Genestelt VPN-Tunnelen: firwat de bannenzegen op grousse Pake stoppt
All Tunnel verbraucht en Deel vum Pakbudget vum Wee, ier den nächsten ufänkt. Zielt d’Headeren zesummen an déi bannenzeg Sessioun feelt op grousse Pake.
DNS léist sech op, d’SSH-Sessioun bleift bestoen, an dann fréiert en groussen Upload an, wärend e Ping op dee selwechten Host nach äntwert. Dës Trennung weist op d’Pakgréisst an net op en defekten Tunnel. Genestelt Tunnelen erreechen dat bei Gréissten, déi keen vun den Tunnelen eleng erreeche géif. Déi bannenzeg Sessioun ass an der Rei; et gi just Pakete geliwwert, déi net méi passen.
Wou d’MTU vum Wee tatsächlech higeet
All Kapselung verbraucht Bytes, ier déi nächst Schicht un d’Rei kënnt. En Ethernet-Wee bitt dem baussenzege Pak 1500 Bytes, an den baussenzegen Tunnel hëlt säin Deel, ier iergendeppes dobannen adresséiert ka ginn. Ee geschaten Overhead-Wäert wäert genau ëm de Betrag falsch sinn, op deen et ukënnt.
Lëscht d’Schichten an der Rei op: Zougangswee, baussenzege Transport, baussenzegen Tunnel, bannenzegen Transport, bannenzegen Tunnel, Applikatioun. Zielt all Header eng Kéier, an haalt UDP getrennt vum eegene Header an Tag vum Tunnel.
Zwee WireGuard-Schichten, eng Kéier gezielt
Huelt en IPv4-Zougangswee mat engem WireGuard-Tunnel an engem aneren. D’baussenzeg Schicht kascht 20 Bytes IPv4, 8 vun UDP an 32 fir den WireGuard-Datenheader plus säin Authentifikatiouns-Tag. Dobannen brauch den bannenzegen Tunnel säin eegenen 20-Byte-IPv4-Header an 8-Byte-UDP-Header viru sengen zweete 32 Bytes WireGuard-Overhead. Wat iwwereg bleift, hält en IPv4-Header, en TCP-Header an d’Daten. En baussenzegen IPv6-Wee kascht 40 amplaz 20 a léisst 1320.
| Layer | Bytes |
|---|---|
| Path MTU | 1500 |
| Outer IPv4 header | 20 |
| Outer UDP header | 8 |
| Outer WireGuard header and tag | 32 |
| Inner transport IPv4 header | 20 |
| Inner UDP header | 8 |
| Inner WireGuard header and tag | 32 |
| Innermost IPv4 header | 20 |
| TCP header | 20 |
| Payload that fits | 1340 |
D’Arithmetik landt op 1340 Bytes. Eng Schicht no deene selwechte Reegele léisst 1400 fir d’TCP-Notzlaascht, dat ass 1500 minus 20, 8, 32, 20 an 20, an den Ënnerscheed vu 60 Bytes ass genee déi bannenzeg Kapselung, déi den zweeten Tunnel derbäisetzt.
Wendt 1400 op en genestelte Wee un, an dem bannenzegen Tunnel feelen 60 Bytes, onsichtbar bis e Pak grouss genuch ass, fir se ze brauchen. D’Opfëllen an dem Protokoll seng eege Fragmentéierung-Optioun verrécken d’Zuelen nach eng Kéier, dofir vertraut der Tabell.
MTU, MSS a Fragmentéierung wierken op verschiddene Plazen
D’Interface-MTU begrenzt, wat den Interface erausgëtt, wärend d’TCP-MSS-Klemmen ännert, wat en TCP-Peer bereet ass ze schécken. D’Klemmen reparéiert TCP-Sessiounen an et mécht näischt fir en groussen UDP-Datagramm, an esou gesäit eng Korrektur erfollegräich aus fir eng Applikatioun a verpasst déi nächst stomm. Dem Protokoll seng eege Fragmentéierung-Optioun ass en drëtte Lever mat sengen eegene Feeler. D’Interface-MTU ass den üblechen éischte Schrëtt an dee gröbsten.
Brécken- a gerouteten Tunnelen droen ënnerschiddlech Frames, dofir iwwerdroe sech Zuelen aus engem aneren Deployement selten. D’Wee-MTU-Entdeckung, beschriwwen an RFC 8201, hëlleft nëmme soulaang wéi d’ICMP-Noriichten, op déi se sech stäipt, duerchgelooss ginn.
D’Schicht fannen, déi ze kuerz ass
Iwwerpréift all Tunnel eleng, ier Dir se nestelt, wann d’Ufuerderungen e Verglach erlaben. Eng Sonde mat fester Gréisst entscheet et: ping -M do -s 1472 -c 3 10.8.0.1 schéckt e vollt IPv4-Pak vun 1500 Bytes bannent där Schicht. Setzt déi zweet Schicht derbäi a widderhëlt déi selwecht Sonde, sou datt all Feeler zu enger bekannter Ännerung gehéiert.
Wann en Transfer stoe bleift, ännert ee dokumentéierte Parameter op eemol a notéiert d’Gréisst, déi feelt. Kontrolléiert och de Réckwee, well genestelt Wee-Rekursioun e Pakgréisstprobleem no genuch kann noweisen, fir en Nomëtteg ze kaschten. Eng gefiltert ICMP-Äntwert kann déi richteg Grenz verstoppen, dofir ass d’Sonde méi wichteg wéi d’Iwwerleeung.
Schreift de Budget dohin, wou déi nächst Persoun en fënnt
Eng Tabell mat enger Zeil pro Schicht iwwerlieft eng Daumeregel. Hält se nieft dem Tunnel-Diagramm, sou datt kee Rechnerechnunge just nach eng Kéier mécht ënner Drock.
Méi Tunnelen heescht méi Ofhängegkeeten, dofir verdéngt e Rollback-Plang säi Plaz nieft dem Budget. Wann d’Zuelen nach ëmmer net opgoen, moosst de Wee amplaz nach eng Kéier ze schätzen. D’Zil ass eng Zuel, déi Dir verdeele kënnt, net eng, déi Dir Iech merkt.