Grutte pakketten ferdwine oer IPsec wylst lytse pings noch wurkje

Fierte shells bliuwe reagearjend, lytse probes antwurdzje, en dan krûpt in bestânskopy en stûket sûnder in flater dêr't immen op wize kin. In ping mei gruttere lading reprodusearret it daliks, en deselde oerdracht wurket fan it lokale netwurk. Der is neat stadich oan de fersifering; bepaalde pakketten komme nea oan. Twa ferskillende splitsingen kinne dat teken meitsje, en se litte ferskillende bewiis efter.

Twa plakken dêr't in pakket ferdield wurde kin

Foar de fersifering kin de router in te grut binnenpakket splitsje en elk stik apart beskermje. Nei de fersifering is it it kleare bûtenpakket dat ferdield wurdt, en de fiere kant moat it wer gearstalle foar't er eat ûntsiferje kin. Deselde symptoom, oar wurk foar de ûntfanger en oare knoppen foar jo.

It ferskil is wichtich, want in repaasje rjochte op de ferkearde kant feroaret in getal sûnder it defekt te ferpleatsen. In pakket dat by de ynterface wegere wurdt, wurdt nea in bûtenpakket, dus gjin ynstelling oan de bûtenkant kin it rêde.

Wêr't it gruttebeslút echt nommen wurdt

In tunnelinterface draacht in IP MTU, en dy wearde kin in te grut binnenpakket wegerje lang foar't de IPsec-fase it sjocht. In bit op de bûtenkop sette besjocht dat eardere beslút net opnij, want it pakket is al wegere. Dêrom makket it ferheegjen fan de binnen-MTU it soms slimmer ynstee fan better. Lês de ynterfacewearde en it bûtengedrach foar't jo ien fan beide feroarje, want de goedkeapere bewurking is meastentiids dejinge dy't de symptoom ferklearret.

Kontrolearje earst de ynterfacewearde, dan it bûtengedrach. Twa getallen, twa fazen, en meastentiids is mar ien fan beide ferantwurdlik.

It bûtenbudzjet is net it binnenbudzjet

Elke enkapsulaasje besteget bytes oan koppen, en it bedrach hinget ôf fan it ferfier, de adresfamylje en oft NAT-traversal yn it spul is. In binnenpakket dat yn 'e lokale keppeling past, kin noch in bûtenpakket meitsje dat net yn it paad dêrefter past. Mjit de oerheadkosten ynstee fan se oan te nimmen, want elke opsjonele kop wurdt by de rekken dien. In tunnel mei NAT-traversal betellet mear as in neaken ien, en it ferskil is genôch om in oerdracht te brekken dy't juster wurke.

Wannear't it bûtenpakket it do-not-fragment-bit draacht, smyt in hop dy't it net trochjaan kin it fuort en soe in ICMP-berjocht weromstjoere moatte. Wannear't dat berjocht earne filtere wurdt, bliuwt de stjoerder besykjen en de brûker sjocht in stilstân sûnder ferklearring. Dat stille weismiten is de gewoane reden dat in grutteprobleem as in faasjeprobleem rapportearre wurdt.

IPv6 hellet ien fan de opsjes wei

IPv6-routers fragmintearje net yn transito, dus it bûtenpakket past of ferdwynt mei in Packet Too Big-berjocht. Dat berjocht wurdt it iennichste weromkeppelingkanaal, en it blokkearjen dêrfan brekt paadfining foar elke grutte oerdracht dy't folget. IPv4-routers kinne in grut pakket fragmintearje wannear't it bit dúdlik is, wat it defekt ferberget oant eat oars dat bit set.

Op in mingde stack kin deselde tunnel him oars hâlde foar de twa famyljes, dêrom besljochtet ien test oer IPv4 in IPv6-klacht net. In kontrôle dy't ien famylje oefenet, lit de helte fan it antwurd ûnmetten.

TCP-segmintbelied is net in algemien antwurd

It beheinen fan de maksimale segmintgrutte helpt TCP-striemen, en it is in legitime kontrôle wannear't it probleem him ta har beheint. It hat gjin effekt op UDP, dat DNS, guon stimprotokollen en in groeiend part fan it webfefier draacht.

Pas it ta en test dan de wurklêst dy't mislearre. As it UDP-gefal noch mislearret, wie it segmintbelied nea it antwurd en hat it ynterfacebudzjet noch oandacht nedich. Identifisearje earst it protokol fan 'e mislearre wurklêst, kies dan de kontrôle dy't dêrby heart.

De folchoarder om yn te wurkjen

Skriuw de grutste lading op dy't oerlibbet, dan de ynterface-MTU, dan oft it bûtenpakket it do-not-fragment-bit draacht, en as lêste oft ICMP-weromkeppeling de stjoerder berikt. Dy folchoarder ferget it defekt sûnder te rieden. Hâld elke waarnimming mei in tiidstimpel en in einpunt, want alle fjouwer getallen ferpleatse har wannear't it paad feroaret.

Feroarje ien wearde, test de oarspronklike oerdracht opnij en hâld it resultaat. In tunnel dy't in grutte probe hellet mar noch altyd stûket op de applikaasje, is nei in oar probleem ferhuze, en dat is foarútgong dy't it opskriuwen wurdich is. De folgjende persoan hat leaver de getallen as de konklúzje.