OpenVPN në PPPoE: të ulim link-mtu, tun-mtu apo mssfix?

Ping-ët përgjigjen, DNS zgjidh, dhe çdo faqe që kërkon një segment me madhësi të plotë ngec. Në një lidhje që shton enkapsulimin e vet, rruga humbet në heshtje disa dhjetëra bajt buxhet, dhe një profil i shkruar për Ethernet të pastër vazhdon të kërkojë paketa që linja nuk i mban dot. Lidhja nuk është e ngadaltë; ajo po hedh poshtë pikërisht paketat që kanë rëndësi.

Tre opsione mund ta rregullojnë këtë, dhe ato veprojnë në shtresa të ndryshme. Zgjedhja e gabuar ose nuk bën asgjë ose e bën tunelin të brishtë në një mënyrë të re, prandaj zgjedhja fillon me atë që rruga mbështet vërtet.

Tre butona, tre shtresa të ndryshme

link-mtu është buxheti i jashtëm: ngarkesa e kriptuar plus titujt OpenVPN, UDP dhe IP i jashtëm. Ai përshkruan atë që del nga makina, dhe për këtë arsye është numri që kufizon rruga fizike.

tun-mtu është buxheti i brendshëm: ndërfaqja që sheh trafiku juaj. Është saktësisht aq më i madh se sa rruga mund të mbajë, sa është shpenzimi i tunelit, dhe OpenVPN zakonisht e nxjerr vetë, në vend që t'ju detyrojë ta vendosni.

mssfix është një mekanizëm krejt tjetër. Ai rishkruan madhësinë maksimale të segmentit që shpallet gjatë shtrëngimeve të duarve TCP, që palët TCP të zgjedhin segmente që përshtaten pas enkapsulimit. Nuk e ndryshon MTU-në e ndërfaqes dhe nuk ka asnjë efekt në UDP.

Nëse e vendosni link-mtu në mënyrë të qartë, OpenVPN zbret shpenzimin e vet për të nxjerrë MTU-në e brendshme. Ky shpenzim nuk është konstantë fikse; varet nga shifra dhe vërtetimi, prandaj një vlerë e kopjuar nga një forum mund të jetë e gabuar në një profil tjetër. Vendosja e të dyjave, link-mtu dhe tun-mtu, i jep klientit dy udhëzime kontradiktore.

Matni rrugën përpara se të zgjidhni çdo numër

Matni nga ndërfaqja fizike, jo nga brenda tunelit, dhe mbani mend se ping raporton ngarkesën, jo madhësinë e paketës. Shtoni 28 bajt për titujt IPv4 dhe ICMP përpara se ta krahasoni ngarkesën me një kornizë 1500 bajt, dhe mbajeni atë korrigjim në mendje kur një palë raporton një numër tjetër.

Në një klient Linux, ping -M do -s 1472 ndalon fragmentimin dhe dështon nëse paketa është shumë e madhe. Ulni ngarkesën derisa të kalojë, pastaj shtoni 28 për të marrë MTU-në e rrugës. PPPoE kushton 8 bajt, prandaj 1492 është normale në DSL. DS-Lite dhe disa rrugë mobile kushtojnë 40 ose më shumë, dhe përgjigja zakonisht është më e ulët sesa sugjeron shpejtësia nominale e lidhjes.

Nëse çdo madhësi ping ka sukses, por transferimet e mëdha ende ngecin, dyshoni një vrimë të zezë dhe jo një kufi të thjeshtë madhësie. Një mesazh ICMP për fragmentim të nevojshëm filtrohet diku përgjatë rrugës, kështu që dërguesi nuk mëson kurrë të zvogëlojë, dhe vetëm rrjedhat që kanë nevojë për një segment të madh e vënë re.

Kufizoni fillimisht TCP, pastaj zvogëloni tunelin

Shtrëngimet e duarve TCP janë e vetmja gjë që mssfix prek, gjë që zakonisht e bën atë kontrollin më pak pengues për t'u provuar i pari. Vendoseni pak nën buxhetin real të rrugës, dërgoni të njëjtën vlerë nga serveri që të dy skajet të bien dakord, dhe ritestoni një shkarkim të madh. Nëse ngecja zhduket, problemi ishte madhësia e segmentit TCP, dhe asgjë tjetër nuk duhet ndryshuar.

Ulni MTU-në e brendshme kur trafiku i prekur nuk është TCP. Një shërbim UDP, një tunel brenda tunelit ose një aplikacion që dërgon datagrame me madhësi të plotë do të vazhdojë të dështojë pas një kufizimi MSS, sepse asgjë nuk e rishkruan madhësinë e paketave të tij. Zvogëloni tun-mtu për atë rast, ose vendosni link-mtu dhe lërini klientit të nxjerrë vlerën e brendshme, por kurrë të dyja.

Mos u drejtoni nga opsioni i vjetër i fragmentimit. Ai i ndante paketat brenda tunelit, shtonte shpenzim dhe është tërhequr për arsye të mira; OpenVPN modern pret që rruga të përshkruhet me saktësi.

Pse provat e vogla vazhdojnë të funksionojnë

Kërkesat DNS, jehonat ICMP dhe shtrëngimet e duarve TCP janë të gjitha shumë nën madhësinë që dështon. Prandaj tuneli duket i shëndetshëm në çdo test të shpejtë, ndërsa shtrëngimet e duarve TLS dhe përgjigjet HTTP dështojnë në heshtje. Pikërisht ai kombinim, një traceroute që funksionon dhe një shfletues që ngec në përgjigjen e parë të madhe, është shenja që duhet kërkuar. Drejtohuni te një provë me madhësi të plotë përpara se të drejtoheni te një profil i ri.

Verifikoni me trafikun që dështoi. Ngarkoni një faqe të madhe, dërgoni një datagram UDP me madhësi të plotë nëse ai është shërbimi i prekur, dhe përsëriteni nga një klient i dytë në një lidhje tjetër. Shënoni MTU-në e rrugës të matur dhe vlerën që zgjodhët, sepse përndryshe personi tjetër që prek profilin do ta trajtojë numrin si arbitrar.

Kurrë mos e ulni MTU-në e brendshme nën 1280 kur IPv6 kalon mbi tunel, sepse ai është minimumi që duhet të mbajë çdo lidhje IPv6. Një MTU më i vogël është fakt për rrugën, jo një cilësim performance që rregullohet me ndjenjë.