Inġorr Pakkett Intern Fiss ta’ 1,500 Byte minn VPN

Għandek rekwiżit li ma jinżammx lura: in-naħa l-oħra trid tirċievi l-istess pakkett IP ta’ 1,500 byte li joħroġ minn min jibgħat, inklużi l-headers. Tunnel ma jistax ipakki dak il-pakkett flimkien mal-framing tiegħu stess ġewwa tieni pakkett IP ta’ 1,500 byte, għalhekk xi ħaġa fid-disinn trid ċċedi. L-ordni hawn taħt hija dik li nuża f’tieqa ta’ bidla: ikteb il-baġit tal-bytes, ipprova x’jista’ verament iġorr l-underlay, imbagħad agħżel eżattament mekkaniżmu wieħed tat-trasport u kkonferma l-pakkett intern fuq in-naħa l-oħra.

Ikteb il-baġit tal-bytes qabel ma tibdel profil

L-inkapsulament iżid bytes fuq bosta saffi, u t-total huwa proprjetà tal-profil tiegħek u mhux kostanti li tista’ tfittex. Il-familja tal-indirizzi, l-għażla taċ-ċifrar, il-protokoll tat-trasport u kwalunkwe għażla ta’ kompressjoni jew framing kollha jċaqalqu n-numru, u għalhekk tnaqqis ikkupjat minn installazzjoni oħra huwa bla siwi bħala baġit. Ibda mir-rekwiżit intern, żid l-overhead imkejjel għal kull pakkett tal-konfigurazzjoni tiegħek, u ikteb id-daqs estern li joħroġ fuq it-ticket tal-bidla qabel ma xi ħadd jeditja fajl.

Żewġ numri jiddeċiedu d-disinn: l-akbar pakkett estern li r-rotta ġġorr mingħajr frammentazzjoni, u l-bytes żejda li jeħtieġ l-inkapsulament tiegħek. Meta l-ewwel wieħed huwa iżgħar mit-tieni wieħed flimkien ma 1,500, wieħed minnhom irid jinbidel. L-għażla mbagħad issir dejqa u mhux kreattiva, u għalhekk nikteb iż-żewġ numri qabel ma niddiskuti l-għażliet. Xejn fis-saff tat-tunnel ma jikkompressa dawk il-bytes, u lanqas integer wieħed ta’ MTU ma jneħħi r-rekwiżit li ngħatajt.

Ipprova l-underlay b’do-not-fragment ping

Kejjel ir-rotta minflok ma tafda l-MTU tal-interface, għax l-iżgħar rabta fir-rotta esterna hija dik li tgħodd. Fuq Linux, -M do jistabbilixxi l-bit do-not-fragment u -s jieħu l-payload ICMP, għalhekk frame ta’ 1,500 byte iwieġeb b’ 1,472 byte ta’ payload meta jitnaqqsu l-header IP ta’ 20 byte u l-header ICMP ta’ 8 byte. Żid il-payload sakemm il-prova tfalli, imbagħad aqbeż għal daqs jumbo biex tara jekk ir-rotta ġġorrx xejn.

ping -M do -s 1472 -c 2 198.51.100.10
ping -M do -s 8972 -c 2 198.51.100.10
tracepath -n 198.51.100.10

Rotta li tgħaddi 1,472 u tfalli f’ 8,972 ma tistax iġġorr pakkett intern ta’ 1,500 byte flimkien mal-overhead f’ pakkett estern wieħed. Din hija t-tweġiba li kellek bżonn qabel ma tiftaħ il-konfigurazzjoni tal-VPN. Hija tiddeċiedi wkoll liema miż-żewġ sezzjonijiet li jmiss japplika għalik, għalhekk żomm iż-żewġ riżultati tal-prova ħdejn it-ticket. L-istimar hawn jiswa tieqa ta’ manutenzjoni, għax tunnel li jirrapporta lilu nnifsu up ma jgħidlek xejn dwar l-akbar pakkett li r-rotta se taċċetta.

