Pakket IPv6 kbir wisq: għaliex it-trasferimenti VPN kbar jieqfu

Il-ping jaħdem, il-browser jgħabbi paġna żgħira u t-trasferiment tal-fajl jieqaf, kollox fuq IPv6 mill-istess tunnel. Dan il-mudell normalment ifisser li l-mittent qatt ma tgħallem id-daqs veru tat-triq, mhux li t-tunnel huwa bil-mod. IPv6 jistenna li r-router jirrappurtaw il-problema b'messaġġ Packet Too Big, u l-enkapsulament iżid aktar xogħol qabel pakkett saħansitra jasal għan-netwerk ta' barra. Jekk dak il-messaġġ jiġi ffiltrat, il-mittent ikompli jirrepeti daqs li ma jistax jgħaddi.

Talbiet żgħar, waqfiet kbar

Tunnel idawwar kull pakkett f'header ieħor, għalhekk id-daqs li jista' jintuża ġewwa huwa iżgħar mid-daqs barra. Pakkett li tkejjel għall-ħolqa fiżika qabel l-enkapsulament isir kbir wisq wara. Ir-router IPv4 jistgħu jfarrku fit-triq, filwaqt li r-router IPv6 ma jagħmlux hekk f'isem il-mittent, għalhekk il-mittent irid jaġġusta ruħu minflok. U dak l-aġġustament jiddependi kollu kemm hu milli jirċievi l-feedback.

Messaġġ wieħed mitluf biżżejjed biex joħloq is-sintomu klassiku: l-idejn jingħaqdu u t-tweġibiet żgħar jirnexxu, u lista ta' direttorju jew upload jieqaf fl-istess punt kull darba. L-utenti jiddeskrivuh bħala VPN bil-mod, u l-logs ma juru xejn ħażin fl-awtentikazzjoni. Iż-żewġ osservazzjonijiet huma preċiżi u ħadd minnhom ma jsib il-post tal-ħsara.

Packet Too Big huwa feedback, mhux traffiku

Messaġġ ICMPv6 Packet Too Big iġorr id-daqs li l-qabża li jmiss tista' taċċetta, u l-mittent jużah biex ibaxxi l-istima tiegħu. Li tiffiltrah huwa l-istess bħal li tneħħi sinjal tat-triq u mbagħad tiffaħħar lix-xufiera. Regola li tarmi l-ICMPv6 kollu tidher stretta waqt li tkisser l-iskoperta tat-triq fuq kull ħolqa li għandha bżonnha. Il-messaġġ huwa informazzjoni ta' kontroll dwar it-triq, mhux tagħbija tal-applikazzjoni.

Il-filtrazzjoni selettiva għadha raġonevoli. It-talbiet tal-echo u l-iskoperta tal-ġirien għandhom rwol differenti mill-messaġġi tal-iżbalji, u l-politika tista' tittrattahom b'mod differenti. Segwi l-linji gwida tad-dokumentazzjoni tal-pjattaforma għall-filtrazzjoni minflok taċċetta jew tarmi l-protokoll kollu, għax RFC 8201 jiddefinixxi kif dak il-feedback imexxi l-iskoperta.

Ittestja ż-żewġ familji tal-indirizzi separatament

Ittestja IPv6 waħdu, għax trasferiment IPv4 li jirnexxi ma jipprova xejn dwar it-triq IPv6. Imbagħad aqbad messaġġi ta' kontroll waqt li t-trasferiment kbir jieqaf. Iż-żewġ rekords flimkien juru li l-feedback qed joħroġ jew jippruvaw li qatt ma wasal.

ping -6 -M do -s 1400 host.internal
ip -6 route get 2001:db8:2::10
sudo tcpdump -ni any 'icmp6 and ip6[40] == 2'

Il-probe jibgħat pakkett bil-bit do-not-fragment stabbilit u jirrapporta d-daqs li fih ifalli, jiġifieri n-numru li t-tunnel irid iżomm. Il-mistoqsija tat-triq issemmi l-interface li kienet iġġorr id-destinazzjoni, għalhekk taf liema MTU tal-ħolqa tapplika. Il-qbid jiffiltra ICMPv6 tip 2, il-messaġġ Packet Too Big, u juri jekk huwiex jasal għal dan il-host. Jekk il-messaġġ jidher fil-qbid u t-trasferiment xorta jieqaf, il-mittent qed jinjorah, li jċaqlaq l-investigazzjoni lejn l-istack minflok lejn in-netwerk.

Ibdel id-daqs tat-tunnel biss wara l-evidenza

Inżul fl-MTU tat-tunnel jista' jaħbi messaġġ iffiltrat u jneħħi s-sintomu, bi prezz ta' aktar xogħol fuq kull pakkett. Dan huwa aggirament u mhux dijanjożi, u għandu jiġi wara l-qbid minflok ma jissostitwih. Valur baxx arbitrarju lanqas ma jkisser xejn viżibbli, u għalhekk jibqa' fil-konfigurazzjonijiet għal snin. Ibdelu b'mod konxju, irrikordja l-valur, u nnota liema kejl iġġustifikah.

Meta tikkontrolla l-gateway, eżamina r-regola li tarmi l-messaġġ minflok ma titfi l-firewall. Regola waħda kkoreġuta hija eqreb milli eċċezzjoni fil-politika u ħafna aktar faċli tiddefendiha aktar tard. L-istess raġunament jgħodd għat-timeouts: mhux kull waqfa hija problema ta' daqs, u l-qbid huwa dak li jifred it-tnejn.