MTU уу, MSS уу? VPN-ийн өөрчлөлт үнэхээр юу засдаг вэ

Пинг амжилттай болж, том дамжуулалт гацаж, туннель өөрийгөө эрүүл гэж мэдээлдэг. Нэг хүн интерфэйсийн MTU-г бууруулж, өөр хүн MSS-ийг хязгаарлаж, заримдаа асуудал хэн ч бүртгэдэггүй шалтгаанаар алга болдог. Энэ хоёр тоо өөр объектыг тодорхойлдог тул буруугийг өөрчлөх нь азтай төстэй засвар авчирдаг. Процесс нь ийм байна: давхаргыг тодорхойлж, тохирох тохируулгыг хэрэглээд, дараа нь шинэ холболт дээр туршаарай.

Хоёр тоо, хоёр объект

MTU нь холбоос эсвэл интерфэйст хамаарна: энэ нь хуваахгүйгээр дамжуулж болох хамгийн том пакет юм. MSS нь TCP-д хамаарна: энэ нь сегмент зөөж болох хамгийн их TCP ачаалал бөгөөд TCP болон IP толгойг хоёуланг нь оруулахгүй. IPv4 бүхий энгийн Ethernet холбоос дээр 1500 байтын MTU нь сайн мэдэх 1460 байтын MSS өгдөг. Эдгээр тоо нь өөр давхаргыг тодорхойлж, өөр механизмаар солилцогддог. Хоёулаа байтаар хэмжигддэг, хоёулаа 1500-д ойрхон байдаг тул андуурахад хялбар.

Нэг нь интерфэйсийн тохиргоо болж ирдэг. Нөгөө нь SYN сегментийн доторх сонголт болж ирдэг бөгөөд таны интерфэйсийг хэзээ ч хардаггүй хоёр үзүүрийн хооронд хэлэлцэгддэг.

Гаднах нэмэлт ачаалал хаана буудаг

VPN дотоод пакетыг өөр пакет дотор хийж, гаднах пакет физик замд багтах ёстой. Инкапсуляцын толгой, гаднах IP толгой, тээврийн толгой, аливаа баталгаажуулалтын шошго нь дотоод пакет ашиглаж чадахгүй байтуудыг зарцуулдаг. Туннелийн интерфэйсийг 1500 дээр үлдээвэл гаднах пакет зам зөөж чадахаас тогтмол давж гардаг. 'Хуваахгүй' бит тавигдсан үед маршрутизатор үүнийг хаяж, ICMP алдаа буцаах ёстой; тэр алдаа шүүгдвэл илгээгч хэзээ ч мэдэхгүй.

Тиймээс алдаа сонгомол харагддаг. Жижиг хүсэлтүүд дуусч, сегментийг дүүргэх бүхэн гацдаг, учир нь зөвхөн том пакетууд хаягддаг. Пинг нэвтрүүлдэг туннель бол өгөгдөл зөөдөг туннель биш.

MSS-ийг хязгаарлах ба хаана үйлчилдэг

MSS хязгаарлалт нь сонгосон цэгээр дамжихдаа SYN сегмент дэх утгыг дахин бичиж, хоёр үзүүр яагаад гэдгийг мэдэхгүйгээр бага ачааллыг сонгодог. Linux дээр энэ нь тодорхой дүрмээр хэрэглэгддэг mangle хүснэгтийн зорилт бөгөөд таны хүссэн чиглэлд SYN пакетуудыг онох ёстой. Үүнийг туннелийн интерфэйс болон хаягийн мужаар хязгаарлаарай, учир нь өргөн дүрэм туннельд хэзээ ч ордоггүй траффикийн зан төлөвийг өөрчилдөг.

Үр нөлөө зөвхөн TCP-д хамаарна. UDP програм, QUIC сесс, өөрийн датаграммыг барьдаг аливаа протокол хөндөгдөхгүй.

Тогтмол замаар диагностик хий

Нэг удаад нэг хувьсагч бариарай. Хэмжээг өөрөө сонгосон пакетаар туршаарай, мөн цөм үр дүнг нуухын оронд мэдээлэхийн тулд 'хуваахгүй' тугыг тавиарай.

Алдаа хаанаас эхэлж байгааг тэмдэглээрэй: туннелийн дотор, туннелийн интерфэйс дээр эсвэл инкапсуляцын дараах физик зам дээр. Дараа нь нэг тоог өөрчилж, өөр биш, мөнөөх туршилтыг давтаарай. Одоо байгаа холболтууд хэлэлцсэн MSS-ээ хадгалдаг тул бодлогын өөрчлөлт зөвхөн шинэ холболт дээр харагддаг, иймээс кэшлэсэн хуудас аль ч чиглэлд юу ч нотолдоггүй. Нэг том байршуулалт ажиллаж эхэлбэл та тэр замын тухай мэдэж авсан, түүн дээрх бүх протоколын тухай биш.

Өөрчлөлт бүр юу засдаггүй

Интерфэйсийн MTU-г бууруулах нь аль хэдийн тогтоогдсон сессийн MSS-ийг өөрчлөхгүй. MSS-ийг хязгаарлах нь UDP урсгалд тус болохгүй, ICMP алдаа зөвхөн нэг чиглэлд шүүгддэг замыг ч засахгүй. Өөрчлөлт бүр нэг төрлийн асуудлыг засаж, бусад нь яг байсан хэвээр үлдээдэг.

Ямар тохируулгыг хаана хэрэглэсэн, аль туршилт ялгааг харуулсныг бичээрэй, эс бөгөөс дараагийн инженер хоёуланг нь хэрэглэж, алийг нь чухал байсныг хэлэх чадвараа алдана. Хязгаарлалт бодит бөгөөд байнгын бол нуудаг хязгаарлалтаас илүү түүнийг илэрхийлдэг туннелийн MTU-г сонгоорой. Хязгаарлах шаардлагатай бол дүрмийг хязгаарлагдмал, тайлбартай үлдээгээрэй, учир нь тайлбарлаагүй mangle дүрэм анхдагчаар байнгын болдог.