Grote pakketten verdwijnen over IPsec terwijl kleine pings blijven werken

Externe shells blijven reageren, kleine probes antwoorden, en dan kruipt een bestandskopie en stokt zonder fout die iemand kan aanwijzen. Een ping met een grotere payload reproduceert het meteen, en dezelfde overdracht werkt vanaf het lokale netwerk. Niets aan de versleuteling is traag; bepaalde pakketten komen nooit aan. Twee verschillende splitsingen kunnen dat kenmerk geven, en ze laten verschillend bewijs achter.

Twee plaatsen waar een pakket kan worden gedeeld

Vóór de versleuteling kan de router een te groot binnenpakket splitsen en elk stuk apart beschermen. Na de versleuteling wordt het voltooide buitenpakket gedeeld, en de verre kant moet het weer samenvoegen voordat er iets ontsleuteld kan worden. Hetzelfde symptoom, ander werk voor de ontvanger en andere knoppen voor u.

Het onderscheid is belangrijk omdat een correctie op de verkeerde kant een getal verandert zonder de storing te verplaatsen. Een pakket dat bij de interface wordt geweigerd, wordt nooit een buitenpakket, dus geen enkele instelling aan de buitenkant kan het redden.

Waar de groottebeslissing werkelijk wordt genomen

Een tunnelinterface draagt een IP MTU, en die waarde kan een te groot binnenpakket afwijzen lang voordat de IPsec-fase het ziet. Een bit op de buitenheader zetten herziet die eerdere beslissing niet, omdat het pakket al is geweigerd. Daarom maakt een hogere interne MTU het soms erger in plaats van beter. Lees de interfacewaarde en het buitengedrag voordat u een van beide wijzigt, want de goedkopere aanpassing is meestal degene die het symptoom verklaart.

Controleer eerst de interfacewaarde en dan het buitengedrag. Twee getallen, twee fasen, en meestal is slechts één ervan verantwoordelijk.

Het buitenbudget is niet het binnenbudget

Elke inkapseling verbruikt bytes aan headers, en de hoeveelheid hangt af van het transport, de adresfamilie en of NAT-traversal in het spel is. Een binnenpakket dat op de lokale link past, kan nog steeds een buitenpakket opleveren dat niet op het pad daarna past. Meet de overhead in plaats van hem aan te nemen, want elke optionele header komt op de rekening. Een tunnel met NAT-traversal betaalt meer dan een kale, en het verschil is genoeg om een overdracht te breken die gisteren werkte.

Draagt het buitenpakket de do-not-fragment-bit, dan laat een hop die het niet kan doorsturen het vallen en zou een ICMP-bericht moeten terugsturen. Wordt dat bericht ergens gefilterd, dan blijft de afzender het proberen en ziet de gebruiker een stilstand zonder uitleg. Die stille drop is de gebruikelijke reden waarom een grootteprobleem als snelheidsprobleem wordt gemeld.

IPv6 haalt een van de opties weg

IPv6-routers fragmenteren niet onderweg, dus het buitenpakket past of verdwijnt met een Packet Too Big-bericht. Dat bericht wordt het enige feedbackkanaal, en het blokkeren ervan breekt padontdekking voor elke grote overdracht die volgt. IPv4-routers mogen een groot pakket fragmenteren wanneer de bit duidelijk is, wat de fout verbergt tot iets anders die bit zet.

Op een gemengde stack kan dezelfde tunnel zich anders gedragen voor de twee families, daarom beslecht één test over IPv4 een IPv6-klacht niet. Een controle die één familie oefent, laat de helft van het antwoord ongemeten.

TCP-segmentbeleid is geen algemeen antwoord

Het beperken van de maximale segmentgrootte helpt TCP-stromen, en het is een legitieme controle wanneer het probleem daartoe beperkt is. Het heeft geen effect op UDP, dat DNS, sommige spraakprotocollen en een groeiend deel van het webverkeer draagt.

Pas het toe en test dan de werklast die faalde. Als het UDP-geval nog steeds faalt, was het segmentbeleid nooit het antwoord en vraagt het interfacebudget nog aandacht. Identificeer eerst het protocol van de falende werklast en kies dan de controle die daarbij hoort.

De volgorde om in te werken

Noteer de grootste payload die overleeft, dan de interface-MTU, dan of het buitenpakket de do-not-fragment-bit draagt, en ten slotte of de ICMP-feedback de afzender bereikt. Die volgorde vernauwt de fout zonder te gissen. Bewaar elke waarneming met een tijdstempel en een eindpunt, want alle vier de getallen verschuiven wanneer het pad verandert.

Wijzig één waarde, test de oorspronkelijke overdracht opnieuw en bewaar het resultaat. Een tunnel die een grote probe haalt maar nog steeds stokt op de toepassing, is naar een ander probleem verschoven, en dat is vooruitgang die het opschrijven waard is. De volgende persoon heeft liever de getallen dan de conclusie.