நிலையான 1,500 பைட் உள் பாக்கெட்டை VPN வழியாக எடுத்துச் செல்லுதல்

வளைக்க முடியாத தேவை ஒன்று உங்களுக்கு உள்ளது: அனுப்புநர் வெளியிடும் அதே 1,500 பைட் IP பாக்கெட்டை, தலைப்புகள் உட்பட, எதிர்ப் பக்கம் பெற வேண்டும். டனல் அந்தப் பாக்கெட்டையும் அதன் சொந்த ஃபிரேமிங்கையும் இரண்டாவது 1,500 பைட் IP பாக்கெட்டுக்குள் சுருக்க முடியாது, எனவே வடிவமைப்பில் ஏதோ விட்டுக்கொடுக்க வேண்டும். கீழே உள்ள வரிசை நான் மாற்றச் சாளரத்தில் பயன்படுத்துவது: பைட் பட்ஜெட்டை எழுதுங்கள், underlay உண்மையில் எதை எடுத்துச் செல்ல முடியும் என்பதை நிரூபியுங்கள், பின்னர் சரியாக ஒரு கடத்தல் முறையைத் தேர்ந்தெடுத்து எதிர்ப் பக்கத்தில் உள் பாக்கெட்டை உறுதிப்படுத்துங்கள்.

சுயவிவரத்தைத் திருத்தும் முன் பைட் பட்ஜெட்டை எழுதுங்கள்

என்காப்சுலேஷன் பல அடுக்குகளில் பைட்டுகளைச் சேர்க்கிறது, மொத்தம் உங்கள் சுயவிவரத்தின் பண்பு, தேடிப் பெறக்கூடிய மாறிலி அல்ல. முகவரி குடும்பம், சைஃபர் தேர்வு, போக்குவரத்து நெறிமுறை மற்றும் எந்த அழுத்தம் அல்லது ஃபிரேமிங் விருப்பமும் எண்ணை நகர்த்தும், எனவே வேறு நிறுவலில் இருந்து நகலெடுத்த கழித்தல் பட்ஜெட்டாகப் பயனற்றது. உள் தேவையிலிருந்து தொடங்கி, உங்கள் உள்ளமைவின் அளந்த பாக்கெட்டுக்கு மேலதிக செலவைச் சேர்த்து, யாரும் கோப்பைத் திருத்தும் முன் விளையும் வெளி அளவை மாற்ற டிக்கெட்டில் எழுதுங்கள்.

இரண்டு எண்கள் வடிவமைப்பைத் தீர்மானிக்கின்றன: துண்டாக்கல் இல்லாமல் வழி எடுத்துச் செல்லும் மிகப் பெரிய வெளி பாக்கெட், மற்றும் உங்கள் என்காப்சுலேஷனுக்குத் தேவையான கூடுதல் பைட்டுகள். முதல் எண் இரண்டாவதுடன் 1,500 சேர்த்ததை விடச் சிறியதாக இருக்கும்போது, அவற்றில் ஒன்று மாற வேண்டும். அப்போது தேர்வு படைப்பாற்றலாக இல்லாமல் குறுகலாகிறது, எனவே விருப்பங்களை விவாதிக்கும் முன் இரண்டு எண்களையும் எழுதி வைக்கிறேன். டனல் அடுக்கில் அந்தப் பைட்டுகளை அழுத்தி மறையச் செய்வது எதுவும் இல்லை, எந்த ஒரு MTU முழு எண்ணும் உங்களுக்குக் கொடுக்கப்பட்ட தேவையை நீக்காது.

do-not-fragment ping மூலம் underlay ஐ ஆராயுங்கள்

இடைமுக MTU ஐ நம்பாமல் வழியை அளவுங்கள், ஏனெனில் வெளி வழியில் மிகச் சிறிய இணைப்பே முக்கியம். Linux இல், -M do do-not-fragment பிட்டை அமைக்கிறது மற்றும் -s ICMP பேலோடை எடுக்கிறது, எனவே 20 பைட் IP தலைப்பும் 8 பைட் ICMP தலைப்பும் கழித்தால் 1,500 பைட் ஃபிரேம் 1,472 பைட் பேலோடில் பதிலளிக்கிறது. சோதனை தோல்வியடையும் வரை பேலோடை உயர்த்தி, பின்னர் jumbo அளவுக்குத் தாவி வழி அதை எடுத்துச் செல்கிறதா என்று பாருங்கள்.

