Jumbo-kadrid ei tee VPN-teed 9000-baidiste pakettide kandjaks

Lülitasid LAN-is sisse 9000-baidised kaadrid ja ootasid, et VPN muutub kiiremaks. See muutus aeglasemaks või lakkas üldse suuri ülekandeid läbi laskmast. Jumbo-kaadrid on kohalik lüli kokkulepe; need ei suurenda teed, mida tunnel läbib.

Kasutatava eelarve määrab marsruudi väikseim piir, sealhulgas kapseldus, mille tunnel lisab.

Mida jumbo-kaadrid tegelikult muudavad

MTU on ühe liidese omadus. Selle tõstmine serveris ja selle kommutaatoris tähendab, et need kaks saavad vahetada suuremaid kaadreid ilma killustamiseta. See ei ütle midagi kommutaatorist kaugemal oleva ruuteri, teenusepakkuja ega tunneli teise otsa kohta. Nendel seadmetel on oma piirid ja pakett, mis ületab ühe neist, visatakse ära või killustatakse reeglite järgi, mida sina ei seadnud.

Kohalik kokkulepe, globaalsed tagajärjed. See ongi kogu segadus.

Kapseldusmaks

Tunnel mässib sinu paketi teise sisse. WireGuard üle IPv4 UDP lisab umbes 60 baiti ülekulu; OpenVPN-i UDP-režiim on samas suurusjärgus ja IPsec varieerub režiimi ning algoritmide järgi. Need baidid tulevad välise tee eelarvest, mitte ei teki tühjast kohast.

Nii ei saa 1500-baidine välimine lüli kanda 1500-baidist sisemist paketti, kui tunneli päis on lisatud.

Aritmeetikat tasub korra teha. 1500-baidisel teel tahab WireGuard-liides MTU-d umbes 1420, et kapseldatud pakett mahuks. Sea sisemine liides 9000 peale ja iga suur pakett vajab killustamist, mida tunnel teha ei saa, või visatakse ära.

Leia tee väikseim lüli

Käi marsruut läbi ja leia madalaim MTU. LAN on tavaliselt 1500 või 9000, WAN tavaliselt 1500 ja mobiilne või PPP-lüli võib olla veelgi madalam. Seejärel lahuta tunneli ülekulu. Kui tulemus on väiksem kui sisemise liidese MTU, on vastus käes. Tee MTU avastamine leiab selle automaatselt, kuid ainult siis, kui ICMP-teated, millest see sõltub, läbi lastakse.

Filtreeritud ICMP on klassikaline põhjus, miks suur ülekanne jääb rippuma, samal ajal kui väikesed päringud töötavad hästi.

Testi suurusest sõltuvust muudatust laiendamata

Kasuta esinduslikku ülekannet ja säilita algväärtused, et saaksid need tagasi panna. ping -M do -s 1472 testib 1500-baidist paketti DF-bidiga; vähenda suurust, kuni see läbi läheb. Kui ainult suured paketid ebaõnnestuvad, on sul suuruse, mitte marsruutimise probleem.

Ole ettevaatlik hostipoolse offload'i suhtes, kui loed püüdmisi. Segmenteerimise offload võib näidata kaadreid, mis on palju suuremad kui see, mis tegelikult juhtmest läbi läks, mistõttu töötav tee näib katki ja katkine tee näib korras.

Millal on suur MTU õige disain

Kontrollitud privaatvõrk võib seaduslikult ajada suuremaid kaadreid otsast otsani, kui iga seade teel sellega nõustub ja tunneli ülekulu on arvestatud. See on koordineeritud disain, kus igal lülil on dokumenteeritud väärtus, mitte üks suur number, mis kliendisse trükiti.

Tavalise avaliku väljundi puhul eelda 1500 või vähem ja lase tunnelil valida ohutu sisemine MTU. RFC 8201 käsitleb tee MTU avastamist IPv6 juhu jaoks ja on kasulik viide selle kohta, kuidas tagasiside peaks toimima.