Veliki paketi nestaju preko IPsec-a dok mali pingovi još rade

Udaljene ljuske ostaju responzivne, mali testovi odgovaraju, a zatim kopiranje datoteke puže i staje bez ikakve greške na koju bi neko mogao pokazati. Ping sa većim teretom to odmah reprodukuje, a isti prenos radi iz lokalne mreže. Ništa u enkripciji nije sporo; određeni paketi nikada ne stignu. Dve različite podele mogu proizvesti taj znak i ostavljaju različite dokaze.

Dva mesta na kojima se paket može podeliti

Pre enkripcije ruter može podeliti preveliki unutrašnji paket i zaštititi svaki deo zasebno. Posle enkripcije deli se gotov spoljašnji paket, a udaljena strana mora ponovo da ga sastavi pre nego što bilo šta dešifruje. Isti simptom, drugačiji posao za primaoca i drugačije poluge za vas.

Razlika je važna jer popravka usmerena na pogrešnu stranu menja broj bez pomeranja kvara. Paket odbijen na interfejsu nikada ne postaje spoljašnji paket, pa ga nikakvo podešavanje sa spoljne strane ne može spasiti.

Gde se odluka o veličini zaista donosi

Interfejs tunela nosi IP MTU, a ta vrednost može odbiti preveliki unutrašnji paket mnogo pre nego što ga vidi faza IPsec. Postavljanje bita u spoljašnje zaglavlje ne preispituje tu raniju odluku, jer je paket već odbijen. Zato podizanje unutrašnjeg MTU-a ponekad pogoršava stvari umesto da ih poboljša. Pročitajte vrednost interfejsa i spoljašnje ponašanje pre nego što promenite bilo šta od toga, jer je jeftinija izmena obično ona koja objašnjava simptom.

Prvo proverite vrednost interfejsa, zatim spoljašnje ponašanje. Dva broja, dve faze, a obično je samo jedan od njih odgovoran.

Spoljašnji budžet nije unutrašnji budžet

Svaka enkapsulacija troši bajtove na zaglavlja, a količina zavisi od prevoza, familije adresa i toga da li je u igri NAT traversal. Unutrašnji paket koji stane u lokalnu vezu i dalje može dati spoljašnji paket koji ne stane u putanju iza nje. Izmerite trošak umesto da ga pretpostavljate, jer svako opciono zaglavlje dodaje na račun. Tunel sa NAT traversal-om plaća više od golog, a razlika je dovoljna da pokvari prenos koji je juče radio.

Kada spoljašnji paket nosi bit zabrane fragmentacije, skok koji ga ne može proslediti odbacuje ga i trebalo bi da vrati ICMP poruku. Ako se ta poruka negde filtrira, pošiljalac stalno pokušava, a korisnik vidi zastoj bez objašnjenja. To tiho odbacivanje uobičajen je razlog zašto se problem veličine prijavljuje kao problem brzine.

IPv6 uklanja jednu od opcija

IPv6 ruteri ne fragmentiraju u tranzitu, pa spoljašnji paket ili stane ili nestane uz poruku Packet Too Big. Ta poruka postaje jedini kanal povratne informacije, a njeno blokiranje kvari otkrivanje putanje za svaki veliki prenos koji sledi. IPv4 ruteri mogu fragmentirati veliki paket kada je bit čist, što skriva kvar dok nešto drugo ne postavi taj bit.

Na mešovitom steku isti tunel može se ponašati različito za dve familije, pa jedan test preko IPv4 ne rešava pritužbu na IPv6. Provera koja vežba jednu familiju ostavlja pola odgovora neizmerenim.

Politika TCP segmenata nije opšti odgovor

Ograničavanje najveće veličine segmenta pomaže TCP tokovima i legitiman je nadzor kada je problem ograničen na njih. Nema nikakav učinak na UDP, koji nosi DNS, neke glasovne protokole i rastući deo web saobraćaja.

Primenite ga, pa testirajte radni teret koji je pao. Ako UDP slučaj i dalje pada, politika segmenata nikada nije bila odgovor i budžet interfejsa još traži pažnju. Prvo prepoznajte protokol radnog tereta koji pada, zatim izaberite nadzor koji mu pripada.

Redosled rada

Zabeležite najveći teret koji preživi, zatim MTU interfejsa, zatim da li spoljašnji paket nosi bit zabrane fragmentacije i na kraju da li ICMP povratna informacija stiže do pošiljaoca. Taj sled sužava kvar bez nagađanja. Čuvajte svako zapažanje sa vremenskom oznakom i krajnjom tačkom, jer se sva četiri broja pomeraju kada se putanja promeni.

Promenite jednu vrednost, ponovo testirajte izvorni prenos i sačuvajte rezultat. Tunel koji prođe veliki test ali se i dalje zaustavlja na aplikaciji prešao je na drugi problem, a to je napredak koji vredi zapisati. Sledeća osoba radije želi brojeve nego zaključak.