WireGuard stiet stil: in MTU-limyt of in ûntbrekkende trochstjoerregel?

De gewoante is om de MTU te ferleegjen sadree’t WireGuard him misdraacht, en dy gewoante ferberget in oare fout. In poarte dy’t net trochstjoert en in paad dat gjin grutte pakketten draacht, meitsje ûnderskiedbere patroanen: de iene falt yn beide rjochtingen en by elke grutte, de oare oerlibbet lytse oanfragen en stjert op grutte. Bepaal hokker foarm jo hawwe foardat jo in getal feroarje. De test is goedkeap en hy hellet de helte fan de mooglike oarsaken fuort.

Twa fouten, twa ferskillende foarmen

In trochstjoerprobleem ferskynt fuort efter de tsjinner. De hânskudslag slagget, it tunneladres antwurdet, en neat efter de poarte is berikber, sels net mei in lyts oanfraach. It pakket berikt de tsjinner en waard net trochjûn, of it antwurd hie gjin weromrûte.

In grutteprobleem ferskynt allinnich boppe in drompel. DNS, in TCP-hânskudslag en in lyts API-oprop wurkje allegear, wylst in bestânsoerdracht of in grut antwurd hinget. De pakketten dy’t der yn pasten reizgen fan ein oant ein, en dy’t der net yn pasten waarden earne weilitten sûnder brûkber rapport.

Dy beskriuwings wize nei ferskillende minsken en ferskillende konfiguraasjebestannen, dêrom is it mjitten fan ‘e foarm mear wurdich as in gissing. Ien inkele ping nei de poarte kin se net skiede.

Slút trochstjoeren út foardat jo wat ferlytsje

Test in bestimming efter de poarte, net de poarte sels. In ping nei it tunneladres fan ‘e tsjinner bewiist allinnich dat de ynterface oan is en dat jo de masine berikke dy’t de tunnel einiget. Ferkeat foar it bredere netwurk hinget ôf fan it ynskeakeljen fan IP-trochstjoeren op dy masine en fan in fjoermuorre dy’t de trochjûne stream taliet. Beide moatte wier wêze, en as ien falsk is, ûntstiet deselde stilte.

Weromrûteleas liedt likefolle ta. As it bestimmingsnetwurk net wit hoe’t it it tunneladres fan ‘e klant berikke moat, komt it oanfraach oan en ferdwynt it antwurd, en de klant rapportearret in tiidferrin dat itselde liket as in weilitten trochstjoering.

Dêr’t it ûntwerp adresoersetting brûkt, is de oersettingsregel diel fan dat werompaad. It fuortheljen dêrfan wylst jo in MTU-probleem efterfolgje, feroaret in wurkjend ûntwerp yn in brutsen ien, dus lês de besteande regels foardat jo se bewurkje.

Mjit wêr’t de brek begjint

Lês earst de trochstjoerstatus en de filterregels. It binne kontrôles allinnich foar lêzen en se beantwurdzje de goedkeape fraach:

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
ip route get 10.30.0.9

Test dan gruttes mei de don’t-fragment-bit, fan ‘e klant, nei in host efter de poarte:

ping -M do -s 1200 10.30.0.9
ping -M do -s 1400 10.30.0.9

As de earste test wurket en de twadde mislearret mei in fragmintearringsfout, fertelt it paad jo syn brûkbere grutte. As net ien wurket, sjogge jo nei trochstjoeren of rûteleas liedt, en MTU is net de fariabele om te feroarjen.

Reparearje de laach dy’t jo bewiisd hawwe

As trochstjoeren de fout is, is de korreksje in trochstjoerregel of in rûte, sa nau útdrukt as it ûntwerp taliet. As grutte de fout is, is de korreksje in MTU dy’t de ynkapseling op dit spesifike paad meinimt, tapast op ‘e ynterface dy’t it nedich hat en net op elk adapter yn ‘e float.

Hoe dan ek, werhelje dêrnei deselde taak tsjin deselde bestimming. As de oarspronklike grutte oerdracht no foltôget, hat de feroaring de laach oanpakt dy’t fally. As allinnich de lytse test better waard, hawwe jo in symptoom behannele en de echte limyt stiet noch altyd.

Skriuw op hokker foarm jo foar de feroaring seagen. Dy iene rigel, njonken de oplossing fêstlein, is wat de folgjende persoan tsjinhâldt om in MTU te ferleegjen dy’t nea it probleem wie.