Jumbo rámce neznamenajú, že VPN cesta prenesie pakety s 9000 bajtmi
Veľká MTU je miestna dohoda o linke. Odpočítajte réžiu tunela od najmenšej linky na trase, skôr než zdvihnete vnútorné rozhranie.
Zapli ste rámce s 9000 bajtmi v LAN a čakali ste, že VPN bude rýchlejšia. Bola pomalšia, alebo prestala veľké prenosy prepúšťať úplne. Jumbo rámce sú miestna dohoda o linke; nerozširujú cestu, ktorou tunel prechádza.
Použiteľný rozpočet určuje najmenšia hranica na trase, vrátane zapuzdrenia, ktoré tunel pridáva.
Čo jumbo rámce naozaj menia
MTU je vlastnosť jedného rozhrania. Zdvihnúť ju na serveri a jeho prepínači znamená, že tie dve môžu bez fragmentácie vymieňať väčšie rámce. O routeri za prepínačom, o poskytovateľovi ani o druhej strane tunela to nehovorí nič. Tie zariadenia majú vlastné limity a paket, ktorý jeden z nich prekročí, je zahodený alebo fragmentovaný podľa pravidiel, ktoré ste nenastavili.
Miestna dohoda, globálne dôsledky. V tom je celý zmätok.
Daň za zapuzdrenie
Tunel zabalí váš paket do iného. WireGuard cez IPv4 UDP pridáva približne 60 bajtov réžie; UDP režim OpenVPN je v rovnakom rozsahu a IPsec sa líši podľa režimu a algoritmov. Tie bajty idú z rozpočtu vonkajšej cesty, nie z ničoho.
Vonkajšia linka s 1500 bajtmi teda po pridaní hlavičky tunela neunesie vnútorný paket s 1500 bajtmi.
Aritmetiku sa oplatí urobiť raz. Na ceste s 1500 bajtmi chce rozhranie WireGuard MTU okolo 1420, aby sa zapuzdrený paket zmestil. Nastavte vnútorné rozhranie na 9000 a každý veľký paket bude potrebovať fragmentáciu, ktorú tunel nevie urobiť, alebo bude zahodený.
Nájdite najmenšiu linku na trase
Prejdite trasu a nájdite najnižšiu MTU. LAN býva 1500 alebo 9000, WAN býva 1500 a mobilná alebo PPP linka môže byť ešte nižšia. Potom odpočítajte réžiu tunela. Ak je výsledok menší než MTU vnútorného rozhrania, máte odpoveď. Objavovanie MTU cesty to vie nájsť automaticky, ale len keď prepustíte ICMP správy, na ktorých to závisí.
Filtrované ICMP je klasický dôvod, prečo veľký prenos visí, kým malé požiadavky fungujú bezchybne.
Otestujte závislosť od veľkosti bez rozširovania zmeny
Použite reprezentatívny prenos a uložte pôvodné hodnoty, aby ste ich mohli vrátiť. ping -M do -s 1472 testuje paket s 1500 bajtmi s nastaveným bitom DF; zmenšujte veľkosť, kým neprejde. Ak zlyhávajú len veľké pakety, máte problém s veľkosťou, nie s routovaním.
Pozor na offload na strane hostiteľa pri čítaní odposluchov. Segmentačný offload môže ukázať rámce oveľa väčšie než to, čo skutočne prešlo drôtom, takže funkčná cesta vyzerá rozbitá a rozbitá vyzerá dobre.
Kedy je veľká MTU správny návrh
Kontrolovaná privátna sieť môže legitímne prevádzkovať väčšie rámce od konca po koniec, ak s tým každé zariadenie na trase súhlasí a réžia tunela je zahrnutá. To je koordinovaný návrh s dokumentovanou hodnotou pre každú linku, nie jedno veľké číslo napísané do klienta.
Pri bežnom verejnom výstupe predpokladajte 1500 alebo menej a nechajte tunel vybrať bezpečnú vnútornú MTU. RFC 8201 pokrýva objavovanie MTU cesty pre prípad IPv6 a je užitočným zdrojom o tom, ako má spätná väzba fungovať.