OpenVPN PPPoE gainean: link-mtu, tun-mtu edo mssfix jaitsi?

Ping-ek erantzuten dute, DNS-k ebazten du, eta segmentu osoa behar duen orrialde bakoitza zintzilik geratzen da. Bere kapsulaketa gehitzen duen esteka batean, bideak isilka galtzen ditu dozena bat byte inguru aurrekontutik, eta Ethernet garbirako idatzitako profil batek lineak jasan ezin dituen paketeak eskatzen jarraitzen du. Konexioa ez da motela; garrantzia duten paketeak bertan botatzen ari da.

Hiru aukerek konpon dezakete hau, eta geruza desberdinetan aritzen dira. Okerra aukeratzeak ez du ezer egiten edo tunela modu berri batean hauskor egiten du, beraz erabakia bideak benetan onartzen duenetik hasten da.

Hiru kontrol, hiru geruza desberdin

link-mtu kanpoko aurrekontua da: karga zifratua gehi OpenVPN goiburua, UDP goiburua eta kanpoko IP goiburua. Makinatik zer ateratzen den deskribatzen du, eta horregatik da bide fisikoak mugatzen duen zenbakia.

tun-mtu barne-aurrekontua da: zure trafikoak ikusten duen interfazea. Bideak jasan dezakeena baino handiagoa da tunelaren gainkostuarekin zehazki, eta OpenVPN normalean hura eratortzen du, zuk ezartza derrigortu beharrean.

mssfix erabat beste mekanismo bat da. TCP esku-emateetan iragarritako segmentu-tamaina maximoa berridazten du, TCP pareek kapsulaketaren ondoren sartzen diren segmentuak aukeratzeko. Ez du interfazearen MTU aldatzen, eta ez du eraginik UDPn.

Zuzenean link-mtu ezartzen baduzu, OpenVPN-k bere gainkostua kentzen du barne MTUa eratortzeko. Gainkostu hori ez da konstante finkoa; zifratzearen eta autentifikazioaren araberakoa da, eta horregatik foro bateko balio batek okerra izan daiteke beste profil batean. link-mtu eta tun-mtu biak ezartzeak kontraesanko diren bi jarraibide ematen dizkio bezeroari.

Neurtu bidea edozein zenbaki aukeratu aurretik

Neurtu interfaze fisikotik, ez tunelaren barnetik, eta gogoratu ping-ek karga erabilgarria ematen duela, ez pakete-tamaina. Gehitu 28 byte IPv4 eta ICMP goiburuei, karga 1500 byteko marko batekin alderatu aurretik, eta eduki zuzenketa hori gogoan pare batek beste zenbaki bat ematen duenean.

Linux bezero batean, ping -M do -s 1472 k debekatzen du zatikatzea eta huts egiten du paketea handiegia bada. Jaitsi karga erabilgarria pasatu arte, gero gehitu 28 bidearen MTUa lortzeko. PPPoE-k 8 byte kostatzen ditu, beraz 1492 normala da DSLn. DS-Lite-k eta mobileko bide batzuek 40 edo gehiago kostatzen dute, eta erantzuna normalean estekaren abiadura nominalak iradokitzen duena baino baxuagoa da.

Ping tamaina guztiek arrakasta badute baina transferentzia handiak oraindik blokeatzen badira, susmatu zulo beltz bat eta ez tamaina-muga soil bat. ICMP zatikatze-beharraren mezu bat bidearen punturen batean filtratzen ari da, beraz bidaltzaileak ez du inoiz txikitzen ikasten, eta segmentu handia behar duten fluxuek soilik nabaritzen dute.

Mugatu TCP lehenik, uzkurtu tunela geroago

TCP esku-emateak dira mssfix-ek ukitzen duen gauza bakarra, eta horrek normalean kontrol gutxien erasokorra bihurtzen du lehenengo probatzeko. Ezarri bidearen benetako aurrekontuaren apur bat azpitik, bidali balio bera zerbitzaritik bi muturrak ados egon daitezen, eta probatu berriro deskarga handi bat. Blokeoa desagertzen bada, arazoa TCP segmentu-tamaina zen, eta beste ezerk ez du aldatu behar.

Jaitsi barne MTUa eragindako trafikoa TCP ez denean. UDP zerbitzu batek, tunelaren barruko tunel batek edo tamaina osoko datagramak bidaltzen dituen aplikazio batek huts egiten jarraituko du MSS muga baten ondoren, ezerk ez baitu haren pakete-tamaina berridazten. Murriztu tun-mtu kasu horretarako, edo ezarri link-mtu eta utzi bezeroari barne-balioa eratortzen, baina inoiz ez biak.

Ez heldu zatikatze aukera zaharrari. Paketeak tunelean zatitzen zituen, gainkostua gehitzen zuen eta arrazoi onez zaharkitu da; OpenVPN modernoak bidea zehaztasunez deskribatzea espero du.

Zergatik jarraitzen dute proba txikiek funtzionatzen

DNS kontsultak, ICMP oihartzunak eta TCP esku-emateak huts egiten duen tamainatik askoz behera daude. Tunelak osasuntsu ematen du beraz proba azkar guztietan, TLS esku-emateak eta HTTP erantzunak isilka huts egiten duten bitartean. Konbinazio hori, traceroute funtzionala eta lehen erantzun handian blokeatzen den nabigatzailea, da bilatu beharreko seinalea. Hartu tamaina osoko proba bat profil berri bat hartu aurretik.

Egiaztatu huts egin zuen trafikoarekin. Eskuratu orrialde handi bat, bidali tamaina osoko UDP datagrama bat zerbitzu hori bada eragindakoa, eta errepikatu beste bezero batetik beste esteka batean. Idatzi neurtutako bidearen MTUa eta aukeratu duzun balioa, profila ukituko duen hurrengo pertsonak bestela zenbakia arbitrarioa dela pentsatuko baitu.

Inoiz ez jaitsi barne MTUa 1280 azpitik IPv6 tuneletik doanean, hori baita IPv6 esteka bakoitzak jasan behar duen gutxienekoa. MTU txikiagoa bidearen errealitatea da, ez ukimenaren arabera doitzeko errendimendu-ezarpena.