Zergatik VPN bat trabatzen den transferentzia handietan eta ez txikietan

Orri bat kargatzen da, ping batek erantzuten du, eta fitxategi baten kopia beti puntu berean trabatzen da. Patroi horrek paketearen tamainari egiten dio erreferentzia, ez banda-zabalerari edo kredentzialei. Kapsulatzeak byteak gehitzen dizkio pakete bakoitzari, beraz jatorrizko bidean sartzen zen karga erabilgarriak muga gaindi dezake tunel batetik igaro ondoren. Elkarrizketa hauetan hiru zenbaki desberdini deitzen zaie MTU, eta horiek nahasteak aplikazio bat konpondu eta beste bat apurtzen duen ezarpen batera eramaten du.

Jendeak MTU deitzen dizkien hiru zenbakiak

Interfazearen MTU esteka horretan pakete baterako konfiguratutako muga da. Bidearen MTU ibilbide osoko mugarik txikiena da, eta aurkitu egiten da, ez da konfiguratzen. TCP MSS pare batek jaso dezakeela adierazten duen karga erabilgarriaren tamaina da, eta beste bietatik eratortzen da, ez da muga fisiko bereizia.

Tunel batek barne-ikuspegia eta kanpo-ikuspegia ditu. Kanpoko paketeak kapsulatutakoa eta protokoloak behar dituen goiburuak daramatza, beraz barneko tamaina erabilgarria kanpoko bideak uzten duena baino txikiagoa da. VPN zerbitzarirako bidea ere desberdina da zerbitzariaren helmugarako bidetik.

Bidearen MTU aurkitzeko mekanismoak igorleari funtzionatzen duen tamaina ezagutzen uzten dio, baina atzeraelikadura iristearen mende dago. Bitarteko gailu batek ICMP mezu egokiak iragazten dituenean, igorleak inoiz osatzen ez diren paketeak bidaltzen jarraitzen du, eta hori zulo beltz klasikoa da. Sintoma ezaguna da behin ezagutzen duzunean: eskuko keinuak arrakasta du, tamaina osoko lehen karga desagertu egiten da, eta konexioa azkenean berrezarri edo zintzilik geratzen da. Aplikazioaren erregistroan ezerk ez du sare-arazo baten itxurarik.

Aztertu bidea kontrolatzen duzun karga batekin

Proba bat ibilbide bakar bati eta tamaina bakar bati buruzko ebidentzia da, ez gomendatutako ezarpen bat. Erabili erantzuten duen ostalari bat, eta aldatu bakarrik kargaren tamaina.

ping -M do -s 1372 -c 2 203.0.113.20
ping -4 -f -l 1372 vpn.example

Lehen komandoak Linux proba bat bidaltzen du fragmentazioa desgaituta eta 1372 byteko kargarekin, eta bigarrenak gauza bera egiten du Windowsen, non karga -l bidez ezartzen den. Erantzun batek esan nahi du tamaina horrek bidea iraun duela. Fragmentazioa behar dela dioen mezua informatiboa da, eta denbora-muga, berriz, anbiguoa, ostalariak edo bitarteko gailu batek ICMP besterik gabe bota baitezake.

Jaitsi tamaina pauso batzuetan, byte-rainoko bilaketa bitarra egin beharrean. Tamainaren goi-mugarik badagoen zehazten saiatzen ari zara, ez sare bakoitzerako zenbaki bat argitaratzen. Aurkitzen duzun zenbakia bide honetarako, protokolo honetarako eta helbide-familia honetarako balio du.

IPv4 eta IPv6 desberdin zatikatzen dira, beraz familia bateko probaren emaitzak ez du besteaz ezer esaten. Probatu aplikazioak benetan erabiltzen duen familia.

MSS doitzeak TCPri bakarrik laguntzen dio

TCPn karga erabilgarri eraginkorra eskuko keinuan negoziatzen da, eta bidean dagoen bideratzaile batek balio hori behera berridatz dezake bi muturrek segmentu txikiagoak bidal ditzaten. Hori da MSS doitzeak egiten duena, eta bezeroari batere ukitu gabe funtzionatzen du.

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
ip link show tun0

Lehen arauak iragarritako MSS bidearen MTUra doitzen du birbidalitako TCP eskuko keinuetarako, eta bigarrenak tunel-interfazearen MTU propioa erakusten du, bideak uzten duenarekin alderatu ahal izateko. Doitzea da eskuko keinuaren ondoren trabatzen den TCP aplikazio baterako esku-hartze txikieneko konponketa.

UDPrako ez du ezer egiten. Datagrama handiak bidaltzen dituen ahots- edo joko-bezero batek MSS ezarpena erabat ignoratuko du, ez baitago berridazteko eskuko keinuarik. Huts egiten duen aplikazioa UDP bada, begiratu bezeroaren beraren pakete-tamainaren aukerak. Bi protokoloak modu desberdinean huts egiten dute eta tresna desberdinekin konpontzen dira, horregatik protokoloa txartelaren lehen esaldian dagokio.

OpenVPN aukerak eskaintzen ditu, hala nola tun-mtu, mssfix eta fragmentazioarekin lotutako ezarpenak, eta haien portaera bertsioaren eta datu-kanala AEAD den ala ez araberakoa da. Irakurri erabiltzen ari den bertsioaren eskuliburua, eta aldatu aukera bat aldiko.

Aldatu onartutako ezarpen bat eta errepikatu bi probak

Mantendu jatorrizko profila, aldatu onartutako balio bakarra, eta errepikatu funtzionatzen zuen eskaera txikia eta huts egin zuen transferentzia handia. Handia bakarrik aldatzen bada, tamainaren atzetik zebilen. Biak aldatzen badira, beste zerbait ere mugitu da harekin.

Balio baxuago batek sintoma murriztu dezake gainkarga gehituz, beraz posible den zenbakirik txikiena ez da helburua. Helburua bideak modu fidagarrian eta xahutze txikienarekin daraman tamaina da. Idatzi balioa, bidea eta bezeroaren bertsioa txartelean, zenbaki bera beste leku batean aplikatzea suposizioa baita.

Profil berak beste sare fidagarri batetik funtzionatzen badu, mantendu desberdintasun hori diagnostikoan, bezeroa konpondutzat jo beharrean. Aldatu den aldagaia bidea da, eta probak neurtu duena bidea da.