VPN'de MTU ve MSS Sorununu Teşhis Etmek

Bu arıza neredeyse hep aynı cümleyle bildirilir. “VPN kurulu, ping çalışıyor, ama sayfa açılmıyor.”

Cümle teşhisin yarısını zaten içeriyor. Küçük paketler geçiyor, büyükler geçmiyor.

Neden Olur

Bir paket tünele girdiğinde üzerine başlık eklenir. Şifreleme başlığı, kimlik doğrulama alanı, yeni bir IP başlığı ve NAT arkasındaysa bir de UDP başlığı.

Paket büyür. Yol üzerindeki bir bağlantının taşıyabileceği en büyük boyutu aşarsa iki şey olabilir.

Parçalanmaya izin varsa paket bölünür ve gecikmeli de olsa geçer. Parçalanma yasaklanmışsa ki TCP çoğunlukla yasaklar, yönlendirici paketi düşürür ve kaynağa “paket çok büyük” mesajı gönderir.

O mesaj kaynağa ulaşırsa sistem paket boyutunu düşürür ve sorun kendiliğinden çözülür. Ulaşmazsa bağlantı kurulur, veri akmaz.

##

ICMP Neden Engellenmiş Olur

“Paket çok büyük” mesajı bir ICMP mesajıdır. Pek çok kurumda ICMP güvenlik duvarında toptan kapatılmıştır.

Bu kapatma, yol boyunca herhangi bir noktada yapılmış olabilir; sizin tarafınızda, karşı tarafta ya da aradaki bir sağlayıcıda. Sonuç, kaynağın sınırı hiç öğrenememesidir.

Kara delik denen bu durum, en zor teşhis edilen halidir: hiçbir hata mesajı yoktur, yalnız sessizlik vardır.

Adım 1. Belirtiyi Doğrulayın

Tünelin karşı ucundaki bir adrese artan boyutlarda ping gönderin. Küçük boyutlar cevap alır, belirli bir boyuttan sonra cevap kesilir.

Kesildiği nokta yaklaşık sınırı verir. Cevap hiç kesilmiyorsa sorun MTU ile ilgili değildir ve başka yöne bakılmalıdır.

Adım 2. Sınırı Ölçün

Parçalanmayı yasaklayan bayrakla ping gönderin ve boyutu ikili arama yaparak daraltın. Geçen en büyük boyut, o yol için kullanılabilir yükü verir.

Bu değere ping başlıklarının boyutunu eklemek gerekir; ölçülen sayı doğrudan MTU değildir. Windows ve Linux’ta bayrağın adı ve boyut sayımı farklıdır, bu yüzden ölçüm iki uçta da tekrarlanmalıdır.

Adım 3. Ek Yükü Hesaplayın

Ölçüm yapamadığınız durumlarda kabaca bir hesap yapılabilir. Şifreleme paketi belirli bir blok boyutuna yuvarlar, kimlik doğrulama alanı sabit bir yer kaplar, yeni IP başlığı yirmi bayt, UDP sarmalama sekiz bayt ekler.

Hesap yalnız başlangıç noktası verir. Yol üzerindeki bir bağlantının daha düşük bir sınırı varsa hesap tutmaz. Ölçüm, hesabın önündedir.

Adım 4. MSS Düzeltmesini Açın

MTU ile MSS farklı katmanlardadır ve karıştırılır.

MTU, arayüzün taşıyabileceği en büyük paket boyutudur. MSS ise TCP’nin el sıkışma sırasında karşı tarafa bildirdiği en büyük veri parçası boyutudur.

MSS düzeltmesi, tünelden geçen TCP el sıkışmalarındaki bu değeri cihazın yeniden yazmasıdır. İki uç, baştan daha küçük paketler göndermek üzere anlaşır ve büyük paket hiç oluşmaz.

Bu, MTU ayarlamaktan daha güvenilirdir. Sebebi şudur: MSS düzeltmesi ICMP mesajlarının ulaşmasına bağlı değildir.

Değer, ölçülen kullanılabilir yükten TCP ve IP başlıkları çıkarılarak bulunur. Pek çok üründe otomatik bir seçenek de vardır ve çoğu ortamda yeterlidir.

Adım 5. Doğrulayın

Ping testlerini tekrarlayın; sınır artık sorun çıkarmamalıdır.

Ancak asıl doğrulama gerçek bir uygulamayla yapılır. Tünel üzerinden büyükçe bir dosya aktarın, bir web uygulamasını açın ve dosya paylaşımına bağlanın.

MSS düzeltmesi yalnız TCP’yi kapsar. UDP tabanlı bir uygulama hâlâ büyük paket üretiyorsa sorun sürer ve o uygulamanın kendi ayarına bakmak gerekir.

Sık Karşılaşılan Yanlış Yönler

Arıza çoğu zaman önce başka yerlerde aranır ve zaman kaybettirir:

• Şifreleme parametreleri. Tünel kurulduğuna göre anahtar değişimi tamamlanmıştır; parametreler zaten tutuyor.
• Yönlendirme. Küçük paketler geçtiğine göre rota doğrudur.
• Güvenlik duvarı kuralı. Kural reddediyor olsaydı hiçbir paket geçmezdi.

Boyuta bağlı bir arıza, bu üç alandan hiçbirine işaret etmez. Ayırt edici soru şudur: sorun paketin içeriğine mi, yoksa boyutuna mı bağlı?