OpenVPN hlási nekonzistentné používanie MTU: čo upozornenie porovnáva

Toto upozornenie oznamuje porovnanie volieb protistrán, nie meranie cesty medzi nimi. Ľudia ho čítajú ako „MTU je nesprávne“ a menia číslo, kým riadok nezmizne. Tak sa porovnanie konfigurácie berie ako sieťové meranie a často zhorší tunel, zatiaľ čo log stíchne. Užitočný prvý krok je rozhodnúť, ktorý z tých dvoch problémov skutočne máte.

Odpoveď určujú tri podmienky: čo strany porovnávajú, či je hodnota zastaraná a aký príznak existuje okrem upozornenia.

Upozornenie porovnáva voľby, nie pakety

Protistrany OpenVPN si pri nadväzovaní vymieňajú reťazce volieb a porovnávajú ich v rámci kontroly konzistencie volieb. Keď jedna strana ohlási link-mtu alebo tun-mtu inak než druhá, nesúlad sa zaznamená s oboma hodnotami. Táto výmena nikdy neposiela veľký paket, aby zistila, čo sa stane, takže upozornenie opisuje konfiguráciu, nie kapacitu. Tunel môže prenášať prevádzku plnej veľkosti a napriek tomu ju vypisovať, alebo zlyhať pri veľkých paketoch a nevypísať nič.

Uchovajte celé upozornenie s jeho miestnou a vzdialenou hodnotou. Dvojica je dôkaz; jediné číslo, ktoré si pamätáte, nie.

Prečo je link-mtu zastaraná

OpenVPN 2.6 označuje link-mtu za zastaranú, pretože premenlivé hlavičky a dohodnuté šifry robia pevnú hodnotu prepojenia nespoľahlivou. Voľba predpokladala usporiadanie paketu, ktoré protokol už nezaručuje, takže starý profil s doslovným link-mtu opisuje zámer, ktorý súčasný kód nemôže splniť. Kopírovanie tohto čísla do nového profilu šíri zastaraný predpoklad. Čítajte ho ako súčasť histórie starého profilu, nie ako odporúčanie.

Kontrola konzistencie má aj voliteľnú hodnotu OCC viazanú na tun-mtu, ktorá mení, čo sa porovnáva, bez toho aby menila, čo sieť prenáša. Jej nastavenie neumožní, aby sa vošli väčšie pakety.

Opravte profil pred testovaním cesty

Neželaný nesúlad odstráňte cez toho, kto vlastní profily, a pamätajte, že zmena na strane servera ovplyvní každého klienta. Upravujte profil, ktorý inštancia skutočne načítava, nie export v priečinku na stiahnutie. Potom znova pripojte jedného testovacieho klienta a poznamenajte, ktoré upozornenie zostane. Ak správa zmení podobu namiesto toho, aby zmizla, porovnávate iné voľby, než si myslíte.

Zdieľaný server potrebuje pred posunom globálnej hodnoty skontrolovať inventár klientov, pretože hodnota vhodná pre jedno miesto môže pokaziť iné.

Potom otestujte príznak, ktorý skutočne máte

Ak sa veľké prenosy zaseknú, zatiaľ čo malé požiadavky prechádzajú, zmerajte veľkosť paketu voči riadenému cieľu. Sonda, ktorá nastaví bit „nefragmentovať“ a zväčší veľkosť užitočného zaťaženia, nájde použiteľné MTU cesty oveľa spoľahlivejšie než ping, ktorý jednoducho uspeje. Zahrňte do testu aj zlyhávajúcu aplikáciu: časový limit ICMP môže odrážať filtrovanie a malý úspešný ping nič nehovorí o pakete aplikácie plnej veľkosti.

mssfix obmedzuje MSS inzerovanú pre relácie TCP vnútri tunela, čo pomáha TCP a nič nerobí pre vnútornú záťaž UDP. Nastavenia fragmentácie a odľahčenia majú vlastné podmienky kompatibility. Zvoľte jeden mechanizmus pre preukázaný problém namiesto zmeny niekoľkých naraz, aby stíchol riadok v logu.

Uchovajte efektívne hodnoty s výsledkom

Zapíšte pôvodné a opravené efektívne hodnoty vedľa výsledku skutočného prenosu. Práve táto dvojica oddeľuje zastaranú voľbu profilu od problému MTU na ceste, ktorý existuje nezávisle. Bez nej ďalší čitateľ uvidí upozornenie, ktoré zmizlo, a bude predpokladať, že sa sieť zmenila.

Potlačenie kontroly konzistencie nič nezjednotí. Odstráni pozorovanie a obe konfigurácie nechá tak, ako boli.