Велики пакети нестају преко IPsec-а док мали пингoви још раде

Удаљене љуске остају одзивне, мали тестови одговарају, а затим копирање датотеке пуже и стаје без икакве грешке на коју би неко могао показати. Пинг са већим теретом то одмах репродукује, а исти пренос ради из локалне мреже. Ништа у енкрипцији није споро; одређени пакети никада не стигну. Две различите поделе могу произвести тај знак и остављају различите доказе.

Два места на којима се пакет може поделити

Пре енкрипције рутер може поделити превелики унутрашњи пакет и заштитити сваки део засебно. После енкрипције дели се готов спољашњи пакет, а удаљена страна мора поново да га састави пре него што било шта дешифрује. Исти симптом, другачији посао за примаоца и другачије полуге за вас.

Разлика је важна јер поправка усмерена на погрешну страну мења број без померања квара. Пакет одбијен на интерфејсу никада не постаје спољашњи пакет, па га никакво подешавање са спољне стране не може спасити.

Где се одлука о величини заиста доноси

Интерфејс тунела носи IP MTU, а та вредност може одбити превелики унутрашњи пакет много пре него што га види фаза IPsec. Постављање бита у спољашње заглавље не преиспитује ту ранију одлуку, јер је пакет већ одбијен. Зато подизање унутрашњег MTU-а понекад погоршава ствари уместо да их побољша. Прочитајте вредност интерфејса и спољашње понашање пре него што промените било шта од тога, јер је јефтинија измена обично она која објашњава симптом.

Прво проверите вредност интерфејса, затим спољашње понашање. Два броја, две фазе, а обично је само један од њих одговоран.

Спољашњи буџет није унутрашњи буџет

Свака инкапсулација троши бајтове на заглавља, а количина зависи од превоза, фамилије адреса и тога да ли је у игри NAT traversal. Унутрашњи пакет који стане у локалну везу и даље може дати спољашњи пакет који не стане у путању иза ње. Измерите трошак уместо да га претпостављате, јер се свако опционо заглавље додаје на рачун. Тунел са NAT traversal-ом плаћа више од голог, а разлика је довољна да поквари пренос који је јуче радио.

Када спољашњи пакет носи бит забране фрагментације, скок који га не може проследити одбацује га и требало би да врати ICMP поруку. Ако се та порука негде филтрира, пошиљалац стално покушава, а корисник види застој без објашњења. То тихо одбацивање уобичајен је разлог зашто се проблем величине пријављује као проблем брзине.

IPv6 уклања једну од опција

IPv6 рутери не фрагментирају у транзиту, па спољашњи пакет или стане или нестане уз поруку Packet Too Big. Та порука постаје једини канал повратне информације, а њено блокирање квари откривање путање за сваки велики пренос који следи. IPv4 рутери могу фрагментирати велики пакет када је бит чист, што скрива квар док нешто друго не постави тај бит.

На мешовитом стеку исти тунел може се понашати различито за две фамилије, па један тест преко IPv4 не решава притужбу на IPv6. Провера која вежба једну фамилију оставља пола одговора неизмереним.

Политика TCP сегмената није општи одговор

Ограничавање највеће величине сегмента помаже TCP токовима и легитиман је надзор када је проблем ограничен на њих. Нема никакав учинак на UDP, који носи DNS, неке гласовне протоколе и растући део веб саобраћаја.

Примените га, па тестирајте радни терет који је пао. Ако UDP случај и даље пада, политика сегмената никада није била одговор и буџет интерфејса још тражи пажњу. Прво препознајте протокол радног терета који пада, затим изаберите надзор који му припада.

Редослед рада

Забележите највећи терет који преживи, затим MTU интерфејса, затим да ли спољашњи пакет носи бит забране фрагментације и на крају да ли ICMP повратна информација стиже до пошиљаоца. Тај след сужава квар без нагађања. Чувајте свако запажање са временском ознаком и крајњом тачком, јер се сва четири броја померају када се путања промени.

Промените једну вредност, поново тестирајте изворни пренос и сачувајте резултат. Тунел који прође велики тест али се и даље зауставља на апликацији прешао је на други проблем, а то је напредак који вреди записати. Следећа особа радије жели бројеве него закључак.