OpenVPN praneša apie nenuoseklų MTU naudojimą: ką lygina įspėjimas

Šis įspėjimas praneša apie partnerių parinkčių palyginimą, o ne apie kelio tarp jų matavimą. Žmonės jį skaito kaip „MTU neteisingas“ ir keičia skaičių, kol eilutė dingsta. Taip konfigūracijos palyginimas traktuojamas kaip tinklo matavimas, ir tai dažnai pablogina tunelį, o žurnalą padaro tylesnį. Naudingas pirmas žingsnis – nuspręsti, kuri iš šių dviejų problemų iš tikrųjų yra jūsų.

Atsakymą lemia trys sąlygos: ką lygina partneriai, ar reikšmė pasenusi ir koks simptomas egzistuoja be įspėjimo.

Įspėjimas lygina parinktis, o ne paketus

OpenVPN partneriai rankos paspaudimo metu apsikeičia parinkčių eilutėmis ir lygina jas kaip parinkčių nuoseklumo patikros dalį. Kai viena pusė praneša link-mtu arba tun-mtu kitaip nei kita, neatitikimas įrašomas su abiem reikšmėmis. Tas apsikeitimas niekada nesiunčia didelio paketo pamatyti, kas nutiks, todėl įspėjimas aprašo konfigūraciją, o ne pajėgumą. Tunelis gali perduoti viso dydžio srautą ir vis tiek tai atspausdinti, arba nepavykti su dideliais paketais ir nieko nespausdinti.

Išsaugokite visą įspėjimą su vietine ir nuotoline reikšme. Įrodymas yra pora; vienas skaičius, kurį prisimenate, ne.

Kodėl link-mtu pasenusi

OpenVPN 2.6 skelbia link-mtu pasenusia, nes kintamos antraštės ir suderinti šifrai daro fiksuotą ryšio reikšmę nepatikimą. Parinktis darė prielaidą dėl paketo išdėstymo, kurio protokolas nebegarantuoja, todėl senas profilis su pažodiniu link-mtu aprašo ketinimą, kurio dabartinis kodas negali įvykdyti. To skaičiaus kopijavimas į naują profilį skleidžia pasenusią prielaidą. Skaitykite jį kaip seno profilio istorijos dalį, o ne kaip rekomendaciją.

Nuoseklumo patikra taip pat turi pasirenkamą OCC reikšmę, susietą su tun-mtu, kuri keičia, kas lyginama, nekeisdama to, ką perduoda tinklas. Jos nustatymas neleidžia didesniems paketams sutilpti.

Pataisykite profilį prieš tikrindami kelią

Nenumatytą neatitikimą ištaisykite per tuos, kurie valdo profilius, ir atminkite, kad serverio pusės pakeitimas paveikia kiekvieną klientą. Redaguokite profilį, kurį egzempliorius iš tikrųjų įkelia, o ne eksportą atsisiuntimų aplanke. Tada iš naujo prijunkite vieną bandymo klientą ir atkreipkite dėmesį, kuris įspėjimas išlieka. Jei pranešimas keičia formą, o ne dingsta, lyginate kitas parinktis nei manote.

Bendrinamas serveris turi būti patikrinęs klientų sąrašą prieš perkeliant visuotinę reikšmę, nes vienai vietai tinkanti reikšmė gali sugadinti kitą.

Tada patikrinkite simptomą, kurį iš tikrųjų turite

Jei dideli perdavimai stringa, o mažos užklausos pavyksta, išmatuokite paketo dydį kontroliuojamo tikslo atžvilgiu. Zondas, kuris nustato „nefragmentuoti“ bitą ir padidina naudingosios apkrovos dydį, randa tinkamą kelio MTU kur kas patikimiau nei ping, kuris tiesiog pavyksta. Įtraukite į bandymą ir nepavykstančią programą: ICMP skirtasis laikas gali atspindėti filtravimą, o mažas sėkmingas ping nieko nesako apie viso dydžio programos paketą.

mssfix riboja MSS, skelbiamą TCP sesijoms tunelio viduje, o tai padeda TCP ir nieko nedaro vidinei UDP apkrovai. Fragmentacijos ir iškėlimo nustatymai turi savo suderinamumo sąlygas. Pasirinkite vieną mechanizmą įrodytai problemai, o ne keiskite kelis iš karto, kad nutildytumėte žurnalo eilutę.

Išsaugokite efektyviąsias reikšmes su rezultatu

Užrašykite pradines ir pataisytas efektyviąsias reikšmes šalia tikro perdavimo rezultato. Būtent ši pora atskiria pasenusią profilio parinktį nuo kelio MTU problemos, kuri egzistuoja savarankiškai. Be jos kitas skaitytojas mato dingusį įspėjimą ir mano, kad tinklas pasikeitė.

Nuoseklumo patikros slopinimas nieko nesutaiko. Jis pašalina stebėjimą ir palieka abi konfigūracijas tokias, kokios buvo.