Għolli l-MTU tar-rotta biss fejn kull hop jaqbel

Il-frames jumbo huma proprjetà end-to-end, u mhux setting li tixgħel fuq iż-żewġ endpoints li jiġri li tikkontrolla. Kull switch, router u kunsinna tal-fornitur fuq ir-rotta esterna trid taqbel fuq id-daqs akbar, u hop wieħed ta’ 1,500 byte se jarmi bil-kwiet il-pakkett li għadek kemm kbart. Li tgħolli l-interface lokali biss hija l-bidla nofsha klassika li tagħmel it-tunnel jidher miksur waqt li l-underlay jaqta’ bil-kwiet.

ip link set dev eth1 mtu 9000
ip link show dev eth1
ping -M do -s 8972 -c 2 198.51.100.10

Ibdel l-interface, imbagħad erġa’ pprova l-istess rotta qabel ma tibdel xi ħaġa oħra. Jekk il-prova għadha tfalli, erġa’ lura b’ ip link set dev eth1 mtu 1500 u mur għall-frammentazzjoni minflok ma targumenta ma’ fornitur dwar rabta li mhix tiegħek.

Uża l-frammentazzjoni tat-tunnel meta l-underlay ma jistax jikber

Mekkaniżmu ta’ frammentazzjoni appoġġat taħt il-pakkett intern iħalli bosta pakketti esterni jġorru pakkett intern wieħed, u l-endpoint tat-tunnel oppost jerġa’ jgħaqqadhom qabel ma jgħaddi l-oriġinal lit-stack. L-għażla UDP fragment ta’ Community OpenVPN hija implimentazzjoni waħda ta’ dik l-idea, u mhix l-istess ħaġa bħall-frammentazzjoni IP ordinarja tal-pakkett estern. Iż-żewġ peers iridu jħaddmu verżjoni li tappoġġa l-format, u l-mogħdija tad-data trid tkun dik li taħseb li hi: il-klijenti OpenVPN 3 u l-kanali tad-data aċċellerati mill-kernel għandhom limiti differenti, għalhekk profil li jaħdem fuq klijent wieħed jista’ ifalli fuq ieħor.

openvpn --config client.ovpn --tun-mtu 1500 --fragment 1400 --verb 4

Il-frammentazzjoni esterna ordinarja hija l-għażla l-oħra, u hija l-aktar dgħajfa. Ir-routers IPv6 ma jframmentawx pakkett imbagħat mill-ġdid xejn, għalhekk pakkett estern kbir wisq sempliċement imut u min jibgħat jitgħallem biss jekk il-messaġġ ICMPv6 rilevanti jibqa’ ħaj fir-rotta. Il-frammenti jistiednu wkoll il-filtrazzjoni u l-amplifikazzjoni tat-telf, u għalhekk inqisha bħala pjan ta’ riżerva u mhux bħala pjan.

Trasportatur estern ibbażat fuq stream jevita l-kwistjoni tad-daqs billi jissegmenta l-istream tiegħu stess ta’ bytes, u l-pakkett intern rikostruwit xorta jista’ ikun ta’ 1,500 byte. Din hija deċiżjoni tat-trasport bl-ispiża tagħha stess, inkluż l-imġieba magħrufa tat-TCP ġewwa TCP, għalhekk ħudha b’ mod deliberat u mhux bħala effett sekondarju ta’ argument dwar l-MTU.

Ikkonferma li l-pakkett intern jasal bla ma jinbidel

Il-verifika mhijiex handshake li rnexxa. Aqbad fuq l-interface tat-tunnel fiż-żewġt itruf u qabbel id-daqs u l-kontenut tal-pakkett li l-applikazzjoni tassew bagħtet ma’ dak li rċeviet in-naħa l-oħra.

ip link show dev tun0
ping -M do -s 1472 -c 2 10.8.0.1
tcpdump -ni tun0 -c 5 'icmp and greater 1000'

Jekk il-qabda turi l-pakkett intern b’ daqs sħiħ fit-tarf l-oppost, l-għażla tat-trasport taħdem u x-xogħol li jifdal huwa li tirreġistraha. Jekk ma turi xejn waqt li t-tunnel jirrapporta lilu nnifsu up, il-pakkett estern qed jiġi mwarrb xi mkien bejn l-endpoints, li jibgħat lura lejn il-prova u mhux lejn is-settings taċ-ċifrar.

Irreġistra tliet affarijiet fit-ticket tal-bidla qabel ma tagħlqu: il-baġit estern imkejjel, il-mekkaniżmu li għażilt, u l-kmand li wera li l-pakkett intern baqa’ ħaj. Il-persuna li jmiss li tmiss dan it-tunnel se jkollha bżonn it-tlieta, u ħadd minnhom ma jista’ jiġi rikostruwit mill-fajl tal-konfigurazzjoni waħdu.