OpenVPN varsler om inkonsekvent MTU-bruk: hva advarselen sammenligner

Denne advarselen rapporterer en sammenligning mellom partenes valg, ikke en måling av veien mellom dem. Folk leser den som «MTU-en er feil» og endrer tallet til linjen forsvinner. Det behandler en konfigurasjonssammenligning som en nettverksmåling, og det gjør ofte tunnelen verre mens loggen blir stillere. Det nyttige første steget er å avgjøre hvilket av de to problemene du faktisk har.

Tre betingelser avgjør svaret: hva partene sammenligner, om verdien er utdatert, og hvilket symptom som finnes utover advarselen.

Advarselen sammenligner valg, ikke pakker

OpenVPN-parter utveksler valgstrengene sine under håndtrykket og sammenligner dem som del av konsistenskontrollen av valg. Når den ene siden rapporterer link-mtu eller tun-mtu annerledes enn den andre, registreres avviket med begge verdier. Den utvekslingen sender aldri en stor pakke for å se hva som skjer, så advarselen beskriver konfigurasjon fremfor kapasitet. En tunnel kan bære trafikk i full størrelse og likevel skrive den ut, eller feile på store pakker og ikke skrive ut noe i det hele tatt.

Ta vare på hele advarselen med dens lokale og eksterne verdi. Paret er beviset; det enkelte tallet du husker, er det ikke.

Hvorfor link-mtu er utdatert

OpenVPN 2.6 utdaterer link-mtu fordi variable headere og forhandlede chifre gjør en fast lenkeverdi upålitelig. Valget forutsatte en pakkelayout som protokollen ikke lenger garanterer, så en gammel profil med en bokstavelig link-mtu beskriver en hensikt som gjeldende kode ikke kan oppfylle. Å kopiere tallet til en ny profil sprer en utdatert antakelse. Les det som en del av den gamle profilens historie, ikke som en anbefaling.

Konsistenskontrollen har også en valgfri OCC-verdi knyttet til tun-mtu, som endrer hva som sammenlignes uten å endre hva nettverket bærer. Å sette den får ikke større pakker til å passe.

Reparer profilen før du tester veien

Rett opp et utilsiktet avvik gjennom den som eier profilene, og husk at en endring på serversiden påvirker hver klient. Rediger profilen som instansen faktisk laster, ikke en eksport i en nedlastingsmappe. Koble deretter til én testklient på nytt og noter hvilken advarsel som overlever. Hvis meldingen skifter form i stedet for å forsvinne, sammenligner du andre valg enn du tror.

En delt server må få klientoversikten kontrollert før en global verdi flyttes, fordi verdien som passer for ett sted, kan ødelegge et annet.

Test deretter symptomet du faktisk har

Hvis store overføringer stopper mens små forespørsler lykkes, må pakkestørrelsen mot en kontrollert destinasjon. En sonde som setter don't-fragment-biten og øker nyttelastens størrelse, finner veiens brukbare MTU langt mer pålitelig enn en ping som bare lykkes. Ta med applikasjonen som feiler i testen: en ICMP-tidsavbrudd kan gjenspeile filtrering, og en liten vellykket ping sier ingenting om en applikasjonspakke i full størrelse.

mssfix begrenser MSS som annonseres for TCP-økter inne i tunnelen, noe som hjelper TCP og ikke gjør noe for en indre UDP-belastning. Fragmentering og offload-innstillinger har sine egne kompatibilitetsbetingelser. Velg en mekanisme for det påviste problemet i stedet for å endre flere samtidig for å gjøre en logglinje stille.

Ta vare på de effektive verdiene sammen med resultatet

Noter de opprinnelige og rettede effektive verdiene ved siden av resultatet av en reell overføring. Det paret er det som skiller et utdatert profilvalg fra et MTU-problem på veien som finnes uavhengig. Uten det ser neste leser en advarsel som forsvant, og antar at nettverket har endret seg.

Å undertrykke konsistenskontrollen forliker ingenting. Det fjerner observasjonen og lar begge konfigurasjonene være som de var.