MTU apo MSS? Çfarë rregullon në të vërtetë një ndryshim VPN

Ping-et ia dalin, transferimet e mëdha ngecin dhe tuneli deklarohet i shëndetshëm. Dikush ul MTU-në e ndërfaqes, një tjetër kufizon MSS-në dhe ndonjëherë problemi zhduket për arsye që askush nuk i shënon. Dy numrat përshkruajnë objekte të ndryshme, prandaj ndryshimi i atij të gabuar jep një rregullim që duket si fat. Kjo është procedura: identifikoni shtresën, zbatoni rregullimin përkatës dhe më pas provoni në një lidhje të re.

Dy numra, dy objekte

MTU i përket një lidhjeje ose një ndërfaqeje: është paketa më e madhe që mund të dorëzohet pa u ndarë. MSS i përket TCP-së: është sasia më e madhe e ngarkesës TCP që mund të mbajë një segment dhe përjashton si kokën TCP ashtu edhe atë IP. Në një lidhje normale Ethernet me IPv4, një MTU prej 1500 bajtësh jep MSS-në e njohur prej 1460 bajtësh. Këto numra përshkruajnë shtresa të ndryshme dhe shkëmbehen me mekanizma të ndryshëm. I ngatërron lehtë sepse të dy maten në bajtë dhe të dy janë afër 1500.

Njëri vjen si rregullim i ndërfaqes. Tjetri vjen si opsion brenda një segmenti SYN, i negociuar midis skajeve që nuk e shohin kurrë ndërfaqen tuaj.

Ku zbret ngarkesa shtesë e jashtme

Një VPN e vendos paketën e brendshme brenda një tjetre, dhe paketa e jashtme duhet të hyjë në rrugën fizike. Kokat e inkapsulimit, koka e jashtme IP, koka e transportit dhe çdo etiketë vërtetimi konsumojnë bajtë që paketa e brendshme nuk mund t'i përdorë. Lëreni ndërfaqen e tunelit në 1500 dhe paketa e jashtme rregullisht tejkalon atë që rruga mund të mbajë. Kur është vendosur biti 'mos fragmento', routeri e hedh dhe duhet të kthejë një gabim ICMP; nëse ai gabim filtrohet, dërguesi nuk e merr vesh kurrë.

Prandaj dështimi duket selektiv. Kërkesat e vogla përfundojnë dhe çdo gjë që mbush një segment ngec, sepse hidhen vetëm paketat e mëdha. Një tunel që kalon një ping nuk është tunel që mbart të dhëna.

Kufizimi i MSS-së dhe ku zbatohet

Kufizimi i MSS-së rishkruan vlerën në segmentin SYN ndërsa ai kalon një pikë të zgjedhur, duke i bërë të dy skajet të zgjedhin një ngarkesë më të vogël pa ditur pse. Në Linux është një objektiv i tabelës mangle i zbatuar nga një rregull i qartë dhe duhet të godasë paketat SYN në drejtimin që dëshironi. Kufizojeni në ndërfaqen e tunelit dhe në intervalin e adresave, sepse një rregull i gjerë ndryshon sjelljen e trafikut që nuk hyn kurrë në tunel.

Efekti është vetëm në TCP. Një aplikacion UDP, një sesion QUIC dhe çdo protokoll që ndërton datagramet e veta mbeten të paprekur.

Diagnostikoni me një rrugë fikse

Mbani një variabël në një herë. Provoni me një paketë madhësinë e së cilës e zgjidhni ju, dhe vendosni flamurin 'mos fragmento' që kerneli ta raportojë rezultatin në vend që ta fshehë.

Shënoni ku fillon dështimi: brenda tunelit, në ndërfaqen e tunelit ose në rrugën fizike pas inkapsulimit. Më pas ndryshoni një numër dhe përsëritni të njëjtin test, jo një tjetër. Lidhjet ekzistuese mbajnë MSS-në e negociuar, prandaj një ndryshim politike është i dukshëm vetëm në një lidhje të re, dhe për këtë arsye një faqe e ruajtur në cache nuk provon asgjë në asnjë drejtim. Nëse një ngarkim i madh fillon të funksionojë, keni mësuar për atë rrugë dhe jo për çdo protokoll mbi të.

Çfarë nuk rregullon secili ndryshim

Ulja e MTU-së së ndërfaqes nuk ndryshon MSS-në e një sesioni tashmë të vendosur. Kufizimi i MSS-së nuk ndihmon një fluks UDP dhe nuk rregullon një rrugë ku gabimet ICMP filtrohen vetëm në një drejtim. Secili ndryshim rregullon një klasë problemesh dhe pjesën tjetër e lë saktësisht si ishte.

Shënoni cilën rregullim zbatoni, ku, dhe cili test tregoi ndryshimin, përndryshe inxhinieri tjetër i zbaton të dyja dhe humbet aftësinë të thotë cila kishte rëndësi. Nëse kufizimi është i vërtetë dhe i përhershëm, preferoni një MTU tuneli që e pasqyron atë ndaj një kufizimi që e fsheh. Nëse duhet të kufizoni, lëreni rregullin të ngushtë dhe të komentuar, pasi një rregull mangle i pashpjeguar bëhet i përhershëm si parazgjedhje.