MTU oder MSS? Wat eng VPN-Ännerung wierklech behieft

Pinge geléngen, grouss Iwwerdroungen hänken, an den Tunnel mellt sech gesond. Een däicht d'MTU vum Interface erof, een aneren begrenzt d'MSS, an heiansdo verschwënnt d'Problem aus Grënn, déi keen opsträicht. Déi zwou Zuelen beschreiwen verschidden Objeten, also eng falsch änneren ergëtt eng Léisung, déi wéi Gléck ausgesäit. Hei ass de Prozedur: identifizéiert d'Schicht, applizéiert déi passend Astellung, a testt dann op enger neier Verbindung.

Zwou Zuelen, zwou Objeten

D'MTU gehéiert zu enger Verbindung oder engem Interface: et ass de gréisste Pak, deen iwwergoe ka ginn, ouni opgedeelt ze ginn. D'MSS gehéiert zu TCP: et ass déi gréisst Quantitéit TCP-Lassent, déi en Segment ka droen, an et schléisst souwuel den TCP- wéi och den IP-Kapp aus. Op enger normaler Ethernet-Verbindung mat IPv4 gëtt eng MTU vun 1500 Byte déi bekannt MSS vun 1460 Byte. Déi Zuelen beschreiwen verschidde Schichten a ginn duerch verschidde Mechanismen ausgetosch. Et ass einfach se ze verwiesselen, well béid a Byte gemooss ginn a béid no bei 1500 leien.

Déi eng kënnt als Interface-Astellung. Déi aner kënnt als Optioun bannent engem SYN-Segment, ausgehandelt tëscht Endpunkten, déi Ären Interface ni gesinn.

Wou de baussenzegen Iwwerschëss lant

Eng VPN setzt de bannenzege Pak an en aneren, an de baussenzege Pak muss an de physesche Wee passen. Enkapsulatiounskäpp, de baussenzege IP-Kapp, den Transportkapp an all Authentifikatiouns-Tag verbrauchen Byte, déi de bannenzege Pak net ka benotzen. Loosst den Tunnel-Interface op 1500 an de baussenzege Pak iwwerschreit reegelméisseg dat, wat de Wee ka droen. Mam 'net fragmentéieren'-Bit gesat, verwërft de Router en a sollt en ICMP-Fehler zréckschécken; wann dee Fehler gefiltert gëtt, léiert de Sender et ni.

Dofir gesäit de Feeler selektiv aus. Kleng Ufroen ginn ofgeschloss an alles, wat en Segment fëllt, stockt, well nëmmen déi grouss Paken verworf ginn. En Tunnel, deen e Ping duerchléisst, ass keen Tunnel, deen Daten dréit.

MSS begrenzen, a wou dat gëllt

MSS-Begrenzung schreift de Wäert am SYN-Segment ëm, wann en e gewielte Punkt passéiert, soudatt béid Enden eng méi kleng Lassent wielen, ouni datt ee vun hinnen weess firwat. Op Linux ass et en Zil vun der mangle-Tabell, dat duerch eng explizit Regel applizéiert gëtt, an et muss SYN-Pake mat der Richtung treffen, déi Dir wëllt. Begrenzt et op den Tunnel-Interface an d'Adressberäich, well eng breet Regel d'Verhalen vum Verkéier ännert, deen ni an den Tunnel kënnt.

D'Effekt ass nëmme fir TCP. Eng UDP-Applikatioun, eng QUIC-Sessioun an all Protokoll, dat seng eege Datagramme baut, bleiwen onberéiert.

Diagnostizéiert mat engem fixe Wee

Halt ee Variabel op eemol. Testt mat engem Pak, deem seng Gréisst Dir selwer auswieelt, a setzt de Flag 'net fragmentéieren', soudatt de Kernel d'Resultat mellt, amplaz et ze verstoppen.

Schreift op, wou de Feeler ufänkt: bannent dem Tunnel, um Tunnel-Interface oder um physesche Wee no der Enkapsulatioun. Ännert dann eng Zuel a widderhuelt dee selwechten Test an net en aneren. Bestoend Verbindunge behalen d'MSS, déi se ausgehandelt hunn, also ass eng Politikännerung nëmmen op enger neier Verbindung ze gesinn, a dofir beweist eng gecachte Säit näischt an déi eng oder aner Richtung. Wann eng grouss Eroplueden ufänkt ze schaffen, hutt Dir iwwer dee Wee geléiert an net iwwer all Protokoll drop.

Wat all Ännerung net behieft

D'MTU vum Interface erofsetzen ännert d'MSS vun enger Sessioun net, déi scho besteet. MSS-Begrenzung hëlleft engem UDP-Floss net a reparéiert kee Wee, wou ICMP-Feeler nëmmen an eng Richtung gefiltert ginn. All Ännerung behieft eng Klass vu Problemer an lässt de Rescht genee sou, wéi en war.

Schreift op, wéi eng Astellung Dir wou applizéiert hutt a wéi en Test den Ënnerscheed gewisen huet, well soss applizéiert den nächsten Ingenieur béid a verléiert d'Fäegkeet ze soen, wéi eng wichteg war. Wann d'Restriktioun real a permanent ass, bevirzugt eng Tunnel-MTU, déi se reflektéiert, géint eng Begrenzung, déi se verstoppt. Wann Dir begrenze musst, loosst d'Regel enk gefaasst a kommentéiert, well eng onerkläert mangle-Regel standardméisseg permanent gëtt.