ping -M do -s 1472 -c 2 198.51.100.10
ping -M do -s 8972 -c 2 198.51.100.10
tracepath -n 198.51.100.10

1,472 ஐக் கடந்து 8,972 இல் தோல்வியடையும் வழி, 1,500 பைட் உள் பாக்கெட்டையும் மேலதிக செலவையும் ஒரே வெளி பாக்கெட்டில் எடுத்துச் செல்ல முடியாது. VPN உள்ளமைவைத் திறப்பதற்கு முன் உங்களுக்குத் தேவைப்பட்ட பதில் அதுவே. அடுத்த இரண்டு பிரிவுகளில் எது உங்களுக்குப் பொருந்தும் என்பதையும் இது தீர்மானிக்கிறது, எனவே இரண்டு சோதனை முடிவுகளையும் டிக்கெட்டுக்கு அருகில் வைத்திருங்கள். இங்கே ஊகிப்பது ஒரு பராமரிப்புச் சாளரத்தை வீணாக்கும், ஏனெனில் தன்னை up என்று தெரிவிக்கும் டனல் வழி ஏற்கும் மிகப் பெரிய பாக்கெட்டைப் பற்றி எதுவும் சொல்லாது.

ஒவ்வொரு ஹாப்பும் ஒப்புக்கொள்ளும் இடத்தில் மட்டும் வழியின் MTU ஐ உயர்த்துங்கள்

Jumbo ஃபிரேம்கள் end-to-end பண்பு, நீங்கள் தற்செயலாகக் கட்டுப்படுத்தும் இரண்டு முனைப் புள்ளிகளில் இயக்கும் அமைப்பு அல்ல. வெளி வழியில் உள்ள ஒவ்வொரு சுவிட்சும், ரவுட்டரும், வழங்குநரின் ஒப்படைப்பும் பெரிய அளவுக்கு ஒப்புக்கொள்ள வேண்டும், ஒரே 1,500 பைட் ஹாப் நீங்கள் இப்போது பெரிதாக்கிய பாக்கெட்டை அமைதியாகத் தூக்கி எறியும். உள்ளூர் இடைமுகத்தை மட்டும் உயர்த்துவது, டனல் உடைந்ததுபோல் தெரியும் அதே வேளை underlay அமைதியாக விழும் வழக்கமான பாதி மாற்றம்.

ip link set dev eth1 mtu 9000
ip link show dev eth1
ping -M do -s 8972 -c 2 198.51.100.10

இடைமுகத்தை மாற்றி, பின்னர் வேறு எதையும் மாற்றும் முன் அதே வழியை மீண்டும் ஆராயுங்கள். சோதனை இன்னும் தோல்வியடைந்தால், மீட்டமைக்கவும் ip link set dev eth1 mtu 1500 மேலும் உங்களுக்குச் சொந்தமில்லாத இணைப்பைப் பற்றி வழங்குநருடன் வாதிடுவதற்குப் பதிலாகத் துண்டாக்கலுக்குச் செல்லுங்கள்.

underlay வளர முடியாதபோது டனல் துண்டாக்கலைப் பயன்படுத்துங்கள்

உள் பாக்கெட்டுக்குக் கீழே ஆதரிக்கப்படும் துண்டாக்கல் முறை பல வெளி பாக்கெட்டுகள் ஒரு உள் பாக்கெட்டை எடுத்துச் செல்ல அனுமதிக்கிறது, எதிர் டனல் முனைப் புள்ளி அசலை அடுக்குக்குக் கொடுப்பதற்கு முன் அவற்றை மீண்டும் இணைக்கிறது. Community OpenVPN இன் UDP fragment விருப்பம் அந்தக் கருத்தின் ஒரு செயலாக்கம், வெளி பாக்கெட்டின் சாதாரண IP துண்டாக்கலுக்குச் சமமானது அல்ல. இரண்டு பியர்களும் அந்த வடிவத்தை ஆதரிக்கும் பதிப்பை இயக்க வேண்டும், தரவுப் பாதை நீங்கள் நினைப்பதாகவே இருக்க வேண்டும்: OpenVPN 3 வாடிக்கையாளர்களுக்கும் கர்னல் முடுக்கப்பட்ட தரவு சேனல்களுக்கும் வெவ்வேறு வரம்புகள் உள்ளன, எனவே ஒரு வாடிக்கையாளரில் வேலை செய்யும் சுயவிவரம் மற்றொன்றில் தோல்வியடையலாம்.

