Jumbo оквири не чине да VPN путања носи пакете од 9000 бајтова

Омогућили сте оквире од 9000 бајтова на LAN-у и очекивали да ће VPN постати бржи. Постао је спорији или је потпуно престао да пропушта велике преносе. Jumbo оквири су локални споразум о вези; они не проширују пут којим тунел пролази.

Употребљиви буџет одређује најмања граница на рути, укључујући инкапсулацију коју тунел додаје.

Шта jumbo оквири заправо мењају

MTU је својство једног интерфејса. Његово подизање на серверу и његовом свичу значи да та два могу да размењују веће оквире без фрагментације. То ништа не говори о рутеру иза свича, о провајдеру ни о другој страни тунела. Ти уређаји имају сопствена ограничења, а пакет који премаши једно од њих се одбацује или фрагментише по правилима која нисте поставили.

Локални споразум, глобалне последице. То је сва збрка.

Порез на инкапсулацију

Тунел умотава ваш пакет унутар другог. WireGuard преко IPv4 UDP додаје око 60 бајтова заглавља; UDP режим OpenVPN-а је у истом опсегу, а IPsec варира у зависности од режима и алгоритама. Ти бајтови долазе из буџета спољашње путање, а не ниоткуда.

Зато спољашња веза од 1500 бајтова не може да носи унутрашњи пакет од 1500 бајтова када се дода заглавље тунела.

Аритметику вреди урадити једном. На путањи од 1500 бајтова WireGuard интерфејс жели MTU око 1420 да би инкапсулирани пакет стао. Поставите унутрашњи интерфејс на 9000 и сваки велики пакет ће захтевати фрагментацију коју тунел не може да изведе или ће бити одбачен.

Пронађите најмању везу на путањи

Прођите руту и пронађите најнижи MTU. LAN је обично 1500 или 9000, WAN је обично 1500, а мобилна или PPP веза може бити још нижа. Затим одузмите заглавље тунела. Ако је резултат мањи од MTU-а унутрашњег интерфејса, имате одговор. Откривање MTU-а путање може то да пронађе аутоматски, али само када се ICMP поруке од којих зависи пропуштају.

Филтрирани ICMP је класичан разлог зашто велики пренос виси док мали захтеви раде добро.

Тестирајте зависност од величине без ширења промене

Користите репрезентативан пренос и сачувајте оригиналне вредности да бисте их могли вратити. ping -M do -s 1472 тестира пакет од 1500 бајтова са постављеним DF битом; смањујте величину док не прође. Ако само велики пакети не успевају, имате проблем са величином, а не са рутирањем.

Чувајте се offload-а на страни хоста када читате снимке. Сегментациони offload може да прикаже оквире много веће од онога што је заиста прошло кроз жицу, због чега радна путања изгледа покварено, а покварена исправно.

Када је велики MTU исправан дизајн

Контролисана приватна мрежа може легитимно да води веће оквире од краја до краја, под условом да се сваки уређај на путањи слаже и да је заглавље тунела урачунато. То је координисан дизајн са документованом вредношћу по вези, а не један велики број откуцан у клијенту.

За обичан јавни излаз претпоставите 1500 или мање и пустите тунел да изабере безбедан унутрашњи MTU. RFC 8201 покрива откривање MTU-а путање за случај IPv6 и користан је извор о томе како би повратна информација требало да ради.