IPv4 fragmintear ûnderweis; IPv6 stjoert ynstee in berjocht oer in te grut pakket
Allinne IPv4-routers meie in te grut pakket fragmintearje. IPv6 ferwachtet dat de stjoerder reagearret op it berjocht oer in te grut pakket, dat in tunnel of in filtere ICMP-regel ferbrekke kin.
IPv6-flaters wurde folle faker op it protokol skood as op de pakketgrutte dy't se feroarsake hat. De beide famyljes behannelje in te grut pakket echt oars, en in tunnel is wat it ferskil wichtich makket. IPv4-routers meie in pakket fragmintearje as de regels it tasteane, wylst IPv6-routers hielendal net ûnderweis fragmintearje meie. IPv6 seit it ynstee tsjin de stjoerder, en fan de stjoerder wurdt ferwachte dat er reagearret. Alles wat dêrnei misgiet, folget út oft dat berjocht oankomt.
Wat elke famylje docht
De tabel is it meganisme yn fjouwer rigels, en ien rige ferklearret it measte fan de betizing.
| Behaviour | IPv4 | IPv6 |
|---|---|---|
| Router fragments an oversized packet | Allowed while DF is clear | Never |
| Signal returned to the sender | ICMP Fragmentation Needed | ICMPv6 Packet Too Big |
| Size that must always work | 68 bytes | 1280 bytes |
| Fragmentation possible | Routers or source | Source only |
IPv6 hat gjin fragmintaasje ûnderweis en gjin DF-flagge om te wiskjen, dus der is neat om op werom te fallen as in pakket te grut is. De stjoerder moat it witte, en de stjoerder moat it leauwe.
De tunnel ferhellet it paad stil
In VPN foeget bûtenste headeren ta, en yn it fersifere gefal ek yntegriteitsgegevens, foardat it pakket de host ferlit. It binnenste pakket kin yn 'e MTU fan 'e ynterface passe dy't it sjocht, wylst it bûtenste pakket de limyt fan 'e folgjende skeakel oerskriuwt, en dêrom komt dit earst yn in tunnel nei foaren. Ferlytsje de MTU fan 'e tunnel-ynterface mei opsetsin, of knyp TCP MSS op it paad, en skriuw op hokker nûmer jo keazen hawwe en wêrom.
De ESP-oerlaast hinget fan 'e modus en algoritmen ôf, dus de juste tunnel-MTU is in berekkening en gjin konvinsje. Wat jo ek kieze, it moat romte litte foar in folslein binnenste IPv6-pakket fan 1280 byte, want elke IPv6-skeakel moat safolle drage. In tunnel dy't 1280 byte IPv6 net drage kin, is gjin ôfstimmingsprobleem; it is in brutsen paad foar dy famylje. Krekt dy beheining ferdwynt as in MTU-wearde kopiearre wurdt fan in ynstallaasje mei allinne IPv4.
Wêrom't it symptoom in hingjen is
De flater is gjin skjinne flater, en dêrom wurdt er ferkeard diagnostisearre. In TCP-hânskodding rint ôf, lytse antwurden komme oan, en de ferbining stûket sa gau't in grut antwurd of in grutte upload begjint, want dat binne de earste pakketten dy't grut genôch binne om fuortsmiten te wurden. SSH ferbynt en hinget dan op 'e earste grutte útfier, en de kop fan in side wurdt laden wylst it lichem nea klear komt.
As de ICMPv6-berjochten oer in te grut pakket filtere wurde, leart de stjoerder it nea en besiket er hieltyd deselde grutte. Dat is in swart gat en gjin traach paad, en syn sinjaal is in werhelbere gruttegrens en gjin tafallich ferlies. It tastean fan it relevante kontrôletrafyk is diel fan in wurkjende IPv6-ynstallaasje, net in hoflikens.
Skeakelje de berjochten dêr't jo eigen paad fan ôfhinklik is net út en beskriuw it resultaat dan as in IPv6-flater. Itselde argumint jildt foar de Fragmentation Needed-berjochten fan IPv4, dy't like ûnpopulêr by firewall-skriuwers en like nedich binne.
Mjit de grins en reparearje dan de laach
Kontrolearje ynstee fan te rieden: brûk de don't-fragment-flagge op IPv4 en fêste ladinggrutten op IPv6, en skriuw op wêr't antwurden ophâlde. ping -M do -s 1472 en ping -6 -s 1400 binne genôch om de foarm fan it probleem fêst te stellen, en tracepath rapportearret de ûntdutsen paad-MTU ûnderweis.
Reparearje dan de laach dy't it nûmer besit: de MTU fan 'e tunnel-ynterface, de MSS-knyp foar TCP, of it paad sels. RFC 8200 is de referinsje foar de IPv6-regel, en dy is koarter te lêzen as it ynsidint dat er foarkomt.
Test de famylje dy't de applikaasje echt brûkt, want in dûbel-stack-namme kin op 'e iene famylje antwurdzje en op 'e oare net, en in applikaasje kin feroarje nei in netwurkferoaring. Skriuw it adres op dat jo testen, want in resultaat tsjin 'e A-records seit neat oer de AAAA-records.
Behannelje de gruttegrens as bewiis
In werhelbere gruttegrens is ien fan 'e pear netwurkflaters dy't him presys werhellet, by itselde oantal bytes, fan deselde boarne, elke kear. Dat makket it in kado en gjin riedsel, en it betsjut ek dat in repaaraasje ferifiearre wurde kin ynstee fan hope.
Skriuw de ûntdutsen MTU, de ynstelde tunnel-MTU en de test dy't it ferskil bewiisde yn it ticket. De folgjende persoan treft deselde rekkenkunde op in oare skeakel.