Jumbo-ramen meitsje net dat in VPN-paad pakketten fan 9000 byte ferfiert

Jo hawwe 9000-byte-ramen op 'e LAN ynskeakele en ferwachte dat de VPN flugger wurde soe. Hy waard stadiger, of hold hielendal op mei it trochlitten fan grutte oerdrachten. Jumbo-ramen binne in pleatslike keppelingsôfspraak; se meitsje it paad dat de tunnel oerstekt net grutter.

It brûkbere budzjet wurdt bepaald troch de lytste grins op 'e rûte, ynklusyf de ynkapseling dy't de tunnel tafoeget.

Wat jumbo-ramen eins feroarje

In MTU is in eigenskip fan ien ynterface. It ferheegjen op in server en syn switch betsjut dat dy twa gruttere ramen útwikselje kinne sûnder fragmintaasje. It seit neat oer de router efter de switch, oer de provider of oer de oare kant fan in tunnel. Dy apparaten hawwe har eigen grinzen, en in pakket dat ien fan dy oerskriuwt wurdt weilitten of fragmintearre neffens regels dy't jo net ynsteld hawwe.

Pleatslike ôfspraak, globale gefolgen. Dat is de hiele betizing.

De ynkapselingsbelesting

In tunnel wikkelt jo pakket yn in oar. WireGuard oer IPv4 UDP foeget sawat 60 byte oerheid ta; de UDP-modus fan OpenVPN sit yn itselde berik, en IPsec ferskilt mei modus en algoritmen. Dy bytes komme út it budzjet fan it bûtenste paad, net út 'e loft.

Sa kin in bûtenste keppeling fan 1500 byte gjin binnenpakket fan 1500 byte ferfiere as der in tunnelkop bykomt.

De rekken is it wurdich ien kear te dwaan. Op in paad fan 1500 byte wol in WireGuard-ynterface in MTU fan sawat 1420, sadat it ynkapsle pakket past. Set de binnenynterface op 9000 en elk grut pakket hat fragmintaasje nedich dy't de tunnel net dwaan kin, of wurdt weilitten.

Fyn de lytste keppeling op it paad

Rin de rûte del en fyn de leechste MTU. De LAN is meastentiids 1500 of 9000, de WAN meastentiids 1500, en in mobile of PPP-keppeling kin noch leger wêze. Lûk dan de tunnel-oerheid derôf. As it resultaat lytser is as de MTU fan 'e binnenynterface, hawwe jo jo antwurd. Paad-MTU-ûntdekking kin dit automatysk fine, mar allinnich as de ICMP-berjochten dêr't it fan ôfhinklik is trochlitten wurde.

Filtere ICMP is de klassike reden dat in grutte oerdracht hinget wylst lytse oanfragen prima wurkje.

Test grutte-ôfhinklikens sûnder de feroaring te ferbreedzjen

Brûk in represintative oerdracht en bewarje de orizjinele wearden sadat jo se weromsette kinne. ping -M do -s 1472 test in pakket fan 1500 byte mei de DF-bit ynsteld; ferlytsje de grutte oant it trochgiet. As allinnich grutte pakketten misse, hawwe jo in grutteprobleem en gjin rûteprobleem.

Wês op jo hoede foar offload oan 'e hostkant by it lêzen fan opnamen. Segmintaasje-offload kin ramen sjen litte dy't folle grutter binne as wat der echt oer de tried gie, wêrtroch't in wurkjend paad der brutsen út sjocht en in brutsen paad der goed út sjocht.

Wannear't in grutte MTU it juste ûntwerp is

In kontrolearre privee-netwurk kin gruttere ramen fan ein oant ein rinne litte, mits elk apparaat op it paad it dermei iens is en de tunnel-oerheid meirekkene wurdt. Dat is in koördinearre ûntwerp mei in dokumintearre wearde per keppeling, net ien grut getal dat yn in klant typt is.

Foar in gewoane iepenbiere útgong, nim 1500 of minder oan en lit de tunnel in feilige binnen-MTU kieze. RFC 8201 behannelet paad-MTU-ûntdekking foar it IPv6-gefal en is in nuttige referinsje foar hoe't de weromkeppeling wurkje moat.