OpenVPN ziņo par nekonsekventu MTU lietošanu: ko brīdinājums salīdzina

Šis brīdinājums ziņo par partneru opciju salīdzinājumu, nevis par ceļa starp tiem mērījumu. Cilvēki to lasa kā «MTU ir nepareizs» un maina skaitli, līdz rinda pazūd. Tas konfigurācijas salīdzinājumu uztver kā tīkla mērījumu, un bieži vien padara tuneli sliktāku, vienlaikus padarot žurnālu klusāku. Noderīgais pirmais solis ir izlemt, kura no šīm divām problēmām jums patiešām ir.

Atbildi nosaka trīs nosacījumi: ko partneri salīdzina, vai vērtība ir novecojusi un kāda slimības pazīme pastāv ārpus brīdinājuma.

Brīdinājums salīdzina opcijas, nevis paketes

OpenVPN partneri rokasspiediena laikā apmainās ar opciju virknēm un salīdzina tās kā opciju konsekvences pārbaudes daļu. Kad viena puse ziņo link-mtu vai tun-mtu citādi nekā otra, neatbilstība tiek ierakstīta ar abām vērtībām. Šī apmaiņa nekad nesūta lielu paketi, lai redzētu, kas notiks, tāpēc brīdinājums apraksta konfigurāciju, nevis jaudu. Tunelis var pārvadāt pilna izmēra satiksmi un tomēr to izdrukāt, vai neizdoties ar lielām paketēm un neizdrukāt neko.

Saglabājiet visu brīdinājumu ar tā vietējo un attālo vērtību. Pierādījums ir pāris; nevis vienīgais skaitlis, ko atceraties.

Kāpēc link-mtu ir novecojusi

OpenVPN 2.6 pasludina link-mtu par novecojušu, jo mainīgie galvenes un saskaņotie šifri padara fiksētu saites vērtību neuzticamu. Opcija pieņēma paketes izkārtojumu, ko protokols vairs negarantē, tāpēc vecs profils ar burtisku link-mtu apraksta nodomu, ko pašreizējais kods nevar izpildīt. Šī skaitļa kopēšana jaunā profilā izplata novecojušu pieņēmumu. Lasiet to kā vecā profila vēstures daļu, nevis ieteikumu.

Konsekvences pārbaudei ir arī neobligāta OCC vērtība, kas saistīta ar tun-mtu, un tā maina to, kas tiek salīdzināts, nemainot to, ko pārvadā tīkls. Tās iestatīšana neļauj lielākām paketēm ietilpt.

Salabojiet profilu pirms ceļa pārbaudes

Novērsiet nevēlamu neatbilstību caur to, kam pieder profili, un atcerieties, ka servera puses izmaiņas ietekmē ikvienu klientu. Rediģējiet profilu, ko instance faktiski ielādē, nevis eksportu lejupielāžu mapē. Pēc tam atkārtoti pievienojiet vienu testa klientu un pierakstiet, kurš brīdinājums paliek. Ja ziņojums maina formu, nevis pazūd, jūs salīdzināt citas opcijas, nekā domājat.

Koplietotam serverim pirms globālās vērtības pārvietošanas ir jāpārbauda klientu uzskaite, jo vērtība, kas der vienai vietai, var salauzt citu.

Pēc tam pārbaudiet to simptomu, kas jums patiešām ir

Ja lieli pārraides apstājas, kamēr mazi pieprasījumi izdodas, izmēriet paketes izmēru pret kontrolētu galamērķi. Zonde, kas iestata „nedalīt“ bitu un palielina kravas izmēru, atrod ceļa lietojamo MTU daudz uzticamāk nekā ping, kas vienkārši izdodas. Iekļaujiet testā arī neizdevušos lietojumprogrammu: ICMP taimauts var atspoguļot filtrēšanu, un mazs veiksmīgs ping neko nepasaka par pilna izmēra lietojumprogrammas paketi.

mssfix ierobežo MSS, kas paziņots TCP sesijām tuneļa iekšienē, un tas palīdz TCP un neko nedara iekšējai UDP slodzei. Fragmentācijas un izkraušanas iestatījumiem ir savi savietojamības nosacījumi. Izvēlieties vienu mehānismu pierādītajai problēmai, nevis mainiet vairākus uzreiz, lai apklusinātu žurnāla rindu.

Saglabājiet faktiskās vērtības kopā ar rezultātu

Pierakstiet sākotnējās un labotās faktiskās vērtības blakus īstas pārraides rezultātam. Tieši šis pāris atdala novecojušu profila opciju no ceļa MTU problēmas, kas pastāv neatkarīgi. Bez tā nākamais lasītājs redz pazudušu brīdinājumu un pieņem, ka tīkls ir mainījies.

Konsekvences pārbaudes nomākšana neko nesaskaņo. Tā noņem novērojumu un atstāj abas konfigurācijas tādas, kādas tās bija.