OpenVPN מזהיר משימוש לא עקבי ב-MTU: מה ההשוואה באמת בודקת

האזהרה הזו מדווחת על השוואה בין אפשרויות העמיתים, לא על מדידה של הנתיב ביניהם. אנשים קוראים אותה כ«ה-MTU שגוי» ומשנים את המספר עד שהשורה נעלמת. כך מתייחסים להשוואת תצורה כאל מדידת רשת, ולעיתים קרובות זה מחמיר את המנהרה בזמן שהוא משתיק את היומן. הצעד הראשון המועיל הוא להחליט איזו משתי הבעיות באמת יש לכם.

שלושה תנאים קובעים את התשובה: מה העמיתים משווים, אם הערך מיושן ואיזה סימפטום קיים מעבר לאזהרה.

האזהרה משווה אפשרויות, לא מנות

עמיתי OpenVPN מחליפים את מחרוזות האפשרויות שלהם במהלך לחיצת היד ומשווים אותן כחלק מבדיקת העקביות של האפשרויות. כשצד אחד מדווח על link-mtu או tun-mtu אחרת מהצד השני, אי-ההתאמה נרשמת עם שני הערכים. ההחלפה הזו לא שולחת לעולם מנה גדולה כדי לראות מה יקרה, ולכן האזהרה מתארת תצורה ולא קיבולת. מנהרה יכולה להעביר תנועה בגודל מלא ועדיין להדפיס זאת, או להיכשל במנות גדולות ולא להדפיס דבר.

שמרו את האזהרה המלאה עם הערך המקומי והמרוחק שלה. הזוג הוא הראיה; המספר הבודד שאתם זוכרים אינו.

למה link-mtu מיושן

OpenVPN 2.6 מכריז על link-mtu כמיושן, כי כותרות משתנות וצפנים מנוהלים הופכים ערך קישור קבוע ללא אמין. האפשרות הניחה פריסת מנה שהפרוטוקול כבר לא מבטיח, ולכן פרופיל ישן שנושא link-mtu מילולי מתאר כוונה שהקוד הנוכחי אינו יכול למלא. העתקת המספר הזה לפרופיל חדש מפיצה הנחה מיושנת. קראו אותו כחלק מההיסטוריה של הפרופיל הישן, לא כהמלצה.

לבדיקת העקביות יש גם ערך OCC אופציונלי הקשור ל-tun-mtu, שמשנה מה מושווה בלי לשנות מה הרשת מעבירה. הגדרתו לא גורמת למנות גדולות יותר להיכנס.

תקנו את הפרופיל לפני בדיקת הנתיב

תקנו אי-התאמה לא מכוונת דרך מי שמחזיק בפרופילים, וזכרו ששינוי בצד השרת משפיע על כל לקוח. ערכו את הפרופיל שהמופע באמת טוען, לא ייצוא שיושב בתיקיית הורדות. לאחר מכן חברו מחדש לקוח בדיקה אחד ושימו לב איזו אזהרה שורדת. אם ההודעה משנה צורה במקום להיעלם, אתם משווים אפשרויות אחרות מאלה שאתם חושבים.

שרת משותף צריך שבדיקת מלאי הלקוחות שלו תיעשה לפני שערך גלובלי זז, כי הערך שמתאים לאתר אחד יכול לשבור אחר.

ואז בדקו את הסימפטום שבאמת יש לכם

אם העברות גדולות נתקעות בעוד בקשות קטנות מצליחות, מדדו את גודל המנה מול יעד מבוקר. גלאי שמגדיר את סיבית «אל תפצל» ומגדיל את גודל המטען מוצא את ה-MTU השמיש של הנתיב בצורה אמינה הרבה יותר מ-ping שפשוט מצליח. כללו בבדיקה את היישום שנכשל: פסק זמן של ICMP יכול לשקף סינון, ו-ping קטן מוצלח לא אומר דבר על מנת יישום בגודל מלא.

mssfix מגביל את ה-MSS שמוכרז עבור הפעלות TCP בתוך המנהרה, מה שעוזר ל-TCP ולא עושה דבר לעומס UDP פנימי. להגדרות פיצול ופריקה יש תנאי תאימות משלהן. בחרו מנגנון לבעיה שהוכחה במקום לשנות כמה בבת אחת כדי להשתיק שורת יומן.

שמרו את הערכים האפקטיביים עם התוצאה

רשמו את הערכים האפקטיביים המקוריים והמתוקנים לצד התוצאה של העברה אמיתית. הזוג הזה הוא מה שמפריד בין אפשרות פרופיל מיושנת לבין בעיית MTU בנתיב שקיימת באופן עצמאי. בלעדיו, הקורא הבא רואה אזהרה שנעלמה ומניח שהרשת השתנתה.

דיכוי בדיקת העקביות לא מיישב דבר. הוא מסיר את התצפית ומשאיר את שתי התצורות כפי שהיו.