IPv6-Paket ze grouss: firwat grouss VPN-Transferen hänken

Ping funktionéiert, de Browser lued eng kleng Säit, an den Dateitransfer hänkt, alles iwwer IPv6 duerch deeselwechten Tunnel. Dëst Muster bedeit meistens, datt den Sender déi richteg Gréisst vum Wee ni geléiert huet, net datt den Tunnel lues ass. IPv6 erwaart, datt Router de Problem mat enger Packet Too Big-Noriicht mellen, an d'Encapsulation füügt zousätzlech Iwwerfläch bäi, ier e Paket iwwerhaapt den äusseren Netz erreecht. Gëtt déi Noriicht gefiltert, widderhëlt den Sender eng Gréisst, déi net duerchkënnt.

Kleng Ufroen, grouss Häng

En Tunnel packt all Paket an en aneren Header, sou datt déi notzbar Gréisst dobannen méi kleng wéi déi dobausse ass. E Paket, dat virun der Encapsulation fir de physesche Link gemooss gouf, gëtt duerno ze grouss. IPv4-Routeren däerfen ënnerwee fragmentéieren, IPv6-Routeren awer maachen dat net am Numm vum Sender, dofir muss de Sender sech selwer upassen. An déi Upassung hänkt komplett dovun of, datt de Feedback ukommt.

Eng eenzeg verluer Noriicht ass genuch fir de klassesche Symptom: Handshakes a kleng Äntwerten geléngen, an eng Verzeechneslëscht oder en Upload hänkt all Kéier op der selwechter Plaz. D'Benotzer beschreiwen et als luesen VPN, an d'Logge weisen näischt falsch bei der Authentifikatioun. Béid Observatiounen ass korrekt, an keng vun hinnen fannt de Feeler.

Packet Too Big ass Feedback, net Traffic

Eng ICMPv6 Packet Too Big-Noriicht dréit d'Gréisst, déi den nächste Sprong akzeptéiere kann, an de Sender benotzt se fir seng Schätzung ze senken. Se filtere ass datselwecht wéi e Stroosseschëld ewechzehuelen an dann d'Chauffeuren ze beschëllegen. Eng Regel, déi all ICMPv6 verwerft, gesäit streng aus, awer brécht d'Weeentdeckung op all Verbindung, déi se brauch. D'Noriicht ass Kontrollinformatioun iwwer de Wee, net Applikatiounsnotzlaascht.

Selektiv Filterung ass nach ëmmer raisonnabel. Echo-Ufroen an Nopesch-Entdeckung spillen eng aner Roll wéi Fehlernoriichten, an eng Politik kann se anescht behandelen. Follegt de dokumentéierte Filterrichtlinne vun der Plattform, amplaz de ganze Protokoll ze akzeptéieren oder ze verwerfen, well RFC 8201 definéiert, wéi dee Feedback d'Entdeckung dréit.

Test béid Adressfamilljen getrennt

Test IPv6 eleng, well en erfollegräichen IPv4-Transfer näischt iwwer den IPv6-Wee beweise kann. Da fänk Kontrollnoriichten op, wärend den groussen Transfer hänkt. Déi zwou Opzeechnungen weisen zesummen, datt de Feedback erausgeet, oder beweise, datt en ni ukomm ass.

ping -6 -M do -s 1400 host.internal
ip -6 route get 2001:db8:2::10
sudo tcpdump -ni any 'icmp6 and ip6[40] == 2'

D'Sond schéckt e Paket mat gesaten do-not-fragment-Bit a mellt d'Gréisst, op där et feelt, dat ass d'Zuel, déi den Tunnel muss ophuelen. D'Routenfro nennt d'Interface, déi d'Destinatioun droe géif, sou datt Dir wësst, wéi eng MTU vun der Verbindung gëllt. D'Aufzeechnung filtert ICMPv6 Typ 2, d'Packet Too Big-Noriicht, a weist, ob se dësen Host iwwerhaapt erreecht. Wann d'Noriicht an der Opzeechnung erschéngt an den Transfer nach hänkt, ignoréiert de Sender se, wat d'Enquête an de Stack amplaz an d'Netz verréckelt.

Ännert d'Tunnelgréisst eréischt no den Beweiser

D'MTU vum Tunnel ze senken kann eng gefiltert Noriicht verstoppen an de Symptom verschwannen loossen, op Käschte vun méi Iwwerfläch pro Paket. Dat ass en Ëmwee an net eng Diagnos, an et sollt der Opzeechnung folgen amplaz se ze ersetzen. Eng arbiträre niddereg Wäert brécht och näischt sichtbares, dofir iwwerlieft se Joeren an de Konfiguratiounen. Ännert se bewosst, schreift de Wäert op, a notéiert, wéi eng Miessung se gerechtfäerdegt huet.

Wann Dir de Gateway kontrolléiert, iwwerpréift d'Regel, déi d'Noriicht verwerft, amplaz d'Firewall auszeschalten. Eng korrigéiert Regel ass méi schmuel wéi eng Politik-Ausnam an vill méi einfach spéider ze verdeedegen. Déiselwecht Logik gëllt fir Timeouts: net all Hänke ass e Gréissteproblem, an d'Opzeechnung ass dat, wat déi zwee trennt.