Masyadong malaki ang packet ng IPv6: bakit natigil ang malalaking transfer sa VPN

Gumagana ang ping, naglo-load ang browser ng maliit na pahina, at natigil ang paglilipat ng file, lahat sa IPv6 sa parehong tunnel. Karaniwang ibig sabihin ng ganoong pattern na hindi kailanman natutunan ng nagpapadala ang tunay na laki ng landas, hindi na mabagal ang tunnel. Inaasahan ng IPv6 na iuulat ng mga router ang problema sa mensaheng Packet Too Big, at nagdaragdag ng overhead ang encapsulation bago pa man makarating ang packet sa panlabas na network. Kung i-filter ang mensaheng iyon, patuloy na inuulit ng nagpapadala ang laking hindi makakadaan.

Maliliit na kahilingan, malalaking pagtigil

Binabalot ng tunnel ang bawat packet sa isa pang header, kaya mas maliit ang magagamit na laki sa loob kaysa sa laki sa labas. Ang packet na sinukat para sa pisikal na link bago ang encapsulation ay nagiging masyadong malaki pagkatapos. Maaaring mag-fragment ang mga router ng IPv4 sa landas, samantalang hindi ginagawa iyon ng mga router ng IPv6 sa ngalan ng nagpapadala, kaya kailangang mag-adjust ng nagpapadala mismo. At ang adjust na iyon ay lubos na nakadepende sa pagtanggap ng feedback.

Sapat na ang isang nawalang mensahe para lumitaw ang klasikong sintomas: nagtatagumpay ang mga handshake at maliliit na tugon, at ang listahan ng direktoryo o upload ay natigil sa parehong punto sa bawat pagkakataon. Inilalarawan ito ng mga user na mabagal na VPN, at walang maling makikita ang mga log sa authentication. Tumpak ang dalawang obserbasyon at wala sa kanila ang tumutukoy sa lokasyon ng sira.

Ang Packet Too Big ay feedback, hindi traffic

Dinadala ng mensaheng ICMPv6 Packet Too Big ang laking matanggap ng susunod na hop, at ginagamit ito ng nagpapadala para babaan ang kanyang tantiya. Ang i-filter ito ay katulad ng pagtanggal ng karatula sa kalsada at pagkatapos ay sisihin ang mga driver. Ang patakarang nagtatapon ng lahat ng ICMPv6 ay mukhang mahigpit pero sinisira ang pagtuklas ng landas sa bawat link na nangangailangan nito. Ang mensahe ay impormasyon ng kontrol tungkol sa landas, hindi payload ng application.

Makatwiran pa rin ang selective filtering. Iba ang papel ng mga echo request at neighbor discovery kaysa sa mga mensahe ng error, at maaaring tratuhin sila ng patakaran nang iba. Sundin ang dokumentadong gabay sa pag-filter ng platform sa halip na tanggapin o itapon ang buong protocol, dahil tinutukoy ng RFC 8201 kung paano ginagabayan ng feedback na iyon ang pagtuklas.

Subukan ang dalawang pamilya ng address nang hiwalay

Subukan ang IPv6 nang hiwalay, dahil walang pinatutunayan ang matagumpay na paglilipat ng IPv4 tungkol sa landas ng IPv6. Pagkatapos ay i-capture ang mga control message habang natigil ang malaking transfer. Ang dalawang record na magkasama ay nagpapakita na lumalabas ang feedback, o nagpapatunay na hindi kailanman nakarating.

ping -6 -M do -s 1400 host.internal
ip -6 route get 2001:db8:2::10
sudo tcpdump -ni any 'icmp6 and ip6[40] == 2'

Nagpapadala ang probe ng packet na naka-set ang do-not-fragment bit at iniuulat ang laking nabibigo, iyon ang numerong dapat ipasok ng tunnel. Pinangalanan ng route query ang interface na magdadala sa destinasyon, kaya alam mo kung aling MTU ng link ang naaangkop. Sinasala ng capture ang ICMPv6 type 2, ang mensaheng Packet Too Big, at ipinapakita kung umaabot ito sa host na ito. Kung lumilitaw ang mensahe sa capture at natigil pa rin ang transfer, ipinagwawalang-bahala ito ng nagpapadala, na naglilipat ng imbestigasyon sa stack sa halip na sa network.

Baguhin ang laki ng tunnel pagkatapos lamang ng ebidensya

Ang pagbaba ng MTU ng tunnel ay maaaring magtago ng na-filter na mensahe at magpawala ng sintomas, kapalit ng mas mataas na overhead sa bawat packet. Iyon ay paraan ng pag-iwas at hindi diagnosis, at dapat sumunod sa capture sa halip na palitan ito. Ang arbitraryong mababang halaga ay wala ring sinira nang nakikita, kaya tumatagal ito nang maraming taon sa mga configuration. Baguhin ito nang sinasadya, itala ang halaga, at tandaan kung aling pagsukat ang nagbigay-katwiran dito.

Kapag kontrolado mo ang gateway, suriin ang patakarang nagtatapon ng mensahe sa halip na patayin ang firewall. Ang isang naayos na patakaran ay mas makitid kaysa sa policy exception at mas madaling ipagtanggol mamaya. Ganoon din ang lohika sa mga timeout: hindi lahat ng pagtigil ay problema sa laki, at ang capture ang naghihiwalay sa dalawa.