Tunela VPN të ndërlidhur: pse ai i brendshëm ngec në paketa të mëdha

DNS zgjidhet, sesioni SSH qëndron, dhe më pas një ngarkim i madh ngrin ndërsa ping-u drejt të njëjtit host përsëri përgjigjet. Kjo ndarje tregon madhësinë e paketës dhe jo një tunel të prishur. Tunelat e ndërlidhur e arrijnë këtë në madhësi që asnjëri tunel i vetëm nuk do t'i arrinte. Sesioni i brendshëm është në rregull; thjesht i dorëzohen paketa që nuk hyjnë më.

Ku shkon në të vërtetë MTU-ja e rrugës

Çdo inkapsulim shpenzon bajt para se shtresa tjetër të marrë radhën. Një rrugë Ethernet i ofron 1500 bajt paketës së jashtme, dhe tuneli i jashtëm merr pjesën e tij para se çfarëdo brenda tij të mund të adresohet. Një vlerë e hamendësuar e shpenzimeve rezervë do të jetë e gabuar pikërisht për aq sa ka rëndësi.

Renditni shtresat sipas radhës: rruga e aksesit, transporti i jashtëm, tuneli i jashtëm, transporti i brendshëm, tuneli i brendshëm, aplikacioni. Numëroni çdo krye një herë dhe mbani UDP-në të ndarë nga kryet dhe etiketa e vetë tunelit.

Dy shtresa WireGuard, të numëruara një herë

Merrni një rrugë aksesi IPv4 me një tunel WireGuard brenda një tjetri. Shtresa e jashtme kushton 20 bajt IPv4, 8 UDP dhe 32 për kryen e të dhënave të WireGuard plus etiketën e saj të vërtetimit. Brenda saj, tuneli i brendshëm ka nevojë për kryen e vet IPv4 prej 20 bajtësh dhe kryen UDP prej 8 bajtësh para 32 bajtëve të tij të dytë të shpenzimeve WireGuard. Ajo që mbetet mban një krye IPv4, një krye TCP dhe të dhënat. Një rrugë e jashtme IPv6 kushton 40 në vend të 20 dhe lë 1320.

Aritmetika përfundon në 1340 bajt. Një shtresë e vetme sipas të njëjtave rregulla lë 1400 për ngarkesën e dobishme TCP, që është 1500 minus 20, 8, 32, 20 dhe 20, dhe diferenca prej 60 bajtësh është pikërisht inkapsulimi i brendshëm që shton tuneli i dytë.

Aplikoni 1400 në një rrugë të ndërlidhur dhe tunelit të brendshëm i mungojnë 60 bajt, në mënyrë të padukshme derisa paketa të jetë mjaft e madhe për t'i pasur nevojë. Mbushja dhe opsioni i fragmentimit të vetë protokollit i lëvizin përsëri numrat, prandaj besoni tabelës.

MTU, MSS dhe fragmentimi veprojnë në vende të ndryshme

MTU-ja e ndërfaqes kufizon atë që do të nxjerrë ndërfaqja, ndërsa shtrëngimi i MSS në TCP ndryshon atë që një palë TCP është e gatshme të dërgojë. Shtrëngimi rregullon sesionet TCP dhe nuk bën asgjë për një datagram të madh UDP, kështu një rregullim duket i suksesshëm për një aplikacion dhe e humb në heshtje tjetrin. Opsioni i fragmentimit të vetë protokollit është një levë e tretë me dështimet e veta. MTU-ja e ndërfaqes është lëvizja e parë e zakonshme dhe më e trashë.

Tunelat me urë dhe të rrugëzuar mbajnë korniza të ndryshme, prandaj numrat nga një vendosje tjetër rrallë transferohen. Zbulimi i MTU-së së rrugës, i përshkruar në RFC 8201, ndihmon vetëm për sa kohë lejohen të kalojnë mesazhet ICMP nga të cilat varet.

Gjetja e shtresës që mungon

Verifikoni çdo tunel veçmas përpara se t'i ndërlidhni, nëse kërkesat lejojnë një krahasim. Një sondë me madhësi fikse e vendos atë: ping -M do -s 1472 -c 3 10.8.0.1 dërgon një paketë të plotë IPv4 prej 1500 bajtësh brenda asaj shtrese. Shtoni shtresën e dytë dhe përsëritni të njëjtën sondë, që çdo dështim t'i përkasë një ndryshimi të njohur.

Kur një transferim ngec, ndryshoni një parametër të dokumentuar në herë dhe shënoni madhësinë që dështon. Kontrolloni edhe rrugën e kthimit, sepse rekursioni i ndërlidhur i rrugëve mund të imitojë një problem madhësie pakete mjaftueshëm nga afër sa të kushtojë një pasdite. Një përgjigje ICMP e filtruar mund të fshehë kufirin e vërtetë, prandaj sonda ka më shumë rëndësi sesa arsyetimi.

Shkruani buxhetin aty ku do ta gjejë personi tjetër

Një tabelë me një rresht për shtresë i mbijeton një rregulli praktik. Mbani atë pranë diagramit të tunelit që askush të mos e përsëritë aritmetikën nën presion.

Më shumë tunela do të thotë më shumë varësi, prandaj një plan kthimi prapa e fiton vendin e vet pranë buxhetit. Nëse numrat ende nuk përputhen, matni rrugën në vend që të hamendësoni përsëri. Qëllimi është një shifër që mund ta mbrosh, jo ta mbash mend.