MTU på iPhone-VPN: vel eigaren før du endrar eit tal

Kvar tråd om pakkestorleik på iPhone-VPN endar med å tilby den same Mac-kommandoen mot eit grensesnitt som heiter ppp0, vanlegvis med eit tal vedlagt. Han overførast ikkje, og han ville ikkje vere rett kontroll sjølv på Macen med mindre grensesnittet høyrde til den aktuelle forbindinga. På telefonen eig den som implementerer tunnelen talet: operativsystemet for ein innebygd profil, ein pakketunnel-leverandør for ein app, eller gatewayen når ein dokumentert eigenskap blir forhandla. Tre spørsmål avgjer kva for eit av desse du har med å gjere.

Spørsmål éin: kva klient køyrer

Ein innebygd IKEv2-profil, den innebygde Cisco IPsec-profilen og ein Cisco-klient frå tredjepart er tre ulike implementasjonar med tre ulike sett støtta eigenskapar. Profiltypen i Innstillingar fortel deg kva telefonen faktisk starta, og applista fortel deg om det i det heile er ein leverandør i banen. Start der, fordi resten av avgjerda følgjer av det. Viss ingen leverandør viser seg i applista, eig operativsystemet tunnelen.

Ikkje utleie implementasjonen frå gateway-leverandøren. Ein Cisco-headend kan avslutte forbindingar frå klientar som ikkje deler noko anna enn namnet til leverandøren. Eit skjermbilete av ein gamal build på ein gamal utgiving fortel deg kva det paret støtta, ikkje kva telefonen i handa di gjer.

Spørsmål to: kven eig verdien

Apple eksponerer ein MTU-eigenskap til pakketunnel-utviklarar gjennom innstillingsobjektet for nettverksutvidinga. Det er eit API for leverandøren som konfigurerer sin eigen tunnel, ikkje ein brytar ein brukar eller administrator kan slå på hos andre sin installerte klient. Ein tredjepartsapp kan velje å eksponere han, ignorere han eller hardkode ein verdi.

For ein innebygd profil vel operativsystemet grensesnittstorleiken, og telefonen eksponerer ingen redigerar for han. For ein Cisco-gateway for fjernåtkomst finst det ein dokumentert eigenskap for tilkoplingsprofilen, og om han gjeld avheng av klienten, utgivinga og den forhandla transporten. Det gapet mellom dokumentert og etterlevd er der eit kopiert tal går gale.

Spørsmål tre: avheng symptomet i det heile av storleiken

Storleiksproblem har ein signatur: små førespurnader lukkast, store opplastingar eller store svar heng, og den same tenesta verkar over eit anna åtkomstnett. Filtrering, ei grense for nyttelasta til appen og ein fastlåst server kan gi ei liknande klage, så registrer den eine operasjonen som feilar ved sida av ein som verkar. Skriv begge ned med tider og storleikar viss appen rapporterer dei. Utan det paret er kvar seinare endring gissing.

Køyr den same testen på Wi-Fi og på mobilnett. Ein feil som følgjer nettet, peikar på banen; ein som følgjer eininga, peikar på klienten eller profilen, og dei to treng ulike eigarar. Bruk same teneste og same konto for begge køyringane, elles seier samanlikninga deg ingenting.

Kvifor Mac-oppskrifta held fram med å dukke opp

År med PPP-baserte skrivebords-VPN-ar gjorde ei endring av grensesnittstorleik til ein legitim lokal omveg, og dei instruksjonane vart kopierte vidare inn i mobile trådar. På telefonen finst det inga skal, ingen slik grensesnittnamn og ingen varig effekt etter ei ny tilkopling. Ei oppskrift som løyste eit skrivebordsproblem i 2011, reiste mykje lenger enn vilkåra som gjorde ho sann. Mobile klientar godtek ingen skal-kommando for dette, uansett kva tråden påstår.

Behandle den kopierte verdien som ein hypotese om ein bane, ikkje som ei innstilling. Viss ein mindre storleik får ein overføring til å verke og ein større feilar påliteleg, har du prov om banen; du må framleis finne komponenten som har lov til å handle på han. Den leitinga endar vanlegvis ved gateway-profilen eller app-leverandøren, og sjeldan ved telefonen.

Transporten endrar svaret

Viss økta køyrer over TLS i staden for IPsec, kan ein TCP-segmenteringsjustering på gatewayen hjelpe, fordi han skriv om den annonserte segmentstorleiken for TCP-straumar. Han gjer ingenting for UDP-trafikk, som omfattar meir av det moderne nettet enn folk ventar. Sjekk den forhandla transporten før du føreslår endringa, og nemn i saka kva transport du ventar blir påverka.

Path MTU discovery finst slik at endepunkta kan lære den verkelege grensa i staden for å gisse. Å blokkere tilbakemeldinga og hardkode ein liten storleik byter ein fungerande stor overføring mot ein permanent, skjult kostnad på kvar forbinding.

Kva du bør spørje gateway-teamet om

Be om tre ting: det nøyaktige eigenskapnamnet og omfanget, om dei utrulla klientane etterlever det, og kva transport økta forhandla. Ei endring brukt på éin gruppepolicy er testbar; ei global redigering er det ikkje, og ho flyttar risiko over på brukarar som aldri har rapportert eit problem. Be òg om dokumentreferansen, fordi eigenskapnamn endrar seg mellom utgivingar.

Endre så éin ting og test den opphavlege feilande operasjonen på nytt, ikkje ein hastigheitstest-nedlasting. Ta vare på før- og etter-oppføringa saman med klientversjonen og åtkomstnettet, slik at neste rapport kan samanliknast i staden for å bli teken opp på nytt.

Viss operasjonen framleis feilar ved den opphavlege storleiken, var ikkje storleiken årsaka. Noter òg den konklusjonen, slik at neste person ikkje opnar den same hypotesen igjen.