Jumbo рамките не го прават VPN патот носител на пакети од 9000 бајти

Вклучивте рамки од 9000 бајти на LAN и очекувавте VPN да стане побрз. Стана побавен или целосно престана да пропушта големи преноси. Jumbo рамките се локален договор за врската; тие не го прошируваат патот што го преминува тунелот.

Достапниот буџет го одредува најмалата граница на маршрутата, вклучувајќи ја инкапсулацијата што ја додава тунелот.

Што всушност менуваат jumbo рамките

MTU е својство на еден интерфејс. Неговото подигање на сервер и неговиот свич значи дека тие две можат да разменуваат поголеми рамки без фрагментација. Тоа не кажува ништо за рутерот зад свичот, за провајдерот или за другата страна на тунелот. Тие уреди имаат свои граници, а пакетот што надминува една од нив се отфрла или се фрагментира според правила што вие не сте ги поставиле.

Локален договор, глобални последици. Тоа е целата забуна.

Данокот за инкапсулација

Тунелот го завиткува вашиот пакет во друг. WireGuard преку IPv4 UDP додава околу 60 бајти товар; UDP режимот на OpenVPN е во истиот опсег, а IPsec варира според режимот и алгоритмите. Тие бајти доаѓаат од буџетот на надворешниот пат, а не од никаде.

Затоа надворешна врска од 1500 бајти не може да носи внатрешен пакет од 1500 бајти штом се додаде заглавие на тунелот.

Аритметиката вреди да се направи еднаш. На пат од 1500 бајти, интерфејсот WireGuard сака MTU околу 1420 за да се вклопи инкапсулираниот пакет. Поставете го внатрешниот интерфејс на 9000 и секој голем пакет ќе бара фрагментација што тунелот не може да ја изврши или ќе биде отфрлен.

Најдете ја најмалата врска на патот

Поминете ја маршрутата и најдете најнискиот MTU. LAN обично е 1500 или 9000, WAN обично е 1500, а мобилна или PPP врска може да биде уште пониска. Потоа одземете го товарот на тунелот. Ако резултатот е помал од MTU на внатрешниот интерфејс, го имате одговорот. Откривањето на MTU на патот може да го најде ова автоматски, но само кога ICMP пораките од кои зависи се пропуштаат.

Филтрираниот ICMP е класичната причина зошто голем пренос виси додека малите барања работат добро.

Тестирајте ја зависноста од големината без да ја проширите промената

Користете репрезентативен пренос и зачувајте ги оригиналните вредности за да можете да ги вратите. ping -M do -s 1472 тестира пакет од 1500 бајти со поставен DF бит; намалувајте ја големината додека не помине. Ако само големите пакети не успеваат, имате проблем со големината, а не со рутирањето.

Внимавајте на offload на страната на домаќинот кога читате снимки. Сегментацискиот offload може да покаже рамки многу поголеми од она што навистина поминало низ кабелот, поради што работниот пат изгледа расипан, а расипаниот изгледа добро.

Кога голем MTU е вистинскиот дизајн

Контролирана приватна мрежа може легитимно да вози поголеми рамки од крај до крај, под услов секој уред на патот да се согласува и товарот на тунелот да е пресметан. Тоа е координиран дизајн со документирана вредност по врска, а не еден голем број внесен во клиент.

За обичен јавен излез, претпоставете 1500 или помалку и оставете тунелот да избере безбеден внатрешен MTU. RFC 8201 го покрива откривањето на MTU на патот за случајот IPv6 и е корисна референца за тоа како треба да работи повратната информација.