WireGuard bleift stoen: eng MTU-Grenz oder eng feelend Weiderleeungsregel?

D’Gewunnecht ass, d’MTU erofzesetzen esoubal WireGuard sech schlecht behëlt, an déi Gewunnecht verstoppt en anere Feeler. En Duerchgang deen net weiderleet an en Wee deen net grouss Pakette dréit, produzéieren ënnerscheedbar Muster: deen een versoeet a béide Richtungen an a jiddwer Gréisst, deen aneren iwwerlieft kleng Ufroe a stierft op groussen. Bestëmmt wéi eng Form dir hutt, ier dir eng Zuel ännert. Den Test ass bëlleg an e läscht d’Halschent vun de méiglechen Ursaachen.

Zwee Feeler, zwou verschidde Formen

E Weiderleeungsproblem erschéngt direkt hannert dem Server. Den Handshake geléngt, d’Tunneladress äntwert, an näischt hannert dem Duerchgang ass erreechbar, och net mat enger klenger Ufro. De Pakett huet den Server erreecht an gouf net weiderginn, oder d’Äntwert hat kee Réckwee.

E Gréissteproblem erschéngt nëmmen iwwer engem Schwell. DNS, en TCP-Handshake an en klengen API-Uriff schaffen all, wärend en Dateierofldown oder eng grouss Äntwert hänkt. D’Paketten déi dra gepasst hunn, sinn vun engem Enn bis zum aneren gereest, an déi déi net dra gepasst hunn, goufe soss engem verworf ouni en notzleche Rapport.

Déi Beschreiwungen deiten op verschidde Leit a verschidde Konfiguratiounsdateien, dofir ass d’Form moossen méi wäert wéi eng Vermutung. Een eenzegen Ping op den Duerchgang kann se net trennen.

Schléisst d’Weiderleeung aus, ier dir eppes kleng mécht

Test en Zil hannert dem Duerchgang, net den Duerchgang selwer. E Ping op d’Tunneladress vum Server beweist nëmmen, datt de Interface um ass an datt dir d’Maschinn erreecht déi den Tunnel ophält. Den Traffic fir dat méi breet Netzwierk hänkt dovun of, datt IP-Weiderleeung op där Maschinn aktivéiert ass, an op enger Firewall déi de weidergeleet Flux erlaabt. Béides muss richteg sinn, an wann eng dovu falsch ass, entsteet déi selwecht Stëllt.

De Réckwee rount just souvill. Wann d’Zilnetzwierk net weess wéi et d’Tunneladress vum Client erreecht, kënnt d’Ufro un an d’Äntwert verschwënnt, an de Client mellt en Timeout deen identesch ausgesäit wéi eng verworf Weiderleeung.

Wou den Design Adressübersetzung benotzt, ass d’Übersetzungsregel en Deel vun deem Réckwee. Se ewechzehuelen wärend dir engem MTU-Problem nogeet, mécht aus engem funktionéierenden Design en ofgebrach, dofir liest déi existéierend Reegelen ier dir se ännert.

Moosst wou de Broch ufänkt

Liest als éischt den Zoustand vun der Weiderleeung an d’Filterreegelen. Dat si nëmme-Liesen-Kontrollen an si beäntweren déi bëlleg Fro:

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
ip route get 10.30.0.9

Test dunn Gréissten mam don’t-fragment-Bit, vum Client, a Richtung engem Host hannert dem Duerchgang:

ping -M do -s 1200 10.30.0.9
ping -M do -s 1400 10.30.0.9

Wann den éischten Test schafft an den zweeten mat engem Fragmentéierungsfeeler versoeet, seet de Wee dir seng notzbar Gréisst. Wann keen vun deenen zwee schafft, kuckt dir op Weiderleeung oder Routing, an d’MTU ass net d’Variabel déi geännert muss ginn.

Reparéiert d’Schicht déi dir bewisen hutt

Wann d’Weiderleeung de Feeler ass, ass d’Korrektur eng Weiderleeungsregel oder eng Route, sou enk formuléiert wéi den Design et erlaabt. Wann d’Gréisst de Feeler ass, ass d’Korrektur eng MTU déi d’Kapselung op dësem konkrete Wee berücksichtegt, ugewannt op den Interface deen se brauch an net op all Adapter an der Flott.

Wéi och ëmmer, widderhëlt duerno déiselwecht Aufgab géint dat selwecht Zil. Wann den ursprénglechen groussen Transfert elo fäerdeg gëtt, huet d’Ännerung déi Schicht ugeschwat déi versoeet huet. Wann nëmmen den klengen Test besser ginn ass, hutt dir e Symptom behandelt an déi richteg Grenz steet nach ëmmer.

Schreift op wéi eng Form dir virun der Ännerung gesinn hutt. Déi eng Linn, nieft der Korrektur festgehalen, ass et wat déi nächst Persoun dovun ofhält eng MTU erofzesetzen déi ni de Problem war.