Големите пакети исчезнуваат преку IPsec, а малите ping работат

Далечните школки остануваат одзивни, малите проби одговараат, а потоа копирањето датотека ползи и застанува без грешка на која некој би можел да покаже. Ping со поголем товар тоа веднаш го репродуцира, а истиот пренос работи од локалната мрежа. Ништо во шифрирањето не е бавно; одредени пакети никогаш не пристигнуваат. Две различни поделби можат да го дадат тој знак и оставаат различни докази.

Две места каде пакетот може да се подели

Пред шифрирањето, рутерот може да подели преголем внатрешен пакет и да го заштити секое парче одделно. По шифрирањето, она што се дели е готовиот надворешен пакет, а далечната страна мора повторно да го состави пред да може да дешифрира нешто. Ист симптом, поинаква работа за примачот и поинакви рачки за вас.

Разликата е важна затоа што поправка насочена кон погрешната страна менува број без да го помести дефектот. Пакетот одбиен на интерфејсот никогаш не станува надворешен пакет, па никакво поставување од надворешната страна не може да го спаси.

Каде всушност се носи одлуката за големина

Интерфејсот на тунелот носи IP MTU, и таа вредност може да одбие преголем внатрешен пакет многу пред фазата IPsec да го види. Поставувањето бит во надворешниот заглавие не ја преиспитува таа претходна одлука, затоа што пакетот веќе е одбиен. Затоа покачувањето на внатрешниот MTU понекогаш ја влошува работата наместо да ја подобри. Прочитајте ја вредноста на интерфејсот и надворешното однесување пред да промените било кое од двете, бидејќи поевтината промена обично е таа што го објаснува симптомот.

Прво проверете ја вредноста на интерфејсот, потоа надворешното однесување. Два броја, две фази, и обично само еден од нив е одговорен.

Надворешниот буџет не е внатрешниот буџет

Секое инкапсулирање троши бајти на заглавија, а количината зависи од транспортот, семејството адреси и дали е вклучен NAT преносот. Внатрешен пакет што се вклопува во локалната врска сепак може да создаде надворешен пакет што не се вклопува во патеката по неа. Измерете ги трошоците наместо да ги претпоставувате, бидејќи секое опционално заглавие се додава на сметката. Тунел со NAT пренос плаќа повеќе од гол, и разликата е доволна да го скрши преносот што работеше вчера.

Кога надворешниот пакет носи бит за забрана на фрагментација, скокот што не може да го препрати го отфрла и треба да врати ICMP порака. Ако таа порака се филтрира некаде, испраќачот продолжува да се обидува, а корисникот гледа застој без објаснување. Тоа тивко отфрлање е вообичаената причина проблем со големина да се пријавува како проблем со брзина.

IPv6 отстранува една од опциите

IPv6 рутерите не фрагментираат во транзит, па надворешниот пакет или се вклопува или исчезнува со порака Packet Too Big. Таа порака станува единствениот канал за повратна информација, а нејзиното блокирање го крши откривањето патека за секој голем пренос што следи. IPv4 рутерите можат да фрагментираат голем пакет кога битот е чист, што го крие дефектот додека нешто друго не го постави тој бит.

На мешан стек, истиот тунел може да се однесува различно за двете семејства, затоа еден тест преку IPv4 не решава жалба за IPv6. Проверката што вежба само едно семејство остава половина од одговорот неизмерен.

Политиката за TCP сегменти не е општ одговор

Ограничувањето на максималната големина на сегментот им помага на TCP тековите и е легитимна контрола кога проблемот е ограничен на нив. Нема никакво влијание врз UDP, кој пренесува DNS, некои гласовни протоколи и растечки дел од веб сообраќајот.

Применете ја, потоа тестирајте го работното оптоварување што не успеа. Ако случајот со UDP сè уште не успева, политиката за сегменти никогаш не била одговорот и буџетот на интерфејсот сè уште бара внимание. Прво утврдете го протоколот на неуспешното оптоварување, потоа изберете ја контролата што му припаѓа.

Редоследот на работа

Запишете го најголемиот товар што преживува, потоа MTU на интерфејсот, потоа дали надворешниот пакет го носи битот за забрана на фрагментација и на крајот дали ICMP повратната информација стигнува до испраќачот. Тој редослед го стеснува дефектот без погодување. Чувајте го секое набљудување со временска ознака и крајна точка, бидејќи сите четири броја се поместуваат кога патеката се менува.

Променете една вредност, тестирајте го повторно оригиналниот пренос и задржете го резултатот. Тунел што минува голема проба но сè уште застанува на апликацијата преминал на друг проблем, и тоа е напредок што вреди да се запише. Следниот човек повеќе ги сака броевите отколку заклучокот.