VPN tunel habiaratuak: zergatik trabatzen da barnekoa pakete handiekin
Tunel bakoitzak bidearen pakete-aurrekontuaren zati bat gastatzen du hurrengoa hasi baino lehen. Batura itzazu goiburuak eta barne saioak huts egiten du pakete handiekin.
DNSak ebazten du, SSH saioak bizirik jarraitzen du, eta orduan karga-handitze handi bat izozten da, host berberari egindako pingak oraindik erantzuten duen bitartean. Banaketa horrek paketearen tamainari erreparatzen dio, ez hautsitako tunel bati. Tunel habiaratuek hori lortzen dute inork bakarka lortuko ez lituzkeen tamainetan. Barne saioa ondo dago; jada sartzen ez diren paketeak ematen zaizkio.
Nora joaten da benetan bidearen MTUa
Enkapsulazio bakoitzak byteak gastatzen ditu hurrengo geruzak txanda hartu baino lehen. Ethernet bide batek 1500 byte eskaintzen dizkio kanpo paketeari, eta kanpo tunelak bere zatia hartzen du bertan ezer helbideratu ahal izan aurretik. Asmatutako gainkarga-balio bakarra axola duen neurrian bertan oker egongo da.
Zerrendatu geruzak ordenan: sarbide-bidea, kanpo garraioa, kanpo tunela, barne garraioa, barne tunela, aplikazioa. Zenbatu goiburu bakoitza behin, eta eduki UDPa tunelaren beraren goiburua eta etiketatik bereizita.
WireGuard geruza bi, behin zenbatuta
Hartu IPv4 sarbide-bide bat, barruan beste WireGuard tunel bat duena. Kanpo geruzak 20 byte IPv4, 8 UDP eta 32 kostatzen ditu WireGuard datu-goiburuak eta haren autentifikazio-etiketak. Horren barruan barne tunelak bere 20 byteko IPv4 goiburua eta 8 byteko UDP goiburua behar ditu, bere bigarren 32 byte WireGuard gainkarga baino lehen. Gainerakoak IPv4 goiburu bat, TCP goiburu bat eta datuak hartzen ditu. Kanpo IPv6 bideak 20ren ordez 40 kostatzen du eta 1320 uzten du.
| Layer | Bytes |
|---|---|
| Path MTU | 1500 |
| Outer IPv4 header | 20 |
| Outer UDP header | 8 |
| Outer WireGuard header and tag | 32 |
| Inner transport IPv4 header | 20 |
| Inner UDP header | 8 |
| Inner WireGuard header and tag | 32 |
| Innermost IPv4 header | 20 |
| TCP header | 20 |
| Payload that fits | 1340 |
Aritmetika 1340 byteetan amaitzen da. Geruza batek arau berberekin 1400 uzten ditu TCP karga erabilgarrirako, hau da, 1500 ken 20, 8, 32, 20 eta 20, eta 60 byteko aldea bigarren tunelak gehitzen duen barne enkapsulazioa da zehazki.
Aplikatu 1400 bide habiaratu bati eta barne tunelari 60 byte falta zaizkio, ikusezin paketea behar dituen bezain handia izan arte. Betegarriak eta protokoloaren beraren zatikatze-aukerak zifrak berriro mugitzen dituzte, beraz fidatu taulaz.
MTU, MSS eta zatikatzea leku desberdinetan aritzen dira
Interfazearen MTUk interfazeak igorriko duena mugatzen du, eta TCPren MSS clamping-ak TCP kide bat bidaltzeko prest dagoena aldatzen du. Clamping-ak TCP saioak konpontzen ditu eta ez du ezer egiten UDP datagrama handi batentzat, horrela konponketa bat aplikazio batentzat arrakastatsua dirudi eta isilean huts egiten du hurrengoan. Protokoloaren beraren zatikatze-aukera hirugarren palanka da, bere hutsegiteekin. Interfazearen MTU ohiko lehen urratsa eta zakarrena da.
Zubiztutako eta bideratutako tunelak marko desberdinak daramatzate, beraz beste inplementazio bateko zifrak gutxitan eramaten dira. Bidearen MTU aurkikuntzak, hemen deskribatua RFC 8201, soilik laguntzen du berak behar dituen ICMP mezuak pasatzen uzten diren bitartean.
Falta den geruza aurkitzea
Egiaztatu tunel bakoitza bere aldetik habiaratu aurretik, baldintzek alderaketa ahalbidetzen badute. Tamaina finkoko sonda batek erabakitzen du: ping -M do -s 1472 -c 3 10.8.0.1 1500 byteko IPv4 pakete osoa bidaltzen du geruza horren barruan. Gehitu bigarren geruza eta errepikatu sonda bera, huts egite orok aldaketa ezagun bati dagokion.
Transferentzia bat trabatzen denean, aldatu dokumentatutako parametro bat aldiko eta idatzi huts egiten duen tamaina. Itzulera-bidea ere egiaztatu, bideen errekurtsio habiaratuak pakete-tamainaren arazoa nahikoa zehatz imita baitezake arratsalde bat kosta dezan. ICMP erantzun iragazi batek benetako muga ezkuta dezake, beraz sondak arrazoibideak baino gehiago balio du.
Idatzi aurrekontua hurrengo pertsonak aurkituko duen tokian
Geruza bakoitzeko errenkada bakarreko taula batek hatz-erregela bat baino gehiago irauten du. Eduki ezazu tunelaren diagramaren ondoan, inork presiopean aritmetika berriro egin ez dezan.
Tunel gehiagok mendekotasun gehiago esan nahi dute, beraz atzera-egiteko planak bere tokia irabazten du aurrekontuaren ondoan. Zifrak oraindik bat egiten ez badute, neurtu bidea berriro asmatu beharrean. Helburua defenda dezakezun zifra bat da, ez gogoratzekoa.