Jumbo-kehykset eivät tee VPN-reitistä 9000 tavun pakettien kantajaa
Suuri MTU on paikallinen linkkisopimus. Vähennä tunnelin ylikuorma reitin pienimmästä linkistä ennen kuin nostat sisäistä rajapintaa.
Otit käyttöön 9000 tavun kehykset LANissa ja odotit VPN:n nopeutuvan. Siitä tuli hitaampi tai se lakkasi kokonaan välittämästä suuria siirtoja. Jumbo-kehykset ovat paikallinen linkkisopimus; ne eivät suurenna polkua, jonka tunneli ylittää.
Käytettävissä olevan budjetin määrää reitin pienin raja, mukaan lukien tunnelin lisäämä kapselointi.
Mitä jumbo-kehykset oikeastaan muuttavat
MTU on yhden rajapinnan ominaisuus. Sen nostaminen palvelimella ja sen kytkimessä tarkoittaa, että ne kaksi voivat vaihtaa suurempia kehyksiä ilman pirstoutumista. Se ei kerro mitään kytkimen takana olevasta reitittimestä, operaattorista tai tunnelin toisesta päästä. Noilla laitteilla on omat rajansa, ja paketti, joka ylittää yhden niistä, hylätään tai pirstotaan säännöillä, joita sinä et asettanut.
Paikallinen sopimus, maailmanlaajuiset seuraukset. Siinä koko hämmennys.
Kapselointivero
Tunneli käärii pakettisi toisen sisään. WireGuard IPv4 UDP:n päällä lisää noin 60 tavua ylikuormaa; OpenVPN:n UDP-tila on samassa haarukassa ja IPsec vaihtelee tilan ja algoritmien mukaan. Ne tavut tulevat ulomman polun budjetista, eivät tyhjästä.
Niinpä 1500 tavun ulompi linkki ei voi kuljettaa 1500 tavun sisäistä pakettia, kun tunnelin otsake on lisätty.
Laskelma kannattaa tehdä kerran. 1500 tavun polulla WireGuard-rajapinta haluaa MTU:ksi noin 1420, jotta kapseloitu paketti mahtuu. Aseta sisäinen rajapinta arvoon 9000, ja jokainen suuri paketti tarvitsee pirstoutuksen, jota tunneli ei pysty tekemään, tai se hylätään.
Etsi polun pienin linkki
Käy reitti läpi ja etsi matalin MTU. LAN on yleensä 1500 tai 9000, WAN yleensä 1500, ja mobiili- tai PPP-linkki voi olla vielä matalampi. Vähennä sitten tunnelin ylikuorma. Jos tulos on pienempi kuin sisäisen rajapinnan MTU, vastaus on siinä. Polun MTU:n löytäminen voi löytää tämän automaattisesti, mutta vain kun sen tarvitsemat ICMP-viestit päästetään läpi.
Suodatettu ICMP on klassinen syy siihen, että suuri siirto jumittuu pienten pyyntöjen toimiessa hyvin.
Testaa kokoriippuvuutta laajentamatta muutosta
Käytä edustavaa siirtoa ja säilytä alkuperäiset arvot, jotta voit palauttaa ne. ping -M do -s 1472 testaa 1500 tavun pakettia DF-bitillä; pienennä kokoa, kunnes se menee läpi. Jos vain suuret paketit epäonnistuvat, kyse on koko- eikä reititysongelmasta.
Varo isäntäpuolen offloadia kaappauksia lukiessasi. Segmentointioffload voi näyttää kehyksiä paljon suurempina kuin mitä todella kulki johdolla, mikä saa toimivan polun näyttämään rikkinäiseltä ja rikkinäisen näyttämään kunnossa olevalta.
Milloin suuri MTU on oikea ratkaisu
Valvottu yksityisverkko voi laillisesti ajaa suurempia kehyksiä päästä päähän, kunhan jokainen polun laite on samaa mieltä ja tunnelin ylikuorma on laskettu mukaan. Se on koordinoitu suunnittelu, jossa jokaisella linkillä on dokumentoitu arvo, ei yksi suuri luku asiakkaaseen kirjoitettuna.
Tavalliselle julkiselle ulostulolle oleta 1500 tai vähemmän ja anna tunnelin valita turvallinen sisäinen MTU. RFC 8201 kattaa polun MTU:n löytämisen IPv6-tapauksessa ja on hyödyllinen viite siitä, miten palautteen on tarkoitus toimia.