Jumbo okviri ne naredijo, da bi pot VPN prenašala pakete po 9000 bajtov

Vklopili ste okvire po 9000 bajtov v LAN in pričakovali, da bo VPN hitrejši. Postal je počasnejši ali pa je povsem prenehal prepuščati velike prenose. Jumbo okviri so lokalni dogovor o povezavi; ne širijo poti, ki jo tunel prečka.

Uporabni proračun določa najmanjša meja na poti, vključno z enkapsulacijo, ki jo doda tunel.

Kaj jumbo okviri v resnici spremenijo

MTU je lastnost enega vmesnika. Če ga dvignete na strežniku in njegovem stikalu, to pomeni, da lahko ta dva izmenjujeta večje okvire brez fragmentacije. To ne pove ničesar o usmerjevalniku za stikalom, o ponudniku ali o drugi strani tunela. Te naprave imajo svoje omejitve, paket, ki eno od njih preseže, pa se zavrže ali razdeli po pravilih, ki jih niste določili vi.

Lokalni dogovor, globalne posledice. To je vsa zmeda.

Davek na enkapsulacijo

Tunel ovije vaš paket v drugega. WireGuard prek IPv4 UDP doda približno 60 bajtov overheada; način UDP pri OpenVPN je v enakem obsegu, IPsec pa se razlikuje glede na način in algoritme. Ti bajti prihajajo iz proračuna zunanje poti, ne od nikoder.

Zato zunanja povezava s 1500 bajti ne more prenašati notranjega paketa s 1500 bajti, ko se doda glava tunela.

Aritmetiko velja narediti enkrat. Na poti s 1500 bajti želi vmesnik WireGuard MTU okoli 1420, da se enkapsulirani paket prilega. Nastavite notranji vmesnik na 9000 in vsak velik paket bo potreboval fragmentacijo, ki je tunel ne zmore, ali pa bo zavržen.

Poiščite najmanjšo povezavo na poti

Prehodite pot in poiščite najnižji MTU. LAN je običajno 1500 ali 9000, WAN običajno 1500, mobilna ali PPP povezava pa je lahko še nižja. Nato odštejte overhead tunela. Če je rezultat manjši od MTU notranjega vmesnika, imate odgovor. Odkrivanje MTU poti lahko to najde samodejno, a le ko so sporočila ICMP, od katerih je odvisno, spuščena skozi.

Filtriran ICMP je klasičen razlog, da velik prenos obvisi, medtem ko majhne zahteve delujejo brezhibno.

Preizkusite odvisnost od velikosti, ne da bi spremembo razširili

Uporabite reprezentativen prenos in shranite izvirne vrednosti, da jih lahko vrnete. ping -M do -s 1472 preizkusi paket s 1500 bajti z nastavljenim bitom DF; zmanjšujte velikost, dokler ne gre skozi. Če spodletijo le veliki paketi, imate težavo z velikostjo in ne z usmerjanjem.

Pazite na offload na strani gostitelja pri branju zajemov. Segmentacijski offload lahko pokaže okvire veliko večje od tistega, kar je v resnici šlo po žici, zato delujoča pot izgleda zlomljena, zlomljena pa v redu.

Kdaj je velik MTU pravilna zasnova

Nadzorovano zasebno omrežje lahko zakonito poganja večje okvire od konca do konca, če se vsaka naprava na poti strinja in je overhead tunela upoštevan. To je usklajena zasnova z dokumentirano vrednostjo na povezavo, ne ena velika številka, vtipkana v odjemalca.

Za običajen javni izhod predpostavite 1500 ali manj in pustite tunelu, da izbere varen notranji MTU. RFC 8201 pokriva odkrivanje MTU poti za primer IPv6 in je koristen vir o tem, kako naj bi povratna informacija delovala.