OpenVPN raportas malkonsekvan uzon de MTU: kion komparas la averto

Tiu averto raportas komparon inter agordoj de la kunuloj, ne mezuron de la vojo inter ili. Homoj legas ĝin kiel «la MTU estas malĝusta» kaj ŝanĝas la nombron ĝis la linio malaperas. Tio traktas agordan komparon kiel retan mezuron, kaj ofte ĝi malbonigas la tunelon dum ĝi silentigas la protokolon. La utila unua paŝo estas decidi, kiun el tiuj du problemoj vi vere havas.

Tri kondiĉoj decidas la respondon: kion komparas la kunuloj, ĉu la valoro estas malnova, kaj kiu simptomo ekzistas preter la averto.

La averto komparas agordojn, ne paketojn

La kunuloj de OpenVPN interŝanĝas siajn agordajn ĉenojn dum la manpremo kaj komparas ilin kiel parton de la agorda konsekvenca kontrolo. Kiam unu flanko raportas link-mtu aŭ tun-mtu alie ol la alia, la malkongruo registriĝas kun ambaŭ valoroj. Tiu interŝanĝo neniam sendas grandan paketon por vidi, kio okazas, do la averto priskribas agordon anstataŭ kapaciton. Tunelo povas porti plengrandan trafikon kaj tamen presi ĝin, aŭ malsukcesi ĉe grandaj paketoj kaj presi nenion.

Konservu la plenan averton kun ĝia loka kaj fora valoroj. La paro estas la pruvo; la unuopa nombro, kiun vi memoras, ne estas.

Kial link-mtu estas malnoviĝinta

OpenVPN 2.6 malnoviĝigas link-mtu, ĉar variaj kaplinioj kaj intertraktitaj ĉifroj igas fiksan ligovaloron nefidinda. La agordo supozis paktaranĝon, kiun la protokolo ne plu garantias, do malnova profilo kun laŭvorta link-mtu priskribas intencon, kiun la nuna kodo ne povas plenumi. Kopii tiun nombron en novan profilon disvastigas malnoviĝintan supozon. Legu ĝin kiel parton de la historio de la malnova profilo, ne kiel rekomendon.

La konsekvenca kontrolo ankaŭ havas laŭvolan OCC-valoron ligitan al tun-mtu, kiu ŝanĝas kion oni komparas sen ŝanĝi kion la reto portas. Ĝin agordi ne igas pli grandajn paketojn eniri.

Riparu la profilon antaŭ ol testi la vojon

Korektu neintencitan malkongruon per tiu, kiu posedas la profilojn, kaj memoru, ke ŝanĝo ĉe la servila flanko efikas al ĉiu kliento. Redaktu la profilon, kiun la instanco vere ŝargas, ne eksportaĵon en elŝuta dosierujo. Poste rekonektu unu testan klienton kaj notu, kiu averto restas. Se la mesaĝo ŝanĝas formon anstataŭ malaperi, vi komparas aliajn agordojn ol vi pensas.

Komunigata servilo bezonas kontrolon de sia klienta inventaro antaŭ ol tutmonda valoro moviĝas, ĉar la valoro taŭga por unu loko povas rompi alian.

Poste testu la simptomon, kiun vi vere havas

Se grandaj transigoj haltas dum malgrandaj petoj sukcesas, mezuru paktgrandon kontraŭ kontrolata celloko. Sondilo, kiu agordas la biton «ne fragmentigu» kaj pliigas la utilan ŝarĝon, trovas la uzeblan MTU de la vojo multe pli fidele ol ping, kiu simple sukcesas. Enmetu la malsukcesantan aplikaĵon en la teston: ICMP-tempon povas speguli filtrado, kaj malgranda sukcesa ping diras nenion pri plengranda aplikaĵa paketo.

mssfix limigas la MSS anoncitan por TCP-sesioj ene de la tunelo, kio helpas TCP kaj faras nenion por interna UDP-ŝarĝo. Fragmentado kaj malŝarĝaj agordoj havas proprajn kongruecajn kondiĉojn. Elektu mekanismon por la pruvita problemo anstataŭ ŝanĝi plurajn samtempe por silentigi linion en la protokolo.

Konservu la efikajn valorojn kun la rezulto

Notu la originajn kaj korektitajn efikajn valorojn apud la rezulto de reala transigo. Ĝuste tiu paro apartigas malnoviĝintan profilan agordon de survoja MTU-problemo, kiu ekzistas sendepende. Sen ĝi, la sekva leganto vidas averton, kiu foriris, kaj supozas, ke la reto ŝanĝiĝis.

Subpremi la konsekvencan kontrolon akordigas nenion. Ĝi forigas la observon kaj lasas ambaŭ agordojn kiel ili estis.