Nestele VPN-tunnels: wêrom't de binnenste stûket op grutte pakketten
Elke tunnel brûkt in part fan it pakketbudzjet fan it paad foardat de folgjende begjint. Tel de koppen op en de binnensessje mislearret op grutte pakketten.
DNS lost op, de SSH-sesje bliuwt oerein, en dan befriest in grutte upload wylst in ping nei deselde host noch antwurdet. Dy splitsing wiist op pakketgrutte ynstee fan in stikken tunnel. Nestele tunnels berikke dat by grutten dy't gjin fan de tunnels allinich berikke soe. De binnensessje is goed; der wurde gewoan pakketten oan jûn dy't net mear passe.
Wêr't de MTU fan it paad eins hinne giet
Elke ynkapseling brûkt bytes foardat de folgjende laach oan bar is. In Ethernet-paad biedt 1500 bytes oan it bûtenste pakket, en de bûtenste tunnel nimt syn part foardat eat dêr yn adressearre wurde kin. Ien rieden overheadwearde sil ferkeard wêze krekt mei it bedrach dat fan belang is.
List de lagen yn folchoarder op: tagongspaad, bûtenste ferfier, bûtenste tunnel, binnenste ferfier, binnenste tunnel, applikaasje. Tel elke kop ien kear, en hâld UDP apart fan ’e eigen kop en tag fan ’e tunnel.
Twa WireGuard-lagen, ien kear teld
Nim in IPv4-tagongspaad mei ien WireGuard-tunnel yn in oare. De bûtenste laach kostet 20 bytes IPv4, 8 fan UDP en 32 foar de WireGuard-datakop plus syn autentikaasjetag. Dêryn hat de binnenste tunnel syn eigen IPv4-kop fan 20 bytes en UDP-kop fan 8 bytes nedich foar syn twadde 32 bytes WireGuard-overhead. Wat oerbliuwt, hâldt in IPv4-kop, in TCP-kop en de gegevens. In bûtenste IPv6-paad kostet 40 ynstee fan 20 en lit 1320 oer.
| Layer | Bytes |
|---|---|
| Path MTU | 1500 |
| Outer IPv4 header | 20 |
| Outer UDP header | 8 |
| Outer WireGuard header and tag | 32 |
| Inner transport IPv4 header | 20 |
| Inner UDP header | 8 |
| Inner WireGuard header and tag | 32 |
| Innermost IPv4 header | 20 |
| TCP header | 20 |
| Payload that fits | 1340 |
De rekkenjen einiget op 1340 bytes. Ien laach ûnder deselde regels lit 1400 foar de TCP-benuttige lading, dat is 1500 minus 20, 8, 32, 20 en 20, en it ferskil fan 60 bytes is krekt de binnenste ynkapseling dy't de twadde tunnel tafoeget.
Pas 1400 ta op in nestele paad en de binnenste tunnel komt 60 bytes te koart, ûnsichtber oant in pakket grut genôch is om se nedich te hawwen. Opfoljen en de eigen fragmintaasjeopsje fan in protokol ferpleatse de sifers wer, dus fertrou de tabel.
MTU, MSS en fragmintaasje wurkje op ferskate plakken
Interface-MTU beheint wat de interface útstjoert, wylst TCP-MSS-klemmen feroaret wat in TCP-pear stjoere wol. Klemmen reparearret TCP-sesjes en docht neat foar in grut UDP-datagram, sa liket in reparaasje súksesfol foar ien applikaasje en mist stil de folgjende. De eigen fragmintaasjeopsje fan in protokol is in tredde hefbeam mei syn eigen mislearrings. Interface-MTU is de gewoane earste set en de grofste.
Brette en rûteare tunnels drage ferskate frames, dus sifers fan in oare ynset wurde selden oerdroegen. Paad-MTU-ûntdekking, beskreaun yn RFC 8201, helpt allinnich salang't de ICMP-berjochten dêr't it fan ôfhinklik is trochlitten wurde.
De laach fine dy't te koart komt
Kontrolearje elke tunnel apart foardat jo se nestelje, as de easken in fergeliking tastean. In sonde fan fêste grutte beslist it: ping -M do -s 1472 -c 3 10.8.0.1 stjoert in folslein IPv4-pakket fan 1500 bytes binnen dy laach. Foegje de twadde laach ta en werhelje deselde sonde, sadat elke mislearring by in bekende feroaring heart.
As in oerdracht fêstkomt, feroarje dan ien dokumintearre parameter tagelyk en notearje de grutte dy't mislearret. Kontrolearje ek it werompaad, want nestele rûte-rekursy kin in pakketgrutteprobleem krap genôch neibeare om in middei te kostjen. In filtere ICMP-antwurd kin de echte limyt ferbergje, dus de sonde jildt mear as de redenearring.
Skriuw it budzjet dêr't de folgjende persoan it fine sil
In tabel mei ien rige per laach oerlibbet in tomme-regel. Hâld it njonken it tunnelskema sadat nimmen de rekkenjen ûnder druk op ’e nij docht.
Mear tunnels betsjutte mear ôfhinklikens, dus in weromdraaiplan fertsjinnet syn plak njonken it budzjet. As de sifers noch net klopje, mjit it paad ynstee fan wer te rieden. It doel is in sifer dat jo ferdigenje kinne, net ûnthâlde.