Eraman 1,500 byteko barne pakete finko bat VPN baten bidez

Betetzen ez den baldintza bat duzu: urruneko aldeak igorleak bidaltzen duen 1,500 byteko IP pakete berbera jaso behar du, goiburuak barne. Tunel batek ezin du pakete hori eta bere markoak bigarren 1,500 byteko IP pakete baten barruan sartu, beraz diseinuko zerbaiti utzi behar zaio. Beheko ordena da aldaketa leiho batean erabiltzen dudana: idatzi byte aurrekontua, egiaztatu azpiegitura sareak benetan zer eraman dezakeen, gero aukeratu garraio mekanismo bat zehazki eta berretsi barneko paketea urruneko aldean.

Idatzi byte aurrekontua profila editatu aurretik

Enkapsulazioak byteak gehitzen ditu hainbat geruzatan, eta guztirako kopurua zure profilaren ezaugarria da, ez kontsulta dezakezun konstante bat. Helbide familia, zifratzearen aukera, garraio protokoloa eta konpresio edo marko aukera oro zenbaki hori aldatzen dute, horregatik beste inplementazio batetik kopiatutako kenketa ez da ezer balio duen aurrekontua. Hasi barneko baldintzatik, gehitu zure konfigurazioaren neurtutako pakete bakoitzeko gainkarga, eta idatzi lortutako kanpoko tamaina aldaketa txartelean inork fitxategia editatu aurretik.

Bi zenbakik erabakitzen dute diseinua: bideak fragmentaziorik gabe eramaten duen kanpoko pakete handiena, eta zure enkapsulazioak behar dituen byte gehigarriak. Lehena bigarrena gehi 1,500 baino txikiagoa denean, bata aldatu behar da. Aukera estua da orduan, ez sortzailea, horregatik idazten ditut bi zenbakiak aukerak eztabaidatu aurretik. Ezerk ez ditu byte horiek konprimitzen tunel geruzan, eta MTU zenbaki bakar batek ez du jasotako baldintza kentzen.

Aztertu azpiegitura sareak ez-fragmentatzeko pingekin

Neurtu bidea interfazearen MTUari fidatu beharrean, kanpoko bideko estekarik txikiena baita garrantzitsua. Linuxen -M do -k ez-fragmentatzeko bita ezartzen du eta -s -k ICMP karga hartzen du, beraz 1,500 byteko marko batek 1,472 byteko kargari erantzuten dio 20 byteko IP goiburua eta 8 byteko ICMP goiburua kenduta. Igo karga probak huts egin arte, gero jauzi jumbo tamainara bideak batere eramaten duen ikusteko.

ping -M do -s 1472 -c 2 198.51.100.10
ping -M do -s 8972 -c 2 198.51.100.10
tracepath -n 198.51.100.10

1,472 pasatzen duen bideak eta 8,972n huts egiten duenak ezin du 1,500 byteko barne paketea gainkargarekin batera kanpoko pakete bakarrean eraman. Hori zen VPN konfigurazioa ireki aurretik behar zenuen erantzuna. Hurrengo bi ataletatik zein dagokizun ere erabakitzen du, beraz eduki bi proben emaitzak txartelaren ondoan. Hemen asmatzeak mantentze leiho bat kostatzen du, bideak onartuko duen pakete handienari buruz ezer ez baitio esaten aktibo dela dioen tunelek.

Igo bidearen MTUa jauzi guztiak ados dauden tokian soilik

Jumbo markoak muturretik muturrerako ezaugarria dira, ez kontrolatzen dituzun bi muturretan aktibatzen duzun ezarpena. Kanpoko bideko kommutadore, bideratzaile eta hornitzaile entrega guztiek tamaina handiagoa adostu behar dute, eta 1,500 byteko jauzi bakar batek isilka baztertuko du handitu berri duzun paketea. Tokiko interfazea soilik igotzea da tunela hautsiak ematen duen aldaketa erdi klasikoa, azpiegiturak isilka uzten duen bitartean.

ip link set dev eth1 mtu 9000
ip link show dev eth1
ping -M do -s 8972 -c 2 198.51.100.10

Aldatu interfazea, gero probatu bide berbera berriro beste ezer aldatu aurretik. Proba oraindik huts egiten badu, itzuli ip link set dev eth1 mtu 1500 -rekin eta joan fragmentaziora, ez baita zurea den esteka bategatik hornitzailearekin eztabaidatu behar.

Erabili tunelaren fragmentazioa azpiegiturak hazi ezin duenean

Barne paketearen azpian onartutako fragmentazio mekanismo batek hainbat kanpoko paketeri barne pakete bat eramatea ahalbidetzen die, eta urruneko tunel muturrak berriro elkartzen ditu jatorrizkoa pilari eman aurretik. Community OpenVPNren UDP fragmentu aukera ideia horren inplementazio bat da, eta ez da gauza bera kanpoko paketearen ohiko IP fragmentazioarekin. Bi pareek formatua onartzen duen bertsioa exekutatu behar dute, eta datu bideak pentsatzen duzuna izan behar du: OpenVPN 3 bezeroek eta nukleoan azeleratutako datu kanalek muga desberdinak dituzte, beraz bezero batean funtzionatzen duen profilak beste batean huts egin dezake.

openvpn --config client.ovpn --tun-mtu 1500 --fragment 1400 --verb 4

Kanpoko fragmentazio arrunta da beste aukera, eta ahulena da. IPv6 bideratzaileek ez dute birbidalitako paketerik fragmentatzen, beraz kanpoko pakete handiegia besterik gabe hiltzen da eta igorleak horren berri izango du ICMPv6 mezu egokiak bidea bizirik irauten badu soilik. Fragmentuek iragazketa eta galera anplifikazioa ere erakartzen dituzte, horregatik erreserba gisa hartzen dut, ez plan gisa.

Fluxuan oinarritutako kanpoko garraiolariak tamaina kontua saihesten du bere byte fluxua segmentatuz, eta berreraikitako barne paketea 1,500 bytekoa izan daiteke oraindik. Garraio erabakia da, kostu propioa duena, TCP TCP barruan jokaera ezaguna barne, beraz hartu nahita, ez MTU eztabaida baten albo ondorio gisa.

Berretsi barne paketea aldatu gabe iristen dela

Egiaztatzea ez da eskuko eman arrakastatsu bat. Hartu tunel interfazean bi muturretan eta alderatu aplikazioak benetan bidalitako paketearen tamaina eta edukia urruneko aldeak jasotakoarekin.

ip link show dev tun0
ping -M do -s 1472 -c 2 10.8.0.1
tcpdump -ni tun0 -c 5 'icmp and greater 1000'

Harrapaketak urruneko muturrean barne pakete osoa erakusten badu, garraio aukera funtzionatzen du eta gainerako zeregina erregistratzea da. Tunelek aktibo dela dioen bitartean ezer erakusten ez badu, kanpoko paketea muturren artean nonbait baztertzen ari da, eta horrek probara itzularazten zaitu, ez zifratze ezarpenetara.

Erregistratu hiru gauza txartelean itxi aurretik: neurtutako kanpoko aurrekontua, aukeratu duzun mekanismoa eta barne paketea bizirik iraun zueneko komandoa. Tunel hau ukutuko duen hurrengo pertsonak hirurak beharko ditu, eta bat bera ere ezin da konfigurazio fitxategitik bakarrik berreraiki.