Veľké pakety cez IPsec miznú, malé pingy stále fungujú

Vzdialené shelly zostávajú responzívne, malé sondy odpovedajú, a potom sa kopírovanie súboru plazí a zasekne bez chyby, na ktorú by niekto mohol ukázať. Ping s väčším užitočným zaťažením to okamžite reprodukuje a ten istý prenos funguje z lokálnej siete. Na šifrovaní nie je nič pomalé; určité pakety jednoducho nedorazia. Dve rôzne delenia môžu dať tento znak a zanechávajú rôzne dôkazy.

Dve miesta, kde sa paket dá rozdeliť

Pred šifrovaním môže router rozdeliť príliš veľký vnútorný paket a každú časť chrániť zvlášť. Po šifrovaní sa delí hotový vonkajší paket a vzdialená strana ho musí znova poskladať, kým čokoľvek dešifruje. Rovnaký príznak, iná práca pre príjemcu a iné páčky pre vás.

Rozdiel je dôležitý, pretože oprava namierená na nesprávnu stranu zmení číslo bez toho, aby sa porucha pohla. Paket odmietnutý na rozhraní sa nikdy nestane vonkajším paketom, takže ho žiadne nastavenie na vonkajšej strane nezachráni.

Kde sa rozhodnutie o veľkosti skutočne prijíma

Rozhranie tunela nesie IP MTU a táto hodnota môže odmietnuť príliš veľký vnútorný paket dávno predtým, než ho uvidí fáza IPsec. Nastavenie bitu vo vonkajšej hlavičke to skoršie rozhodnutie neprehodnocuje, pretože paket už bol odmietnutý. Preto zvýšenie vnútorného MTU niekedy veci zhorší namiesto zlepšenia. Prečítajte si hodnotu rozhrania a vonkajšie správanie, kým zmeníte ktorékoľvek z nich, pretože lacnejšia úprava býva tá, ktorá príznak vysvetľuje.

Najprv skontrolujte hodnotu rozhrania, potom vonkajšie správanie. Dve čísla, dve fázy a zvyčajne je zodpovedná len jedna z nich.

Vonkajší rozpočet nie je vnútorný rozpočet

Každá enkapsulácia spotrebuje bajty na hlavičky a množstvo závisí od transportu, rodiny adries a od toho, či je v hre NAT traversal. Vnútorný paket, ktorý sa vmestí do lokálneho spoja, môže stále vytvoriť vonkajší paket, ktorý sa nevmestí do cesty za ním. Režiu zmerajte, namiesto toho, aby ste ju predpokladali, pretože každá voliteľná hlavička sa pripočíta k účtu. Tunel s NAT traversal platí viac ako holý a rozdiel stačí na to, aby rozbil prenos, ktorý včera fungoval.

Keď vonkajší paket nesie bit zákazu fragmentácie, skok, ktorý ho nemôže odovzdať, ho zahodí a mal by vrátiť správu ICMP. Ak je táto správa niekde filtrovaná, odosielateľ ďalej opakuje pokusy a používateľ vidí zaseknutie bez vysvetlenia. To tiché zahadzovanie je obvyklý dôvod, prečo sa problém veľkosti hlási ako problém rýchlosti.

IPv6 odstraňuje jednu z možností

Routery IPv6 vo tranzite nefragmentujú, takže vonkajší paket sa buď vmestí, alebo zmizne so správou Packet Too Big. Táto správa sa stane jediným kanálom spätnej väzby a jej blokovanie rozbije objavovanie cesty pre každý ďalší veľký prenos. Routery IPv4 môžu veľký paket fragmentovať, keď je bit čistý, čo poruchu skrýva, kým ho niečo iné nenastaví.

Na zmiešanom zásobníku sa ten istý tunel môže správať odlišne pre obe rodiny, a preto jeden test cez IPv4 nevyrieši sťažnosť na IPv6. Kontrola, ktorá precvičí jednu rodinu, necháva polovicu odpovede nezmeranú.

Zásada segmentov TCP nie je všeobecná odpoveď

Obmedzenie maximálnej veľkosti segmentu pomáha tokom TCP a je legitímnou kontrolou, keď je problém obmedzený na ne. Na UDP nemá žiadny vplyv, pričom UDP nesie DNS, niektoré hlasové protokoly a rastúci podiel webovej prevádzky.

Nasaďte ju, potom otestujte záťaž, ktorá zlyhala. Ak prípad UDP stále zlyháva, zásada segmentov nikdy nebola odpoveďou a rozpočet rozhrania stále potrebuje pozornosť. Najprv určte protokol zlyhávajúcej záťaže, potom vyberte kontrolu, ktorá k nemu patrí.

Poradie práce

Zaznamenajte najväčšie užitočné zaťaženie, ktoré prežije, potom MTU rozhrania, potom či vonkajší paket nesie bit zákazu fragmentácie, a nakoniec či sa spätná väzba ICMP dostane k odosielateľovi. Táto postupnosť zúži poruchu bez hádania. Každé pozorovanie uchovajte s časovou pečiatkou a koncovým bodom, pretože všetky štyri čísla sa hýbu, keď sa cesta zmení.

Zmeňte jednu hodnotu, znova otestujte pôvodný prenos a výsledok si ponechajte. Tunel, ktorý prejde veľkou sondou, ale na aplikácii sa stále zasekáva, prešiel k inému problému, a to je pokrok, ktorý stojí za zapísanie. Ďalší človek radšej uvidí čísla než záver.