מסגרות ג'מבו לא גורמות לנתיב VPN לשאת מנות של 9000 בייט
MTU גדול הוא הסכם קישור מקומי. הפחיתו את תקורת המנהרה מהקישור הקטן ביותר בנתיב לפני שאתם מעלים את הממשק הפנימי.
הפעלתם מסגרות של 9000 בייט ברשת המקומית וציפיתם שה-VPN יהיה מהיר יותר. הוא נעשה איטי יותר, או הפסיק להעביר העברות גדולות לגמרי. מסגרות ג'מבו הן הסכם קישור מקומי; הן לא מגדילות את הנתיב שהמנהרה חוצה.
התקציב השמיש נקבע על ידי הגבול הקטן ביותר בנתיב, כולל העטיפה שהמנהרה מוסיפה.
מה מסגרות ג'מבו באמת משנות
MTU הוא תכונה של ממשק אחד. העלאה שלו בשרת ובמתג שלו פירושה ששני אלה יכולים להחליף מסגרות גדולות יותר בלי פיצול. זה לא אומר דבר על הנתב שמעבר למתג, על ספק האינטרנט או על הצד השני של מנהרה. להתקנים האלה יש גבולות משלהם, ומנה שעוברת את אחד מהם נזרקת או מפוצלת לפי כללים שאתם לא קבעתם.
הסכם מקומי, השלכות גלובליות. זה כל הבלבול.
מס העטיפה
מנהרה עוטפת את המנה שלכם בתוך מנה אחרת. WireGuard מעל IPv4 UDP מוסיף כ-60 בייט של תקורה; מצב UDP של OpenVPN נמצא באותו טווח, ו-IPsec משתנה לפי מצב ואלגוריתמים. הבייטים האלה באים מהתקציב של הנתיב החיצוני, לא משום מקום.
לכן קישור חיצוני של 1500 בייט לא יכול לשאת מנה פנימית של 1500 בייט ברגע שמוסיפים כותרת מנהרה.
שווה לעשות את החשבון פעם אחת. בנתיב של 1500 בייט, ממשק WireGuard רוצה MTU בסביבות 1420 כדי שהמנה העטופה תיכנס. הגדירו את הממשק הפנימי ל-9000 וכל מנה גדולה תזדקק לפיצול שהמנהרה לא יכולה לבצע, או שתיזרק.
מצאו את הקישור הקטן ביותר בנתיב
עברו על הנתיב ומצאו את ה-MTU הנמוך ביותר. הרשת המקומית היא בדרך כלל 1500 או 9000, ה-WAN בדרך כלל 1500, וקישור סלולרי או PPP יכול להיות נמוך עוד יותר. אחר כך הפחיתו את תקורת המנהרה. אם התוצאה קטנה מה-MTU של הממשק הפנימי, יש לכם את התשובה. גילוי MTU של נתיב יכול למצוא זאת אוטומטית, אבל רק כשמאפשרים להודעות ICMP שהוא תלוי בהן לעבור.
ICMP מסונן הוא הסיבה הקלאסית לכך שהעברה גדולה נתקעת בזמן שבקשות קטנות עובדות מצוין.
בדקו תלות בגודל בלי להרחיב את השינוי
השתמשו בהעברה מייצגת ושמרו את הערכים המקוריים כדי שתוכלו להחזיר אותם. ping -M do -s 1472 בודק מנה של 1500 בייט עם סיבית DF דלוקה; הקטינו את הגודל עד שהיא עוברת. אם רק מנות גדולות נכשלות, יש לכם בעיית גודל ולא בעיית ניתוב.
היזהרו מ-offload בצד המארח בקריאת לכידות. offload של פילוח יכול להראות מסגרות גדולות בהרבה ממה שעבר בפועל על החוט, מה שגורם לנתיב עובד להיראות שבור ולשבור להיראות תקין.
מתי MTU גדול הוא התכנון הנכון
רשת פרטית מבוקרת יכולה להריץ כדין מסגרות גדולות יותר מקצה לקצה, בתנאי שכל התקן בנתיב מסכים ושתקורת המנהרה נלקחת בחשבון. זהו תכנון מתואם עם ערך מתועד לכל קישור, לא מספר גדול אחד שהוקלד בלקוח.
ליציאה ציבורית רגילה, הניחו 1500 או פחות ותנו למנהרה לבחור MTU פנימי בטוח. RFC 8201 מכסה גילוי MTU של נתיב למקרה IPv6 והוא מקור שימושי לאיך המשוב אמור לעבוד.