Grandaj pakaĵoj malaperas tra IPsec dum malgrandaj pingoj ankoraŭ funkcias
Malgrandaj provoj respondas kaj dosierkopioj haltas — tio estas la signo de grandeca decido farita antaŭ ĉifrado. Trovu, kiu flanko dividas la pakaĵon kaj kial.
Foraj ŝeloj restas respondemaj, malgrandaj provoj respondas, kaj poste dosierkopio rampas kaj haltas sen iu ajn eraro, kiun oni povus montri. Ping kun pli granda utilaĵo tuj reproduktas ĝin, kaj la sama transigo funkcias el la loka reto. Nenio pri la ĉifrado estas malrapida; certaj pakaĵoj neniam alvenas. Du malsamaj dividoj povas produkti tiun signon, kaj ili lasas malsamajn pruvojn.
Du lokoj, kie pakaĵo povas esti dividita
Antaŭ ĉifrado, la enkursigilo povas dividi trograndan internan pakaĵon kaj protekti ĉiun pecon aparte. Post ĉifrado, tio, kio estas dividata, estas la finita ekstera pakaĵo, kaj la malproksima fino devas rekunmeti ĝin antaŭ ol malĉifri ion ajn. Sama simptomo, malsama laboro por la ricevanto kaj malsamaj regiloj por vi.
La distingo gravas, ĉar riparo celanta la malĝustan flankon ŝanĝas nombron sen movi la paneon. Pakaĵo rifuzita ĉe la interfaco neniam fariĝas ekstera pakaĵo, do neniu agordo ĉe la ekstera flanko povas savi ĝin.
Kie la grandeca decido vere fariĝas
Tunela interfaco portas IP MTU, kaj tiu valoro povas rifuzi trograndan internan pakaĵon longe antaŭ ol la IPsec-etapo vidas ĝin. Meti biton en la eksteran kaplinion ne repripensas tiun pli fruan decidon, ĉar la pakaĵo jam estis rifuzita. Tial plialtigo de la interna MTU foje plimalbonigas la aferojn anstataŭ plibonigi ilin. Legu la interfacan valoron kaj la eksteran konduton antaŭ ol ŝanĝi iun el ili, ĉar la pli malmultekosta ŝanĝo kutime estas tiu, kiu klarigas la simptomon.
Kontrolu unue la interfacan valoron, poste la eksteran konduton. Du nombroj, du etapoj, kaj kutime nur unu el ili respondecas.
La ekstera buĝeto ne estas la interna buĝeto
Ĉiu enkapsuligo elspezas bajtojn por kaplinioj, kaj la kvanto dependas de la transporto, la adresa familio kaj ĉu NAT-trairo estas en la ludo. Interna pakaĵo, kiu taŭgas por la loka ligilo, ankoraŭ povas produkti eksteran pakaĵon, kiu ne taŭgas por la vojo post ĝi. Mezuru la superkoston anstataŭ supozi ĝin, ĉar ĉiu laŭvola kaplinio aldoniĝas al la fakturo. Tunelo kun NAT-trairo pagas pli ol nuda, kaj la diferenco sufiĉas por rompi transigon, kiu funkciis hieraŭ.
Kiam la ekstera pakaĵo portas la biton de malpermeso de fragmentado, salto, kiu ne povas plusendi ĝin, forĵetas ĝin kaj devus resendi ICMP-mesaĝon. Se tiu mesaĝo estas filtrita ie, la sendinto daŭre reprovas kaj la uzanto vidas haltadon sen klarigo. Tiu silenta forĵeto estas la kutima kialo, ke grandeca problemo raportiĝas kiel rapidproblemo.
IPv6 forigas unu el la opcioj
IPv6-enkursigiloj ne fragmentas dum transiro, do la ekstera pakaĵo aŭ taŭgas aŭ malaperas kun mesaĝo Packet Too Big. Tiu mesaĝo fariĝas la sola retronutra kanalo, kaj bloki ĝin rompas voj-troviĝon por ĉiu granda transigo, kiu sekvas. IPv4-enkursigiloj povas fragmenti grandan pakaĵon kiam la bito estas klara, kio kaŝas la paneon ĝis io alia starigas tiun biton.
Sur miksita stako, la sama tunelo povas konduti malsame por la du familioj, kaj tial unu testo tra IPv4 ne solvas IPv6-plendon. Kontrolo, kiu ekzercas unu familion, lasas duonon de la respondo ne mezurita.
TCP-segmenta politiko ne estas ĝenerala respondo
Limigi la maksimuman segmentan grandecon helpas TCP-fluojn, kaj ĝi estas legitima regilo, kiam la problemo limiĝas al ili. Ĝi havas neniun efikon al UDP, kiu portas DNS, kelkajn voĉprotokolojn kaj kreskantan parton de reta trafiko.
Apliku ĝin, poste testu la laborŝarĝon, kiu malsukcesis. Se la UDP-kazo ankoraŭ malsukcesas, la segmenta politiko neniam estis la respondo kaj la interfaca buĝeto ankoraŭ bezonas atenton. Unue identigu la protokolon de la malsukcesa laborŝarĝo, poste elektu la regilon, kiu apartenas al ĝi.
La ordo por labori
Notu la plej grandan utilaĵon, kiu postvivas, poste la interfacan MTU, poste ĉu la ekstera pakaĵo portas la biton de malpermeso de fragmentado, kaj fine ĉu la ICMP-retroatingo atingas la sendinton. Tiu sinsekvo mallarĝigas la paneon sen diveni. Konservu ĉiun observon kun tempindiko kaj finpunkto, ĉar ĉiuj kvar nombroj moviĝas, kiam la vojo ŝanĝiĝas.
Ŝanĝu unu valoron, retestu la originan transigon kaj konservu la rezulton. Tunelo, kiu trapasas grandan provon sed ankoraŭ haltas ĉe la aplikaĵo, transiris al alia problemo, kaj tio estas progreso inda je noto. La sekva persono preferas la nombrojn ol la konkludon.