Wee-MTU-Entdeckung duerch eng VPN: Gréisst an d'ICMP-Lück

En Tunnel fäerdeg seng Handshake, kleng Ufroen komme zréck, an den éischten groussen Transfer hänkt. Dëst Muster weist op Wee-MTU vill méi fréi wéi op Duerchsatz. All Glid laanscht d'Route begrenzt d'Pakgréisst, an d'Encapsulatioun verbraucht en Deel vun dëser Erlaabnes fir baussenzeg Headeren, dofir muss de bannenzege Pak méi kleng sinn wéi de rohe Wee suggeréiert. De Feeler ass roueg, an dat mécht en deier ze diagnostizéieren.

Wat Wee-MTU tatsächlech misst

Wee-MTU ass déi klengst Glid-MTU op der Route tëscht zwee Hosts, net d'MTU déi op Ärer lokaler Interface gedréckt ass. De lokale Wäert ass de Punkt, wou d'Schätzung ufänkt, an de Wee entscheet, wou se ophalen muss. Dofir kann en identeschen Tunnel op engem Accèsnetz funktionéieren an op engem aneren hänken: d'Route huet sech geännert, net d'Konfiguratioun. Eng Kéier moossen an iwwerall unhuelen ass de Feeler, deen dëst Problem lieweg hält.

Fir en Tunnel ass d'Zuel déi zielt déi bannenzeg MTU, also d'Erlaabnes vum baussenzege Wee minus dat, wat d'Encapsulatioun verbraucht. WireGuard setzt en baussenzegen IP-Header an en UDP-Header derbäi; aner Transporten setzen hir eegen derbäi. Setzt d'bannenzeg Gréisst ze héich an all Pak a voller Gréisst brauch Fragmentatioun, déi vläicht ni geschitt.

Firwat en Tunnel de benotzbare Pak verklengert

Wann d'Tunnel-Interface d'MTU vum physesche Glid behält, hänkt all grousse Pak dovun of, datt een ënnen um Wee bereet ass, en ze fragmentéieren. IPv4 erlaabt dat am Prinzip, awer en Router, deem gesot gouf net ze fragmentéieren, gëtt amplaz e Feeler zréck. IPv6-Routere fragmentéieren iwwerhaapt net am Transit, dofir behält sech déi selwecht Astellung no Adressfamill anescht. Sou oder sou léiert den Sender näischt, bis eppes zréck bericht.

D'praktesch Konsequenz ass eng Gréisst, déi an d'Handshake passt an net an d'Payload. En TLS ClientHello oder eng DNS-Ufro ass kleng genuch, fir e verklengerte Wee onberéiert ze iwwerqueren, wärend en Massentransfer dat net ass. Dofir sammelen sech d'Symptomer ëm spezifesch Operatiounen amplaz ëm spezifesch Hosts.

D'Entdeckung funktionnéiert nëmmen, wann d'Réckmeldung ukommt

IPv4-Entdeckung baséiert op dem don't-fragment-Bit: en Router, deen de Pak net weiderleede kann, gëtt ICMP fragmentation-needed mat der MTU vum nächsten Hop zréck, an den Sender senkt seng Schätzung. IPv6 benotzt amplaz Packet Too Big-Noriichten, well Routeren am Transit net fragmentéieren. Béid Mechanismen huelen un, datt d'Noriicht de Wee zréck zum Sender fënnt, duerch den Tunnel an un all Firewall um Réckwee laanscht. Wann déi Unhuelung feelt, probéiert den Sender ëmmer erëm eng Gréisst, déi de Wee net droen kann.

Eng Firewall, déi echo request an echo reply erlaabt, huet net onbedéngt déi Fealertypen erlaabt. ICMP ass eng Famill, an d'Memberen, déi hei zielen, sinn d'Feeler, net d'Echo-Puer. Kontrolléiert d'Politik fir Kontrolltrafic op béiden Enden vum Tunnel an um Wee tëscht hinnen, a befollegt d'ënnerstëtzt Uleedung vun der Plattform amplaz iwwerall all ICMP-Typ z'erlabe.

Déiselwecht Filterung kann am Tunnel sëtzen. Wann de bannenzege Wee de Feeler fale léisst, awer de baussenzege Wee en dréit, kann den Sender sech un eng Limit upassen, déi den encapsuléierten Trafic ni wierklech gesäit.

Test de Wee amplaz eng Zuel ze roden

Halt d'Destinatioun, den Accèsnetz an den Tunnel fest, an ännere just d'Pakgréisst. En don't-fragment-Test, deen mat engem MTU-Hiwäis feelt, gëtt Iech d'Limit vum nächsten Hop; widderhëlt, bis eng Gréisst duerchkënnt, a notéiert souwuel d'Gréisst wéi och d'Adressfamill.

ping -M do -s 1400 10.60.20.10
ping -M do -s 1300 10.60.20.10
ping -6 -M do -s 1300 2001:db8::10

E Ping, deen passt, beweist net, datt d'Vollgréisst-Segmenter vun enger richtege Applikatioun passen, dofir widderhëlt den Test mam Transfer, deen tatsächlech feelt. Vergläicht den gréissten Test, deen fonctionnéiert huet, mat der Tunnel-MTU, déi Dir konfiguréiert hutt, a haalt déi zwou Zuelen getrennt an Ären Notizen. Wann se ëm ongeféier en Header différéieren, hutt Dir den Encapsulatiouns-Overhead fonnt an net e Feeler.

PLPMTUD, beschriwwen an RFC 4821, test no uewen a benotzt Transportbestätegungen amplaz de geliwwerte Feeler ze vertrauen. Et hëlleft op Weeër, déi ICMP filteren, awer d'Ënnerstëtzung variéiert no Stack an no Applikatioun. En TCP-Floss kann sech selwer erhuelen, wärend eng UDP-Applikatioun mat fester Datagramgréisst weider feelt.

Wielt e Wäert a notéiert d'Begrënnung

D'Tunnel-MTU ze senken ass souwuel eng Diagnos wéi och eng legitim Korrektur, soubal Dir de Wee kennt. Et ersetzt net d'Wëssen, wéi ee Wee a wéi ee Réckmeldungsmechanismus bedeelegt war, well en Wäert, deen op eng mobil Glid ofgestëmmt ass, op enger Glasfaser-Verbindung onnéideg kleng wäert sinn. Notéiert déi gewielte Gréisst, den Test, deen se berechtegt huet, an de Réckschratt.

Den IPv4-Mechanismus ass an RFC 1191 beschriwwen an d'IPv6-Paketiséierungs-Uleedung an RFC 8201; béid ze nennen hält den nächsten Ingenieur dovun of, d'Unhuelung nei ofzeleeden. Wann den Transfer ëmmer nach bei der Gréisst hänkt, déi Dir gewielt hutt, hält op d'Zuel ze senken a kuckt op déi nächst Schicht. En Wee, deen bei all Gréisst feelt, ass kee MTU-Problem.