Firwat eng VPN bei groussen Iwwerdrounge hänkt, bei klengen awer net

Eng Säit lued, e Ping geléngt, an eng Dateikopie hänkt all Kéier um selwechte Punkt. Dee Muster weist op d'Pakettgréisst, net op d'Bandbreet oder op d'Zougangsdaten. Verkapselung füügt all Pakett Bytes derbäi, sou datt eng Notzlaascht, déi um urspréngleche Wee dragepasst huet, d'Limite ka sprengen, wann se duerch en Tunnel geet. An dëse Gespréicher ginn dräi verschidden Zuelen MTU genannt, an hire Verwiessele féiert zu enger Astellung, déi eng Applikatioun reparéiert an déi aner futti mécht.

Dräi Zuelen, déi d'Leit MTU nennen

D'Interface-MTU ass d'konfiguréiert Limite fir e Pakett op deem Link. D'Pad-MTU ass déi klengst Limite laanscht d'Route, an se gëtt entdeckt amplaz konfiguréiert. D'TCP MSS ass d'Gréisst vun der Notzlaascht, déi e Partner als empfänkbar ugëtt, an se ass vun den aneren zwou ofgeleet, amplaz eng eegen physesch Limite ze sinn.

En Tunnel huet eng bannenzeg an eng baussenzeg Vue. Dat baussenzegt Pakett dréit dat verkapselt plus d'Käpp, déi de Protokoll brauch, dofir ass déi notzbar bannenzeg Gréisst méi kleng wéi de baussenzege Wee et erlaabt. De Wee bis de VPN-Server ass och anescht wéi de Wee vum Server bis zum Zil.

D'Entdeckung vun der Pad-MTU léisst e Sender déi funktionéierend Gréisst léieren, awer et hänkt dovun of, datt de Feedback ukommt. Wann en Zwëschegerät déi betreffend ICMP-Noriichten filtert, schéckt de Sender weider Paketten, déi ni fäerdeg ginn, an dat ass dat klassesch schwaarzt Lach. D'Symptom ass erkennbar, wann ee se kennt: den Handshake geléngt, déi éischt Notzlaascht an der voller Gréisst verschwënnt, an d'Verbindung gëtt schlussendlech zréckgesat oder hänkt. Näischt am Log vun der Applikatioun gesäit aus wéi en Netzwierkprobleem.

Untersicht de Wee mat enger Notzlaascht, déi dir kontrolléiert

En Test ass e Beweis iwwer eng Route an eng Gréisst, net eng recommandéiert Astellung. Benotzt en Host, deen äntwert, a ännert nëmmen d'Gréisst vun der Notzlaascht.

ping -M do -s 1372 -c 2 203.0.113.20
ping -4 -f -l 1372 vpn.example

Den éischte Kommando schéckt en Linux-Test mat ausgeschaltener Fragmentéierung an enger Notzlaascht vun 1372 Byte, an den zweeten mécht dat selwecht op Windows, wou d'Notzlaascht mat -l gesat gëtt. Eng Äntwert heescht, datt déi Gréisst de Wee iwwerlieft huet. Eng Noriicht, datt Fragmentéierung noutwenneg ass, ass informativ, wärend en Timeout zweedeiteg ass, well den Host oder en Zwëschegerät ICMP einfach verwerfe kann.

Gitt d'Gréisst a puer Schrëtt erof, amplaz bis op de Byte binär ze sichen. Dir probéiert festzestellen, ob et eng Gréisstendeck gëtt, net eng Zuel fir all Netzwierk ze verëffentlechen. D'Zuel, déi dir fannt, gëllt fir dëse Wee, dëse Protokoll an dës Adressfamill.

IPv4 an IPv6 fragmentéieren anescht, dofir seet en Testresultat vun enger Famill näischt iwwer déi aner. Test d'Famill, déi d'Applikatioun tatsächlech benotzt.

MSS-Clamping hëlleft nëmmen TCP

Bei TCP gëtt déi effektiv Notzlaascht wärend dem Handshake ausgehandelt, an e Router um Wee kann dee Wäert no ënnen ëmschreiwen, sou datt béid Endpunkten méi kleng Segmenter schécken. Dat mécht MSS-Clamping, an et funktionéiert ouni de Client iwwerhaapt unzepaken.

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
ip link show tun0

Déi éischt Regel clampt déi ugekënnegt MSS op d'Pad-MTU fir weidergereechte TCP-Handshakes, an déi zweet weist dem Tunnel-Interface seng eegen MTU, sou datt dir se mat deem vergläiche kënnt, wat de Wee erlaabt. Clamping ass déi mannst invasiv Reparatur fir eng TCP-Applikatioun, déi nom Handshake hänkt.

Fir UDP mécht et näischt. En Stëmm- oder Spill-Client, deen grouss Datagramme schéckt, ignoréiert eng MSS-Astellung komplett, well et keen Handshake gëtt, deen ëmgeschriwwe ka ginn. Wann déi feelend Applikatioun UDP ass, kuckt amplaz op d'Pakettgréisst-Optiounen vum Client selwer. Déi zwou Protokollen feelen anescht a ginn mat verschiddenen Instrumenter reparéiert, dofir gehéiert de Protokoll an den éischte Saz vum Ticket.

OpenVPN bitt Optiounen wéi tun-mtu, mssfix an Astellungen am Zesummenhang mat Fragmentéierung, an hiert Verhalen hänkt vun der Versioun of a dovun, ob de Datenkanal AEAD ass. Liest d'Handbuch fir déi benotzt Versioun, a ännert eng Optioun op eemol.

Ännert eng ënnerstëtzt Astellung a widderhëlt béid Dréich

Behält de urspréngleche Profil, ännert en eenzegen ënnerstëtzte Wäert, a widderhëlt souwuel déi kleng Ufro, déi funktionéiert huet, wéi och den groussen Transfert, dee gescheitert ass. Wann nëmmen déi grouss ännert, waart dir hannert der Gréisst hier. Wann béid ännere sech, huet eppes anescht sech matbeweegt.

En nidderege Wäert ka sech d'Symptom reduzéieren, awer füügt Overhead derbäi, dofir ass déi klengst méiglech Zuel net d'Zil. D'Zil ass eng Gréisst, déi de Wee zouverlässeg mat dem mannsten Verschwendung dréit. Notéiert de Wäert, de Wee an d'Client-Versioun am Ticket, well déi selwecht Zuel soss ze benotzen eng Viraussetzung ass.

Wann dee selwechte Profil vun engem aneren vertraute Netzwierk funktionéiert, behält deen Ënnerscheed an der Diagnos, amplaz de Client als reparéiert ze erklären. D'Variabel, déi sech geännert huet, ass de Wee, an de Wee ass dat, wat den Test gemooss huet.