OpenVPN ilmoittaa epäjohdonmukaisesta MTU:n käytöstä: mitä varoitus vertaa

Tämä varoitus kertoo vastapuolten asetusten vertailusta, ei niiden välisen polun mittauksesta. Ihmiset lukevat sen muodossa «MTU on väärin» ja muuttavat lukua, kunnes rivi katoaa. Näin asetusten vertailua kohdellaan verkkona mittauksena, ja se usein huonontaa tunnelia samalla kun loki hiljenee. Hyödyllinen ensimmäinen askel on päättää, kumpi näistä kahdesta ongelmasta sinulla todella on.

Vastauksen ratkaisee kolme ehtoa: mitä vastapuolet vertaavat, onko arvo vanhentunut ja mikä oire on varoituksen lisäksi.

Varoitus vertaa asetuksia, ei paketteja

OpenVPN-vastapuolet vaihtavat asetusmerkkijononsa kättelyn aikana ja vertaavat niitä asetusten johdonmukaisuustarkistuksen osana. Kun toinen puoli ilmoittaa link-mtu- tai tun-mtu-arvon toisesta poiketen, ero kirjataan molemmilla arvoilla. Tuo vaihto ei koskaan lähetä suurta pakettia nähdäkseen, mitä tapahtuu, joten varoitus kuvaa asetuksia, ei kapasiteettia. Tunneli voi kuljettaa täysikokoista liikennettä ja silti tulostaa sen, tai epäonnistua suurilla paketeilla ja olla tulostamatta mitään.

Säilytä koko varoitus paikallisen ja etäarvon kanssa. Pari on todiste; yksittäinen luku, jonka muistat, ei ole.

Miksi link-mtu on vanhentunut

OpenVPN 2.6 merkitsee valinnan link-mtu vanhentuneeksi, koska muuttuvat otsakkeet ja neuvotellut salaukset tekevät kiinteästä linkkiarvosta epäluotettavan. Asetus oletti pakettiasettelun, jota protokolla ei enää takaa, joten vanha profiili, jossa on kirjaimellinen link-mtu, kuvaa aikomusta, jota nykyinen koodi ei voi täyttää. Tuon luvun kopioiminen uuteen profiiliin levittää vanhentunutta oletusta. Lue se osana vanhan profiilin historiaa, älä suosituksena.

Johdonmukaisuustarkistuksessa on myös valinnainen OCC-arvo, joka on sidottu tun-mtu -arvoon ja muuttaa sitä, mitä verrataan, muuttamatta sitä, mitä verkko kuljettaa. Sen asettaminen ei mahduta suurempia paketteja.

Korjaa profiili ennen polun testaamista

Korjaa tahaton ero niiden kautta, jotka omistavat profiilit, ja muista, että palvelinpuolen muutos vaikuttaa jokaiseen asiakkaaseen. Muokkaa profiilia, jonka instanssi todella lataa, älä latauskansiossa olevaa vientiä. Yhdistä sitten yksi testiasiakas uudelleen ja pane merkille, mikä varoitus jää. Jos viesti muuttaa muotoaan sen sijaan että katoaisi, vertaat muita asetuksia kuin luulet.

Jaettu palvelin tarvitsee asiakasluettelonsa tarkistuksen ennen kuin yleistä arvoa siirretään, koska yhdelle sivustolle sopiva arvo voi rikkoa toisen.

Testaa sitten oire, joka sinulla todella on

Jos suuret siirrot juuttuvat pienten pyyntöjen onnistuessa, mittaa pakettikoko hallittua kohdetta vastaan. Koetus, joka asettaa ei-fragmentoi-bitin ja kasvattaa hyötykuorman kokoa, löytää polun käyttökelpoisen MTU:n paljon luotettavammin kuin ping, joka vain onnistuu. Ota testiin mukaan myös epäonnistuva sovellus: ICMP-aikakatkaisu voi heijastaa suodatusta, eikä pieni onnistunut ping kerro mitään täysikokoisesta sovelluspaketista.

mssfix rajoittaa tunnelin sisäisille TCP-istunnoille ilmoitettua MSS:ää, mikä auttaa TCP:tä eikä tee mitään sisäiselle UDP-kuormalle. Pirstaloinnin ja purun asetuksilla on omat yhteensopivuusehtonsa. Valitse mekanismi osoitettuun ongelmaan sen sijaan, että muutat useita kerralla lokirivin hiljentämiseksi.

Säilytä teholliset arvot tuloksen kanssa

Kirjaa alkuperäiset ja korjatut teholliset arvot todellisen siirron tuloksen viereen. Juuri tämä pari erottaa vanhentuneen profiiliasetuksen polun MTU-ongelmasta, joka on olemassa itsenäisesti. Ilman sitä seuraava lukija näkee varoituksen, joka katosi, ja olettaa verkon muuttuneen.

Johdonmukaisuustarkistuksen vaimentaminen ei sovita mitään. Se poistaa havainnon ja jättää molemmat kokoonpanot sellaisiksi kuin ne olivat.