Grouss Paketen verschwannen iwwer IPsec, während kleng Ping nach funktionéieren

Fernshellen bleiwen äntwerend, kleng Proben äntweren, an dann kräicht eng Fichierskopie a hänkt ouni Feeler, op deen een weise kann. E Ping mat enger gréisserer Belaaschtung reproduzéiert et direkt, an déiselwecht Iwwerdroung funktionéiert aus dem lokalen Netz. Näischt un der Verschlësselung ass lues; bestëmmte Pakete kommen ni un. Zwou verschidde Splitten kënnen dat Zeeche produzéieren, an si loossen ënnerschiddlech Beweiser zréck.

Zwou Plazen, wou e Paket gedeelt ka ginn

Virun der Verschlësselung kann de Router en iwwergrousse bannenzege Paket deelen an all Stéck eenzel schützen. No der Verschlësselung gëtt de fäerdege baussenzege Paket gedeelt, an déi wäit Säit muss en erëm zesummesetzen, ier se eppes kann entschlësselen. Selwecht Symptom, aner Aarbecht fir den Empfänger an aner Knäpp fir Iech.

Den Ënnerscheed ass wichteg, well eng Korrektur op der falscher Säit eng Zuel ännert, ouni de Feeler ze verréckelen. En Paket, deen um Interface verworf gëtt, gëtt ni e baussenzege Paket, dofir kann keng Astellung op der baussenzeger Säit en retten.

Wou d'Gréisstentscheedung wierklech getraff gëtt

En Tunnelinterface dréit eng IP MTU, an dëse Wäert kann en iwwergrousse bannenzege Paket verwerfen, laang ier d'IPsec-Stuf en gesäit. En Bit um baussenzege Header ze setzen iwwerpréift déi fréier Entscheedung net, well de Paket schonn verworf gouf. Dofir verschlechtert eng héich bannenzeg MTU d'Saach heiansdo, amplaz se ze verbesseren. Liest den Interfacewäert an dat baussenzegt Verhalen, ier Dir ee vun deenen zwee ännert, well déi méi bëlleg Ännerung meeschtens déi ass, déi d'Symptom erklärt.

Préift fir d'éischt den Interfacewäert, dann dat baussenzegt Verhalen. Zwou Zuelen, zwou Stufen, an normalerweis ass just eng vun deenen zwee verantwortlech.

De baussenzege Budget ass net de bannenzege Budget

All Kapselung verbrécht Bytes fir Header, an d'Quantitéit hänkt vum Transport, vun der Adressfamill an dovun of, ob NAT-Traversal am Spill ass. En bannenzege Paket, deen an de lokale Link passt, kann nach e baussenzege Paket produzéieren, deen net an de Wee duerno passt. Messt den Overhead, amplaz en unzehuelen, well all optionalen Header op d'Rechnung kënnt. En Tunnel mat NAT-Traversal bezuelt méi wéi en nackten, an den Ënnerscheed duet, fir eng Iwwerdroung ze briechen, déi gëschter funktionéiert huet.

Wann de baussenzege Paket den Do-not-fragment-Bit dréit, verwerft en Hop, deen en net kann weiderginn, en a sollt eng ICMP-Noriicht zréckschécken. Wann déi Noriicht irgendwou gefiltert gëtt, probéiert den Sender weider an de Benotzer gesäit en Halt ouni Erklärung. Dee stille Verwerf ass de gewéinleche Grond, firwat e Gréissteproblem als Geschwindegkeetsproblem gemellt gëtt.

IPv6 hëlt eng vun den Optiounen ewech

IPv6-Router fragmentéieren net am Transit, dofir passt de baussenzege Paket entweder oder verschwënnt mat enger Packet Too Big-Noriicht. Déi Noriicht gëtt dee eenzegen Zréckmeldungskanal, an se ze blockéiere brécht d'Wee-Entdeckung fir all grouss Iwwerdroung, déi duerno kënnt. IPv4-Router kënnen e grousse Paket fragmentéieren, wann de Bit kloer ass, wat de Feeler verstoppt, bis eppes anescht dee Bit setzt.

Op engem gemëschte Stack kann dee selwechten Tunnel sech fir déi zwou Famillen anescht behuelen, dofir entscheet een Test iwwer IPv4 keng Plainte iwwer IPv6. Eng Kontroll, déi nëmmen eng Famill übt, léisst d'Halschent vun der Äntwert ongemooss.

TCP-Segmentpolitik ass keng allgemeng Äntwert

D'Limittéiere vun der maximaler Segmentgréisst hëlleft TCP-Flëss, an et ass eng legitim Kontroll, wann de Problem op si beschränkt ass. Et huet keng Auswierkung op UDP, dat DNS, verschidde Stëmmprotokoller an e wuessenden Deel vum Webtrafic dréit.

Wend et un, dann test d'Aarbechtslaascht, déi versot huet. Wann de UDP-Fall nach ëmmer versot, war d'Segmentpolitik ni d'Äntwert an de Budget vum Interface brauch nach Opmierksamkeet. Identifizéiert fir d'éischt de Protokoll vun der fehlgeschlagener Aarbechtslaascht, dann wielt d'Kontroll, déi dozou gehéiert.

D'Reiefolleg fir ze schaffen

Notéiert déi gréisst Belaaschtung, déi iwwerliewt, dann d'MTU vum Interface, dann ob de baussenzege Paket den Do-not-fragment-Bit dréit, an zum Schluss ob d'ICMP-Zréckmeldung den Sender erreecht. Déi Reiefolleg enkelt de Feeler ouni ze roden. Hält all Observatioun mat engem Zäitstempel an engem Endpunkt, well all véier Zuelen sech beweegen, wann de Wee sech ännert.

Ännert ee Wäert, test déi originell Iwwerdroung nach eng Kéier a behält d'Resultat. En Tunnel, deen eng grouss Probe packt awer nach ëmmer op der Applikatioun hänkt, ass op en anert Problem iwwergaangen, an dat ass Fortschrëtt, deen et wäert ass opzeschreiwen. Déi nächst Persoun hätt léiwer d'Zuelen wéi d'Schlussfolgerung.