OpenVPN signale un usage incohérent du MTU : ce que compare l'avertissement

Cet avertissement rend compte d'une comparaison entre les options des pairs, pas d'une mesure du chemin entre eux. Les gens le lisent comme « le MTU est faux » et changent le nombre jusqu'à ce que la ligne disparaisse. Cela traite une comparaison de configuration comme une mesure réseau, et cela aggrave souvent le tunnel tout en rendant le journal plus silencieux. La première étape utile est de décider lequel de ces deux problèmes vous avez réellement.

Trois conditions décident de la réponse : ce que les pairs comparent, si la valeur est héritée et quel symptôme existe au-delà de l'avertissement.

L'avertissement compare des options, pas des paquets

Les pairs OpenVPN échangent leurs chaînes d'options pendant la poignée de main et les comparent dans le cadre du contrôle de cohérence des options. Quand un côté annonce link-mtu ou tun-mtu différemment de l'autre, l'écart est enregistré avec les deux valeurs. Cet échange n'envoie jamais de gros paquet pour voir ce qui se passe, donc l'avertissement décrit la configuration, pas la capacité. Un tunnel peut transporter du trafic pleine taille et l'afficher quand même, ou échouer sur les gros paquets et n'afficher rien du tout.

Conservez l'avertissement complet avec ses valeurs locale et distante. La paire est la preuve ; le nombre isolé dont vous vous souvenez ne l'est pas.

Pourquoi link-mtu est obsolète

OpenVPN 2.6 déclare link-mtu obsolète parce que les en-têtes variables et les chiffrements négociés rendent une valeur de lien fixe peu fiable. L'option supposait une disposition de paquet que le protocole ne garantit plus, donc un ancien profil portant un link-mtu littéral décrit une intention que le code actuel ne peut pas honorer. Copier ce nombre dans un nouveau profil propage une hypothèse obsolète. Lisez-le comme faisant partie de l'histoire de l'ancien profil, pas comme une recommandation.

Le contrôle de cohérence comporte aussi une valeur OCC facultative liée à tun-mtu, qui change ce qui est comparé sans changer ce que le réseau transporte. La fixer ne fait pas tenir des paquets plus gros.

Réparez le profil avant de tester le chemin

Corrigez un écart involontaire par l'intermédiaire de qui possède les profils, et rappelez-vous qu'un changement côté serveur affecte chaque client. Modifiez le profil que l'instance charge réellement, pas un export qui traîne dans un dossier de téléchargements. Reconnectez ensuite un client de test et notez quel avertissement survit. Si le message change de forme au lieu de disparaître, vous comparez d'autres options que ce que vous croyez.

Un serveur partagé doit faire vérifier son inventaire de clients avant qu'une valeur globale ne bouge, car la valeur qui convient à un site peut en casser un autre.

Testez ensuite le symptôme que vous avez réellement

Si les gros transferts bloquent alors que les petites requêtes réussissent, mesurez la taille de paquet vers une destination contrôlée. Une sonde qui pose le bit « ne pas fragmenter » et augmente la taille de la charge utile trouve le MTU utilisable du chemin bien plus fiablement qu'un ping qui réussit simplement. Incluez l'application en échec dans le test : un délai ICMP peut refléter un filtrage, et un petit ping réussi ne dit rien d'un paquet applicatif pleine taille.

mssfix plafonne le MSS annoncé pour les sessions TCP à l'intérieur du tunnel, ce qui aide TCP et ne fait rien pour une charge UDP interne. La fragmentation et l'offload ont leurs propres conditions de compatibilité. Choisissez un mécanisme pour le problème démontré plutôt que d'en changer plusieurs à la fois pour faire taire une ligne de journal.

Conservez les valeurs effectives avec le résultat

Notez les valeurs effectives d'origine et corrigées à côté du résultat d'un transfert réel. C'est cet appariement qui sépare une option de profil obsolète d'un problème de MTU sur le chemin qui existe indépendamment. Sans lui, le lecteur suivant voit un avertissement disparu et suppose que le réseau a changé.

Supprimer le contrôle de cohérence ne réconcilie rien. Cela retire l'observation et laisse les deux configurations telles qu'elles étaient.