Veliki paketi nestaju preko IPsec-a dok mali pingovi i dalje rade

Udaljene ljuske ostaju responzivne, mali testovi odgovaraju, a zatim kopiranje datoteke puže i staje bez ikakve greške na koju bi netko mogao pokazati. Ping s većim teretom to odmah reproducira, a isti prijenos radi iz lokalne mreže. Ništa u enkripciji nije sporo; određeni paketi nikada ne stignu. Dvije različite podjele mogu proizvesti taj znak i ostavljaju različite dokaze.

Dva mjesta na kojima se paket može podijeliti

Prije enkripcije usmjerivač može podijeliti preveliki unutarnji paket i zaštititi svaki dio zasebno. Nakon enkripcije dijeli se gotov vanjski paket, a udaljena strana ga mora ponovno sastaviti prije nego što išta dešifrira. Isti simptom, drugačiji posao za primatelja i drugačije poluge za vas.

Razlika je važna jer popravak usmjeren na pogrešnu stranu mijenja broj bez pomicanja kvara. Paket odbijen na sučelju nikada ne postaje vanjski paket, pa ga nikakva postavka s vanjske strane ne može spasiti.

Gdje se odluka o veličini doista donosi

Sučelje tunela nosi IP MTU, a ta vrijednost može odbiti preveliki unutarnji paket mnogo prije nego što ga vidi faza IPsec. Postavljanje bita u vanjsko zaglavlje ne preispituje tu raniju odluku jer je paket već odbijen. Zato podizanje unutarnjeg MTU-a ponekad pogoršava stvari umjesto da ih poboljša. Pročitajte vrijednost sučelja i vanjsko ponašanje prije nego što promijenite bilo što od toga, jer je jeftinija izmjena obično ona koja objašnjava simptom.

Prvo provjerite vrijednost sučelja, zatim vanjsko ponašanje. Dva broja, dvije faze, a obično je samo jedan od njih odgovoran.

Vanjski proračun nije unutarnji proračun

Svaka enkapsulacija troši bajtove na zaglavlja, a količina ovisi o prijevozu, obitelji adresa i tome je li u igri NAT traversal. Unutarnji paket koji stane u lokalnu vezu i dalje može dati vanjski paket koji ne stane u putanju iza nje. Izmjerite trošak umjesto da ga pretpostavljate, jer svako opcionalno zaglavlje dodaje na račun. Tunel s NAT traversal-om plaća više od golog, a razlika je dovoljna da pokvari prijenos koji je jučer radio.

Kada vanjski paket nosi bit zabrane fragmentacije, skok koji ga ne može proslijediti odbacuje ga i trebao bi vratiti ICMP poruku. Ako se ta poruka negdje filtrira, pošiljatelj stalno pokušava, a korisnik vidi zastoj bez objašnjenja. To tiho odbacivanje uobičajen je razlog zašto se problem veličine prijavljuje kao problem brzine.

IPv6 uklanja jednu od mogućnosti

IPv6 usmjerivači ne fragmentiraju u tranzitu, pa vanjski paket ili stane ili nestane uz poruku Packet Too Big. Ta poruka postaje jedini kanal povratne informacije, a njezino blokiranje kvari otkrivanje putanje za svaki veliki prijenos koji slijedi. IPv4 usmjerivači mogu fragmentirati veliki paket kada je bit čist, što skriva kvar dok nešto drugo ne postavi taj bit.

Na mješovitom stogu isti se tunel može ponašati različito za dvije obitelji, pa jedan test preko IPv4 ne rješava pritužbu na IPv6. Provjera koja vježba jednu obitelj ostavlja pola odgovora neizmjerenim.

Politika TCP segmenata nije opći odgovor

Ograničavanje najveće veličine segmenta pomaže TCP tokovima i legitiman je nadzor kada je problem ograničen na njih. Nema nikakav učinak na UDP, koji nosi DNS, neke glasovne protokole i rastući dio web prometa.

Primijenite ga, pa testirajte radni teret koji je pao. Ako UDP slučaj i dalje pada, politika segmenata nikada nije bila odgovor i proračun sučelja još treba pažnju. Prvo prepoznajte protokol radnog tereta koji pada, zatim odaberite nadzor koji mu pripada.

Redoslijed rada

Zabilježite najveći teret koji preživi, zatim MTU sučelja, zatim nosi li vanjski paket bit zabrane fragmentacije i na kraju stiže li ICMP povratna informacija do pošiljatelja. Taj slijed sužava kvar bez nagađanja. Čuvajte svako zapažanje s vremenskom oznakom i krajnjom točkom, jer se sva četiri broja pomiču kada se putanja promijeni.

Promijenite jednu vrijednost, ponovno testirajte izvorni prijenos i sačuvajte rezultat. Tunel koji prođe veliki test ali se i dalje zaustavlja na aplikaciji prešao je na drugi problem, a to je napredak koji vrijedi zapisati. Sljedeća osoba radije želi brojeve nego zaključak.