Waarom OpenConnect-bladsye hang totdat jy die tonnel-MTU verlaag

Aanmelding slaag, die portaal se voorblad teken, en dan bly 'n paneelwidget of 'n verslag op waiting for host hang tot die blaaier tou opgooi. Openbare werwe laai die hele tyd normaal, en geen geloofsbrief het verander nie. Klein antwoorde wat aankom terwyl groot antwoorde vasdraai, is die kenmerk van 'n pakketgrootte-plafon eerder as 'n toegangsreël. Bevestig daardie lesing voordat jy enigiets anders in die profiel wysig.

Skei 'n grootteprobleem van 'n beleidsprobleem

Begin deur verwerping uit te skakel. As die gateway jou geweier het, sou die verbinding dadelik misluk het in plaas daarvan om 'n bladsy half te laai. 'n Tonnel wat opkom en dan net op groter oordragte vasdraai, se vir jou die buitenste pad kan nie die binneste pakket dra nie.

Die meganisme is inkapseling. Elke binneste pakket kry tonnelopskrifte, so 'n loonvrag wat in die fisiese skakel pas, word 'n buitenste pakket wat nie meer pas nie, en enigiets met die do-not-fragment-bis word laat val sonder 'n antwoord wat die blaaier kan verstaan.

Meet die plafon met do-not-fragment-peilings

Meet die plafon in plaas daarvan om te raai. Stuur peilings wat fragmentering weier en verlaag die loonvrag tot 'n antwoord terugkom, begin met 'n opdrag soos ping -M do -s 1472 host. 'n Antwoord wat kla dat fragmentering nodig is terwyl DF gestel is, beteken die waarde is steeds te hoog. Herhaal op 1462, dan 1452, en stop by die eerste grootte wat terugkeer. Teken die nommer saam met die gasheer wat jy gepeil het aan, want die antwoord hoort by daardie pad en nie by die protokol in die algemeen nie.

Peil die adres waarnatoe die tonnel werklik verkeer stuur. 'n Buitenste peiling teen die gateway se openbare naam en 'n binneste peiling teen 'n interne bediener meet verskillende hops, en ICMP-filtering op enige een kan 'n gesonde pad laat lyk of dit stukkend is.

Pas die waarde op die tonneltoestel toe

Pas die resultaat op die koppelvlak toe wat die kliënt geskep het, nie op die Wi-Fi-adapter nie. Op 'n Linux-kliënt is dit ip link set dev tun0 mtu 1300 gevolg deur ip link show tun0 om te bevestig die waarde het ingeskop. Gebruik watter toestelnaam die kliënt ook al rapporteer, want dit wissel met die implementering en met hoe die tonnel gebou is.

Om die tonnel-MTU te verlaag, verklein die loonvrag wat elke pakket dra, so grootmaat deurvoer daal 'n bietjie, en dit is die prys om nie groot antwoorde in 'n swartgat te laat verdwyn nie. 'n Kleiner nommer is nie outomaties veiliger nie. Om eerder die fisiese adapter te verander, versprei die skade oor elke verbinding op daardie skakel terwyl oorgrootte binneste pakkette net so oorgroot bly.

Gebruik eers die kliënt se eie MTU-versoeke

Wanneer jy die aanroep beheer, kan die kliënt om 'n grootte vra eerder as om agterna gelap te word. --mtu vra 'n tonnel-MTU by die bediener aan, en --base-mtu verklaar die onderliggende pad-MTU sodat die gateway die tonnelsyfer kan aflei. Albei is versoeke, en die kliënt se handleiding belowe nie dat die gateway enigeen van hulle sal eerbiedig nie.

Daardie onderskeid bepaal jou werkorde. Probeer eers die versoek en ondersoek die koppelvlak wat dit lewer, en val dan terug op plaaslike instelling van die toestel as die waarde wat die gateway gekies het, steeds vasdraai.

Verifieer met die oordrag wat misluk het, en maak dit dan volhoubaar

'n Plaaslike ip link-verandering hou tot die kliënt die tonnel herbou, wat by die volgende heromskakeling of hervatting gebeur. Sit die waarde waar die verbinding begin: 'n omhulsel wat die kliënt laat loop en dan die toestel aanpas, 'n systemd-eenheid met 'n ExecStartPost-stap, of die kliëntopsie wanneer die gateway dit aanvaar. Hou dit langs die profiel in weergawebeheer sodat die volgende persoon kan sien waarom die nommer daar is.

Toets met die versoek wat misluk het, nie met die voorblad nie. Maak die verslag oop, trek die aanhegsel af, of voer die bewaarplek-ophaling uit wat gehang het, en let presies op waar dit stop as dit nog steeds stop. 'n Bladsy wat ná die verandering teken, bewys min, want dit het voorheen ook geteken.

As dieselfde oordrag op dieselfde punt vasdraai, is die MTU-teorie onbewys. Vang verkeer op die tonnel vas en kyk watter kant ophou stuur voordat jy die nommer weer verander, en hou die vorige waarde aangeteken sodat 'n terugrol 'n enkele opdrag bly.