Os paquetes grandes desaparecen por IPsec mentres os pings pequenos seguen funcionando

As shells remotas seguen respondendo, as sondas pequenas responden e entón unha copia de ficheiro arrástrase e atópase sen ningún erro que alguén poida sinalar. Un ping cunha carga maior reprodúceo ao instante, e a mesma transferencia funciona desde a rede local. Nada do cifrado é lento; certos paquetes nunca chegan. Dúas divisións distintas poden producir esa sinatura, e deixan probas diferentes.

Dous lugares onde se pode dividir un paquete

Antes do cifrado, o encamiñador pode dividir un paquete interno demasiado grande e protexer cada anaco por separado. Despois do cifrado, o que se divide é o paquete externo xa rematado, e o extremo afastado ten que reensamblalo antes de descifrar nada. Mesmo síntoma, traballo distinto para o receptor e mandos distintos para vostede.

A distinción importa porque unha corrección dirixida ao lado equivocado cambia un número sen mover o fallo. Un paquete rexeitado na interface nunca chega a ser un paquete externo, así que ningún axuste do lado externo pode rescatalo.

Onde se toma realmente a decisión de tamaño

Unha interface de túnel leva unha IP MTU, e ese valor pode rexeitar un paquete interno demasiado grande moito antes de que o vexa a etapa IPsec. Pór un bit na cabeceira externa non revisa esa decisión anterior, porque o paquete xa fora rexeitado. Por iso subir a MTU interna ás veces empeora as cousas en lugar de melloralas. Lea o valor da interface e o comportamento externo antes de cambiar calquera dos dous, porque o cambio máis barato adoita ser o que explica o síntoma.

Comprobe primeiro o valor da interface e despois o comportamento externo. Dous números, dúas etapas, e normalmente só unha delas é a responsable.

O orzamento externo non é o orzamento interno

Cada encapsulación gasta bytes en cabeceiras, e a cantidade depende do transporte, da familia de enderezos e de se hai traversal de NAT. Un paquete interno que cabe na ligazón local aínda pode producir un paquete externo que non cabe na ruta máis alá. Mida a sobrecarga en lugar de supoñela, porque cada cabeceira opcional súmase á factura. Un túnel con traversal de NAT paga máis que un espido, e a diferenza abonda para romper unha transferencia que onte funcionaba.

Cando o paquete externo leva o bit de non fragmentar, un salto que non pode reenvialo descártao e debería devolver unha mensaxe ICMP. Se esa mensaxe se filtra nalgún punto, o emisor segue reintentando e o usuario ve un atasco sen explicación. Ese descarte silencioso é a razón habitual de que un problema de tamaño se informe como un problema de velocidade.

IPv6 elimina unha das opcións

Os encamiñadores IPv6 non fragmentan en tránsito, así que o paquete externo ou cabe ou desaparece cunha mensaxe Packet Too Big. Esa mensaxe convértese no único canal de retroalimentación, e bloquearla rompe o descubrimento de ruta para cada transferencia grande que veña despois. Os encamiñadores IPv4 poden fragmentar un paquete grande cando o bit está claro, o que agocha o fallo ata que algo máis pon ese bit.

Nunha pila mixta, o mesmo túnel pode comportarse de xeito distinto para as dúas familias, por iso unha proba sobre IPv4 non resolve unha queixa sobre IPv6. Unha comprobación que exercita unha familia deixa a metade da resposta sen medir.

A política de segmentos TCP non é unha resposta xeral

Limitar o tamaño máximo de segmento axuda aos fluxos TCP, e é un control lexítimo cando o problema se limita a eles. Non ten ningún efecto sobre UDP, que transporta DNS, algúns protocolos de voz e unha parte crecente do tráfico web.

Aplíqueo e despois probe a carga que fallou. Se o caso UDP segue fallando, a política de segmentos nunca foi a resposta e o orzamento da interface aínda precisa atención. Identifique primeiro o protocolo da carga que falla e despois escolla o control que lle corresponde.

A orde en que traballar

Anote a carga máis grande que sobrevive, despois a MTU da interface, despois se o paquete externo leva o bit de non fragmentar e por último se a retroalimentación ICMP chega ao emisor. Esa secuencia acouta o fallo sen adiviñar. Garde cada observación cunha marca de tempo e un extremo, porque os catro números móvense cando cambia a ruta.

Cambie un valor, volva probar a transferencia orixinal e garde o resultado. Un túnel que pasa unha sonda grande pero segue atascándose na aplicación pasou a outro problema, e iso é un avance que paga a pena anotar. A seguinte persoa prefire os números á conclusión.