Jumbo kadri nepadara VPN ceļu par 9000 baitu pakešu pārvadātāju

Jūs ieslēdzāt 9000 baitu kadrus LAN tīklā un gaidījāt, ka VPN kļūs ātrāks. Tas kļuva lēnāks vai pilnībā pārstāja laist cauri lielus pārnesumus. Jumbo kadri ir vietēja saites vienošanās; tie nepaplašina ceļu, ko šķērso tunelis.

Izmantojamo budžetu nosaka mazākā robeža maršrutā, ieskaitot iekapsulējumu, ko pievieno tunelis.

Ko jumbo kadri patiešām maina

MTU ir vienas saskarnes īpašība. Tā paaugstināšana serverī un tā komutatorā nozīmē, ka šie divi var apmainīties ar lielākiem kadriem bez fragmentācijas. Tas neko nesaka par maršrutētāju aiz komutatora, par pakalpojumu sniedzēju vai par tuneļa otru pusi. Šīm ierīcēm ir savas robežas, un pakete, kas pārsniedz kādu no tām, tiek izmesta vai sadalīta pēc noteikumiem, kurus jūs neesat noteicis.

Vietēja vienošanās, globālas sekas. Tajā ir viss apjukums.

Iekapsulēšanas nodoklis

Tunelis iesaiņo jūsu paketi citā. WireGuard virs IPv4 UDP pievieno aptuveni 60 baitu papildu izmaksas; OpenVPN UDP režīms ir tajā pašā diapazonā, un IPsec mainās atkarībā no režīma un algoritmiem. Šie baiti nāk no ārējā ceļa budžeta, nevis no gaisa.

Tāpēc 1500 baitu ārējā saite nevar pārvadāt 1500 baitu iekšējo pakešu, tiklīdz tiek pievienota tuneļa galvene.

Aritmētiku ir vērts veikt vienreiz. Ceļā ar 1500 baitiem WireGuard saskarne vēlas MTU ap 1420, lai iekapsulētā pakete ietilptu. Iestatiet iekšējo saskarni uz 9000, un katrai lielai paketei būs nepieciešama fragmentācija, ko tunelis nevar veikt, vai arī tā tiks izmesta.

Atrodiet mazāko saiti ceļā

Izejiet maršrutu un atrodiet zemāko MTU. LAN parasti ir 1500 vai 9000, WAN parasti 1500, un mobilā vai PPP saite var būt vēl zemāka. Pēc tam atņemiet tuneļa papildu izmaksas. Ja rezultāts ir mazāks par iekšējās saskarnes MTU, jums ir atbilde. Ceļa MTU atklāšana to var atrast automātiski, bet tikai tad, ja tiek laistas cauri ICMP ziņas, no kurām tas ir atkarīgs.

Filtrēts ICMP ir klasiskais iemesls, kāpēc liels pārnesums iestrēgst, kamēr mazi pieprasījumi darbojas labi.

Pārbaudiet atkarību no izmēra, nepaplašinot izmaiņas

Izmantojiet reprezentatīvu pārnesumu un saglabājiet sākotnējās vērtības, lai varētu tās atgriezt. ping -M do -s 1472 pārbauda 1500 baitu paketi ar iestatītu DF bitu; samaziniet izmēru, līdz tā iziet. Ja neizdodas tikai lielām pakešu, jums ir izmēra, nevis maršrutēšanas problēma.

Uzmanieties no offload resursdatora pusē, lasot ierakstus. Segmentācijas offload var parādīt daudz lielākus kadrus nekā tie, kas faktiski izgāja caur vadu, tāpēc strādājošs ceļš izskatās salauzts, bet salauzts – kārtībā.

Kad liels MTU ir pareizais risinājums

Kontrolēts privāts tīkls var likumīgi darbināt lielākus kadrus no gala līdz galam, ja vien katra ierīce ceļā tam piekrīt un tuneļa papildu izmaksas tiek ņemtas vērā. Tas ir saskaņots risinājums ar dokumentētu vērtību katrai saitei, nevis viens liels skaitlis, kas ierakstīts klientā.

Parastai publiskai izejai pieņemiet 1500 vai mazāk un ļaujiet tunelim izvēlēties drošu iekšējo MTU. RFC 8201 aptver ceļa MTU atklāšanu IPv6 gadījumā un ir noderīga atsauce par to, kā atgriezeniskajai saitei būtu jādarbojas.