Għaliex VPN joqgħod fuq trasferimenti kbar imma mhux fuq dawk żgħar

Paġna tgħabbi, ping jirnexxi, u kopja ta' fajl tistabilizza fl-istess punt kull darba. Dan il-mudell jindika lejn id-daqs tal-pakkett u mhux lejn il-wisa' tal-banda jew il-kredenzjali. L-inkapsulament iżid bajts ma' kull pakkett, għalhekk tagħbija li kienet tidħol fil-passaġġ oriġinali tista' taqbeż il-limitu wara li tgħaddi minn mina. F'dawn it-tħadditiet tliet numri differenti jissejħu MTU, u t-taħwid tagħhom iwassal għal konfigurazzjoni li ssewwi applikazzjoni waħda u tkisser oħra.

Tliet numri li n-nies isejħu MTU

L-MTU tal-interfaċċa huwa l-limitu kkonfigurat għal pakkett fuq dak il-ħolqa. L-MTU tal-passaġġ huwa l-iżgħar limitu tul ir-rotta, u jinstab minflok ma jiġi kkonfigurat. It-TCP MSS huwa d-daqs tat-tagħbija li sieħeb jiddikjara li jista' jirċievi, u huwa derivat miż-żewġ l-oħra minflok ma huwa limitu fiżiku separat.

Il-mina għandha ħarsa interna u ħarsa esterna. Il-pakkett estern iġorr dak inkapsulat flimkien mal-intestaturi li l-protokoll jeħtieġ, għalhekk id-daqs intern użabbli huwa iżgħar minn dak li jippermetti l-passaġġ estern. Il-passaġġ lejn is-server VPN ukoll huwa differenti mill-passaġġ tas-server lejn id-destinazzjoni.

L-iskoperta tal-MTU tal-passaġġ tħalli lill-mittent jitgħallem id-daqs li jaħdem, iżda tiddependi milli jasal ir-rispons. Meta apparat intermedju jiffiltra l-messaġġi ICMP rilevanti, il-mittent ikompli jibgħat pakketti li qatt ma jitlestew, u dan huwa t-toqba sewda klassika. Is-sintomu huwa distint meta tkun tafu: l-handshake jirnexxi, l-ewwel tagħbija ta' daqs sħiħ tisparixxi, u l-konnessjoni fl-aħħar tiġi resetjata jew tistabilizza. Xejn fir-reġistru tal-applikazzjoni ma jidher bħala problema tan-netwerk.

Iċċekkja l-passaġġ b'tagħbija li tikkontrolla

Test huwa prova dwar rotta waħda u daqs wieħed, mhux konfigurazzjoni rakkomandata. Uża host li jwieġeb, u varja biss id-daqs tat-tagħbija.

ping -M do -s 1372 -c 2 203.0.113.20
ping -4 -f -l 1372 vpn.example

L-ewwel kmand jibgħat test Linux bil-frammentazzjoni mitfija u tagħbija ta' 1372 bajt, u t-tieni jagħmel l-istess fuq Windows fejn it-tagħbija tiġi stabbilita b'-l. Tweġiba tfisser li dak id-daqs għadda mill-passaġġ. Messaġġ li l-frammentazzjoni hija meħtieġa huwa informattiv, filwaqt li timeout huwa ambigwu għax il-host jew apparat intermedju jista' sempliċement jarmi l-ICMP.

Niżżel id-daqs fi ftit passi minflok tfittxija binarja sa l-bajt. Qed tipprova tistabbilixxi jekk teżistix limitu massimu tad-daqs, mhux tippubblika numru għal kull netwerk. In-numru li ssib japplika għal dan il-passaġġ, dan il-protokoll u din il-familja ta' indirizzi.

IPv4 u IPv6 jifframmentaw b'mod differenti, għalhekk riżultat ta' familja waħda ma jgħid xejn dwar l-oħra. Ittestja l-familja li l-applikazzjoni tassew tuża.

Il-clamping tal-MSS jgħin biss lit-TCP

Fit-TCP it-tagħbija effettiva tiġi negozjata waqt l-handshake, u router fil-passaġġ jista' jerġa' jikteb dak il-valur 'l isfel biex iż-żewġ trufijiet jibagħtu segmenti iżgħar. Dan jagħmlu l-clamping tal-MSS, u jaħdem mingħajr ma jmiss lill-klijent xejn.

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
ip link show tun0

L-ewwel regola tipponta l-MSS imħabbra għall-MTU tal-passaġġ għall-handshakes TCP li jiġu mibgħuta 'l quddiem, u t-tieni turi l-MTU tal-interfaċċa tal-mina stess biex tqabbla ma' dak li jippermetti l-passaġġ. Il-clamping huwa l-inqas invażiv tiswija għal applikazzjoni TCP li tistabilizza wara l-handshake.

Għall-UDP ma jagħmel xejn. Klijent tal-vuċi jew tal-logħob li jibgħat datagrammi kbar se jinjora għal kollox setting tal-MSS, għax m'hemmx handshake x'jerġa' jinkiteb. Jekk l-applikazzjoni li qed ifalli hija UDP, ħares minflok lejn l-għażliet tad-daqs tal-pakkett tal-klijent stess. Iż-żewġ protokolli jonqsu b'mod differenti u jissewwew b'għodod differenti, għalhekk il-protokoll jappartjeni għall-ewwel sentenza tat-ticket.

OpenVPN jesponi għażliet bħal tun-mtu, mssfix u settings relatati mal-frammentazzjoni, u l-imġiba tagħhom tiddependi mill-verżjoni u mill-jekk il-kanal tad-dejta huwiex AEAD. Aqra l-manwal għall-verżjoni li qed tintuża, u biddel għażla waħda kull darba.

Biddel setting wieħed appoġġjat u erġa' għamel iż-żewġ provi

Żomm il-profil oriġinali, biddel valur wieħed appoġġjat, u erġa' għamel kemm it-talba żgħira li ħadmet kif ukoll it-trasferiment kbir li falla. Jekk jinbidel biss dak kbir, kont qed tiġri wara d-daqs. Jekk jinbidlu t-tnejn, xi ħaġa oħra mxiet miegħu.

Valur aktar baxx jista' jnaqqas is-sintomu filwaqt li jżid l-ispiża, għalhekk l-iżgħar numru possibbli mhuwiex l-għan. L-għan huwa daqs li l-passaġġ iġorr b'mod affidabbli bl-inqas ħela. Innota l-valur, il-passaġġ u l-verżjoni tal-klijent fit-ticket, għax l-istess numru applikat band'oħra huwa stima.

Jekk l-istess profil jaħdem minn netwerk fiduċjarju ieħor, żomm dak id-differenza fid-dijanjosi minflok ma tiddikjara l-klijent imsewwi. Il-varjabbli li nbidel huwa l-passaġġ, u l-passaġġ huwa dak li kejjel it-test.