OpenVPN varslar om inkonsekvent MTU-bruk: kva åtvaringa samanliknar

Denne åtvaringa rapporterer ei samanlikning mellom vala til partane, ikkje ei måling av vegen mellom dei. Folk les ho som «MTU-en er feil» og endrar talet til linja forsvinn. Det behandlar ei konfigurasjonssamanlikning som ei nettverksmåling, og det gjer ofte tunnelen verre medan loggen blir stillare. Det nyttige første steget er å avgjere kva av dei to problema du faktisk har.

Tre vilkår avgjer svaret: kva partane samanliknar, om verdien er utdatert, og kva symptom som finst utover åtvaringa.

Åtvaringa samanliknar val, ikkje pakkar

OpenVPN-partar byter valstrengane sine under handtrykket og samanliknar dei som del av konsistenskontrollen av val. Når den eine sida rapporterer link-mtu eller tun-mtu annleis enn den andre, blir avviket registrert med begge verdiane. Den utvekslinga sender aldri ein stor pakke for å sjå kva som skjer, så åtvaringa skildrar konfigurasjon framfor kapasitet. Ein tunnel kan bera trafikk i full storleik og likevel skrive han ut, eller feile på store pakkar og ikkje skrive ut noko i det heile.

Ta vare på heile åtvaringa med den lokale og eksterne verdien. Paret er beviset; det enkelte talet du hugsar, er det ikkje.

Kvifor link-mtu er utdatert

OpenVPN 2.6 utdaterer link-mtu fordi variable hovud og forhandla chiffer gjer ein fast lenkeverdi upåliteleg. Valet føresette ein pakkelayout som protokollen ikkje lenger garanterer, så ein gammal profil med ein bokstaveleg link-mtu skildrar ei hensikt som gjeldande kode ikkje kan oppfylle. Å kopiere talet til ein ny profil spreier ei utdatert anteking. Les det som ein del av historia til den gamle profilen, ikkje som ei tilråding.

Konsistenskontrollen har òg ein valfri OCC-verdi knytt til tun-mtu, som endrar kva som blir samanlikna utan å endre kva nettverket ber. Å setje han får ikkje større pakkar til å passe.

Rett opp profilen før du testar vegen

Rett opp eit utilsikta avvik gjennom den som eig profilane, og hugs at ei endring på serversida påverkar kvar klient. Rediger profilen som instansen faktisk lastar, ikkje ein eksport i ei nedlastingsmappe. Kople deretter til éin testklient på nytt og noter kva åtvaring som overlever. Viss meldinga skiftar form i staden for å forsvinne, samanliknar du andre val enn du trur.

Ein delt server må få klientoversikta kontrollert før ein global verdi blir flytta, fordi verdien som passar for ein stad, kan øydeleggje ein annan.

Test deretter symptomet du faktisk har

Viss store overføringar stoppar medan små førespurnader lukkast, mål pakkestorleiken mot ein kontrollert destinasjon. Ei sonda som set don't-fragment-biten og aukar storleiken på nyttelasta, finn den brukbare MTU-en til vegen langt meir påliteleg enn ein ping som berre lukkast. Ta med applikasjonen som feilar i testen: ein ICMP-tidsavbrot kan spegle filtrering, og ein liten vellukka ping seier ingenting om ein applikasjonspakke i full storleik.

mssfix avgrensar MSS som blir annonsert for TCP-økter inne i tunnelen, noko som hjelper TCP og ikkje gjer noko for ei indre UDP-belastning. Fragmentering og offload-innstillingar har sine eigne kompatibilitetsvilkår. Vel ein mekanisme for det påviste problemet i staden for å endre fleire samstundes for å gjere ei logglinje stille.

Ta vare på dei effektive verdiane saman med resultatet

Noter dei opphavlege og retta effektive verdiane ved sida av resultatet av ei reell overføring. Det paret er det som skil eit utdatert profilval frå eit MTU-problem på vegen som finst uavhengig. Utan det ser neste lesar ei åtvaring som forsvann, og tek for gitt at nettverket har endra seg.

Å undertrykkje konsistenskontrollen forlikar ingenting. Det fjernar observasjonen og lèt begge konfigurasjonane vere som dei var.