openvpn --config client.ovpn --tun-mtu 1500 --fragment 1400 --verb 4

சாதாரண வெளி துண்டாக்கல் மற்ற விருப்பம், அது பலவீனமானது. IPv6 ரவுட்டர்கள் முன்னனுப்பப்பட்ட பாக்கெட்டைத் துண்டாக்கவே செய்யாது, எனவே மிகப் பெரிய வெளி பாக்கெட் வெறுமனே இறந்துவிடும், தொடர்புடைய ICMPv6 செய்தி வழியில் தப்பினால் மட்டுமே அனுப்புநருக்குத் தெரியும். துண்டுகள் வடிகட்டலையும் இழப்பு பெருக்கத்தையும் கூட அழைக்கின்றன, எனவே இதைத் திட்டமாக அல்லாமல் மாற்று வழியாகக் கருதுகிறேன்.

ஸ்ட்ரீம் அடிப்படையிலான வெளி ஊர்தி தன் சொந்த பைட் ஸ்ட்ரீமைப் பிரிப்பதன் மூலம் அளவுப் பிரச்சினையைத் தவிர்க்கிறது, மீண்டும் கட்டமைக்கப்பட்ட உள் பாக்கெட் இன்னும் 1,500 பைட்டாக இருக்கலாம். இது அதன் சொந்த செலவைக் கொண்ட போக்குவரத்து முடிவு, TCP உள்ளே TCP என்ற நன்கு அறியப்பட்ட நடத்தை உட்பட, எனவே MTU விவாதத்தின் பக்க விளைவாக அல்லாமல் வேண்டுமென்றே எடுங்கள்.

உள் பாக்கெட் மாற்றமின்றி வருகிறதா என்பதை உறுதிப்படுத்துங்கள்

சரிபார்ப்பு ஒரு வெற்றிகரமான கைகுலுக்கல் அல்ல. இரு முனைகளிலும் டனல் இடைமுகத்தில் பிடியுங்கள் மேலும் பயன்பாடு உண்மையில் அனுப்பிய பாக்கெட்டின் அளவையும் உள்ளடக்கத்தையும் எதிர்ப் பக்கம் பெற்றதுடன் ஒப்பிடுங்கள்.

ip link show dev tun0
ping -M do -s 1472 -c 2 10.8.0.1
tcpdump -ni tun0 -c 5 'icmp and greater 1000'

பிடிப்பு எதிர் முனையில் முழு அளவு உள் பாக்கெட்டைக் காட்டினால், கடத்தல் தேர்வு வேலை செய்கிறது, மீதமுள்ள வேலை அதைப் பதிவு செய்வது. டனல் தன்னை up என்று தெரிவிக்கும்போது எதையும் காட்டவில்லை என்றால், வெளி பாக்கெட் முனைப் புள்ளிகளுக்கு இடையே எங்கோ தூக்கி எறியப்படுகிறது, இது உங்களை சைஃபர் அமைப்புகளுக்கு அல்ல, சோதனைக்குத் திருப்பி அனுப்புகிறது.

டிக்கெட்டை மூடும் முன் மூன்று விஷயங்களைப் பதிவு செய்யுங்கள்: அளந்த வெளி பட்ஜெட், தேர்ந்தெடுத்த முறை, உள் பாக்கெட் தப்பியதை நிரூபித்த கட்டளை. இந்த டனலை அடுத்து தொடும் நபருக்கு மூன்றும் தேவைப்படும், அவற்றில் எதையும் உள்ளமைவுக் கோப்பிலிருந்து மட்டும் மீண்டும் கட்டமைக்க முடியாது.