OpenVPN meldt inconsistent MTU-gebruik: wat de waarschuwing vergelijkt

Die waarschuwing meldt een vergelijking tussen peer-opties, niet een meting van het pad ertussen. Mensen lezen hem als ‘de MTU is verkeerd’ en veranderen het getal tot de regel verdwijnt. Dat behandelt een configuratievergelijking als een netwerkmeting, en het maakt de tunnel vaak slechter terwijl het log stiller wordt. De nuttige eerste stap is besluiten welk van die twee problemen je echt hebt.

Drie voorwaarden bepalen het antwoord: wat de peers vergelijken, of de waarde verouderd is en welk symptoom er buiten de waarschuwing bestaat.

De waarschuwing vergelijkt opties, geen pakketten

OpenVPN-peers wisselen tijdens de handshake hun optiestrings uit en vergelijken ze als onderdeel van de optieconsistentiecontrole. Als de ene kant link-mtu of tun-mtu anders meldt dan de andere, wordt de afwijking met beide waarden vastgelegd. Die uitwisseling verstuurt nooit een groot pakket om te zien wat er gebeurt, dus de waarschuwing beschrijft configuratie en niet capaciteit. Een tunnel kan verkeer op volle grootte dragen en het toch afdrukken, of falen op grote pakketten en niets afdrukken.

Bewaar de volledige waarschuwing met de lokale en externe waarde. Het paar is het bewijs; het enkele getal dat je onthoudt niet.

Waarom link-mtu is verouderd

OpenVPN 2.6 verklaart link-mtu verouderd omdat variabele headers en onderhandelde cijfers een vaste linkwaarde onbetrouwbaar maken. De optie veronderstelde een pakketindeling die het protocol niet meer garandeert, dus een oud profiel met een letterlijke link-mtu beschrijft een bedoeling die de huidige code niet kan nakomen. Dat getal naar een nieuw profiel kopiëren verspreidt een verouderde aanname. Lees het als deel van de geschiedenis van het oude profiel, niet als aanbeveling.

De consistentiecontrole heeft ook een optionele OCC-waarde die aan tun-mtu gekoppeld is en verandert wat er vergeleken wordt zonder te veranderen wat het netwerk draagt. Die instellen laat grotere pakketten niet passen.

Repareer het profiel voordat je het pad test

Verhelp een onbedoelde afwijking via wie de profielen bezit, en onthoud dat een wijziging aan de serverkant elke client raakt. Bewerk het profiel dat de instantie werkelijk laadt, niet een export in een downloadmap. Verbind daarna één testclient opnieuw en noteer welke waarschuwing overleeft. Als het bericht van vorm verandert in plaats van te verdwijnen, vergelijk je andere opties dan je denkt.

Een gedeelde server moet zijn clientinventaris laten controleren voordat een globale waarde verschuift, omdat de waarde die bij de ene locatie past een andere kan breken.

Test daarna het symptoom dat je echt hebt

Als grote overdrachten vastlopen terwijl kleine verzoeken slagen, meet de pakketgrootte tegen een gecontroleerde bestemming. Een probe die de don't-fragment-bit zet en de payloadgrootte verhoogt, vindt de bruikbare MTU van het pad veel betrouwbaarder dan een ping die simpelweg slaagt. Neem de falende toepassing mee in de test: een ICMP-timeout kan filtering weerspiegelen, en een kleine geslaagde ping zegt niets over een toepassingspakket op volle grootte.

mssfix begrenst de MSS die voor TCP-sessies binnen de tunnel wordt aangekondigd, wat TCP helpt en niets doet voor een interne UDP-belasting. Fragmentatie en offload hebben hun eigen compatibiliteitsvoorwaarden. Kies een mechanisme voor het aangetoonde probleem in plaats van er meerdere tegelijk te wijzigen om een logregel stil te krijgen.

Bewaar de effectieve waarden bij de uitkomst

Noteer de oorspronkelijke en gecorrigeerde effectieve waarden naast de uitkomst van een echte overdracht. Dat paar is wat een verouderde profieloptie scheidt van een path-MTU-probleem dat onafhankelijk bestaat. Zonder dat ziet de volgende lezer een waarschuwing die verdween en neemt aan dat het netwerk veranderde.

De consistentiecontrole onderdrukken verzoent niets. Het haalt de waarneming weg en laat beide configuraties zoals ze waren.