Mga nested na tunnel ng VPN: bakit natigil ang panloob sa malalaking packet

Nalutas ang DNS, nananatili ang session ng SSH, at pagkatapos ay nag-freeze ang isang malaking upload habang sumasagot pa rin ang ping sa parehong host. Ang paghahati na iyon ay tumuturo sa laki ng packet, hindi sa sirang tunnel. Naabot ito ng mga nested tunnel sa mga laki na hindi maaabot ng alinman sa dalawa nang mag-isa. Maayos ang panloob na session; binibigyan lang ito ng mga packet na hindi na kasya.

Saan talaga napupunta ang MTU ng landas

Bawat encapsulation ay gumagastos ng bytes bago makuha ng susunod na layer ang turn nito. Ang isang landas na Ethernet ay nag-aalok ng 1500 bytes sa panlabas na packet, at kinukuha ng panlabas na tunnel ang bahagi nito bago pa matugunan ang anumang nasa loob nito. Ang isang hinulaang halaga ng overhead ay magiging mali nang eksakto sa dami na mahalaga.

Ilista ang mga layer sa pagkakasunod-sunod: landas ng access, panlabas na transport, panlabas na tunnel, panloob na transport, panloob na tunnel, application. Bilangin ang bawat header nang isang beses, at panatilihing hiwalay ang UDP sa sariling header at tag ng tunnel.

Dalawang layer ng WireGuard, binilang isang beses

Kumuha ng landas ng access na IPv4 na may isang tunnel na WireGuard sa loob ng isa pa. Ang panlabas na layer ay gumagastos ng 20 bytes ng IPv4, 8 ng UDP at 32 para sa header ng data ng WireGuard kasama ang tag ng pagpapatunay nito. Sa loob niyon, kailangan ng panloob na tunnel ang sarili nitong 20-byte na header ng IPv4 at 8-byte na header ng UDP bago ang pangalawang 32 bytes nitong overhead ng WireGuard. Ang natitira ay naglalaman ng header ng IPv4, header ng TCP at ang data. Ang panlabas na landas na IPv6 ay gumagastos ng 40 sa halip na 20 at nag-iiwan ng 1320.

Napupunta ang aritmetika sa 1340 bytes. Ang isang layer sa ilalim ng parehong mga patakaran ay nag-iiwan ng 1400 para sa payload ng TCP, na 1500 bawas ang 20, 8, 32, 20 at 20, at ang pagkakaiba ng 60 bytes ay eksakto ang panloob na encapsulation na idinadagdag ng pangalawang tunnel.

Ilapat ang 1400 sa isang nested na landas at kulang ng 60 bytes ang panloob na tunnel, hindi nakikita hanggang sa ang packet ay sapat na malaki para kailanganin ang mga ito. Ang padding at ang sariling opsyon sa fragmentation ng protocol ay muling nagbabago ng mga numero, kaya magtiwala sa talahanayan.

Gumagana ang MTU, MSS at fragmentation sa magkaibang lugar

Nililimitahan ng MTU ng interface ang ilalabas ng interface, habang binabago ng clamping ng MSS sa TCP ang handang ipadala ng kapareha sa TCP. Inaayos ng clamping ang mga session ng TCP at wala itong ginagawa para sa isang malaking datagram ng UDP, ganoon lumilitaw na matagumpay ang isang pag-aayos para sa isang application at tahimik na nalalampasan ang susunod. Ang sariling opsyon sa fragmentation ng protocol ay isang pangatlong lever na may sariling mga kabiguan. Ang MTU ng interface ay ang karaniwang unang hakbang at ang pinakamagaspang.

Ang mga tulay at ruta na tunnel ay nagdadala ng magkaibang frame, kaya bihirang mailipat ang mga numero mula sa ibang deployment. Ang pagtuklas ng MTU ng landas, na inilarawan sa RFC 8201, tumutulong lamang hangga't pinapayagan ang mga mensaheng ICMP na pinagkakatiwalaan nito.

Paghahanap ng layer na kulang

I-verify ang bawat tunnel nang mag-isa bago isalansan, kung pinapayagan ng mga kinakailangan ang paghahambing. Ang isang probe na may takdang laki ang magpapasya: ping -M do -s 1472 -c 3 10.8.0.1 nagpapadala ng buong packet na IPv4 na 1500 bytes sa loob ng layer na iyon. Idagdag ang pangalawang layer at ulitin ang parehong probe, upang ang anumang kabiguan ay kabilang sa isang kilalang pagbabago.

Kapag natigil ang isang transfer, palitan ang isang dokumentadong parameter nang isang beses at itala ang laking nabibigo. Suriin din ang landas pabalik, dahil ang nested na recursion ng ruta ay maaaring gayahin ang problema sa laki ng packet nang sapat na malapit upang magastos ang isang hapon. Ang na-filter na sagot ng ICMP ay maaaring magtago ng tunay na limitasyon, kaya mas mahalaga ang probe kaysa sa pangangatwiran.

Isulat ang budget kung saan ito makikita ng susunod na tao

Ang talahanayang may isang hilera bawat layer ay mas matagal kaysa sa isang patakaran ng hinlalaki. Itago ito sa tabi ng diagram ng tunnel upang walang umulit ng aritmetika sa ilalim ng pressure.

Mas maraming tunnel ay nangangahulugan ng mas maraming dependency, kaya karapat-dapat ang isang plano ng rollback sa tabi ng budget. Kung hindi pa rin tugma ang mga numero, sukatin ang landas sa halip na manghula muli. Ang layunin ay isang bilang na maipagtatanggol mo, hindi isang matandaan.