεί να το σώσει.

Πού λαμβάνεται πραγματικά η απόφαση μεγέθους

Μια διεπαφή σήραγγας φέρει ένα IP MTU, και αυτή η τιμή μπορεί να απορρίψει ένα υπερμέγεθες εσωτερικό πακέτο πολύ πριν το δει το στάδιο IPsec. Το να θέσετε ένα bit στην εξωτερική κεφαλίδα δεν επανεξετάζει εκείνη την προηγούμενη απόφαση, γιατί το πακέτο έχει ήδη απορριφθεί. Γι' αυτό η αύξηση του εσωτερικού MTU μερικές φορές χειροτερεύει τα πράγματα αντί να τα βελτιώνει. Διαβάστε την τιμή της διεπαφής και τη συμπεριφορά της εξωτερικής πλευράς πριν αλλάξετε οποιοδήποτε από τα δύο, γιατί η φθηνότερη αλλαγή είναι συνήθως αυτή που εξηγεί το σύμπτωμα.

Ελέγξτε πρώτα την τιμή της διεπαφής, μετά τη συμπεριφορά της εξωτερικής πλευράς. Δύο αριθμοί, δύο στάδια, και συνήθως μόνο ένα από αυτά είναι υπεύθυνο.

Ο εξωτερικός προϋπολογισμός δεν είναι ο εσωτερικός

Κάθε ενθυλάκωση ξοδεύει byte σε κεφαλίδες, και το ποσό εξαρτάται από τη μεταφορά, την οικογένεια διευθύνσεων και αν παίζει ρόλο το NAT traversal. Ένα εσωτερικό πακέτο που χωρά στον τοπικό σύνδεσμο μπορεί ακόμη να δώσει ένα εξωτερικό πακέτο που δεν χωρά στη διαδρομή πέρα από αυτόν. Μετρήστε το κόστος αντί να το υποθέσετε, γιατί κάθε προαιρετική κεφαλίδα προστίθεται στον λογαριασμό. Μια σήραγγα με NAT traversal πληρώνει περισσότερα από μια γυμνή, και η διαφορά αρκεί για να σπάσει μια μεταφορά που δούλευε χθες.

Όταν το εξωτερικό πακέτο φέρει το bit απαγόρευσης κατάτμησης, ένα άλμα που δεν μπορεί να το προωθήσει το απορρίπτει και θα πρέπει να επιστρέψει ένα μήνυμα ICMP. Αν αυτό το μήνυμα φιλτράρεται κάπου, ο αποστολέας συνεχίζει να προσπαθεί και ο χρήστης βλέπει κόλλημα χωρίς εξήγηση. Αυτή η σιωπηλή απόρριψη είναι ο συνηθισμένος λόγος που ένα πρόβλημα μεγέθους αναφέρεται ως πρόβλημα ταχύτητας.

Το IPv6 αφαιρεί μία από τις επιλογές

Οι δρομολογητές IPv6 δεν κατατμίζουν στη διαμεταγωγή, άρα το εξωτερικό πακέτο είτε χωρά είτε εξαφανίζεται με ένα μήνυμα Packet Too Big. Αυτό το μήνυμα γίνεται το μόνο κανάλι ανατροφοδότησης, και το να το μπλοκάρετε σπάει την ανακάλυψη διαδρομής για κάθε μεγάλη μεταφορά που ακολουθεί. Οι δρομολογητές IPv4 μπορούν να κατατμίσουν ένα μεγάλο πακέτο όταν το bit είναι καθαρό, κάτι που κρύβει τη βλάβη μέχρι κάτι άλλο να θέσει αυτό το bit.

Σε μικτή στοίβα, η ίδια σήραγγα μπορεί να συμπεριφέρεται διαφορετικά στις δύο οικογένειες, γι' αυτό μια δοκιμή πάνω από IPv4 δεν λύνει ένα παράπονο για IPv6. Ένας έλεγχος που ασκεί μία οικογένεια αφήνει τη μισή απάντηση αμέτρητη.

Η πολιτική τμημάτων TCP δεν είναι γενική απάντηση

Ο περιορισμός του μέγιστου μεγέθους τμήματος βοηθά τις ροές TCP, και είναι θεμιτός έλεγχος όταν το πρόβλημα περιορίζεται σε αυτές. Δεν έχει καμία επίδραση στο UDP, το οποίο μεταφέρει DNS, ορισμένα πρωτόκολλα φωνής και ένα αυξανόμενο μερίδιο της κίνησης ιστού.

Εφαρμόστε το και μετά δοκιμάστε το φορτίο εργασίας που απέτυχε. Αν η περίπτωση UDP εξακολουθεί να αποτυγχάνει, η πολιτική τμημάτων δεν ήταν ποτέ η απάντηση και ο προϋπολογισμός της διεπαφής χρειάζεται ακόμη προσοχή. Προσδιορίστε πρώτα το πρωτόκολλο του φορτίου που αποτυγχάνει, μετά διαλέξτε τον έλεγχο που του ανήκει.

Η σειρά με την οποία θα δουλέψετε

Καταγράψτε το μεγαλύτερο ωφέλιμο φορτίο που επιβιώνει, μετά το MTU της διεπαφής, μετά αν το εξωτερικό πακέτο φέρει το bit απαγόρευσης κατάτμησης, και τέλος αν η ανατροφοδότηση ICMP φτάνει στον αποστολέα. Αυτή η αλληλουχία περιορίζει τη βλάβη χωρίς εικασίες. Κρατήστε κάθε παρατήρηση με χρονική σήμανση και τελικό σημείο, γιατί και οι τέσσερις αριθμοί κινούνται όταν αλλάζει η διαδρομή.

Αλλάξτε μία τιμή, δοκιμάστε ξανά την αρχική μεταφορά και κρατήστε το αποτέλεσμα. Μια σήραγγα που περνά μια μεγάλη δοκιμή αλλά κολλάει ακόμη στην εφαρμογή έχει περάσει σε άλλο πρόβλημα, και αυτό είναι πρόοδος που αξίζει να γραφτεί. Ο επόμενος άνθρωπος προτιμά τους αριθμούς από το συμπέρασμα.