VPN-ping werk, maar die webwerf hang: ondersoek die grootte

Eggenoot-antwoorde kom aan, die afstandrekenaar werk, en die blaaier sit op 'n leë bladsy totdat dit tou opgooi. Twee verklarings pas by dié patroon, en dit is nie variasies van een probleem nie: 'n beleid wat die diens nooit toegelaat het nie, of pakkette wat ophou pas sodra die oordrag groei. Die eggo-antwoord sluit nie een van die twee uit nie.

Begin by die kleinste vraag en werk op na die grootste, en skryf neer wat elke stap werklik bewys het.

'n Eggo-antwoord beantwoord 'n veel kleiner vraag

'n Eggo-antwoord sê die bestemming se IP-stapel het op 'n ICMP-versoek van jou bron geantwoord. Dit sê niks oor of daar 'n TCP-luisteraar op die poort bestaan wat jy nodig het nie, of 'n beleid daardie poort toelaat nie, of die bestemmingsgasheer verkeer onafhanklik van die poortweg filter nie. 'n Poortweg wat een diens toelaat, kan 'n ander laat val terwyl albei teikens op ping antwoord. Lees die antwoord as een feit oor een pakket en een rigting.

Bevestig die bestemming en die dienspoort voordat jy enigiets anders interpreteer. Die adres wat jy getoets het en die adres wat die toepassing gebruik, is soms verskillende rekords, en 'n naam wat na twee adresse oplos, maak dit waarskynlik.

Vind uit of die verbinding begin het

'n Verbinding wat dadelik geweier word, is 'n antwoord van die luisteraar of die beleid: iets het geantwoord en nee gesê. 'n Verbinding wat oopgaan en dan vasval wanneer data begin beweeg, dui op grootte. 'n Verbinding wat nooit die handdruk voltooi nie, is gewoonlik beleid of roetering, en lyk soos 'n tydverstryking eerder as 'n weiering.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Skryf neer watter van dié drie jy gesien het voordat jy aan MTU-instellings raak. Om 'n tonnelgrootte te verander om 'n geweierde verbinding te regstel, mors die verandering en verberg 'n ruk lank die werklike oorsaak.

Meet grootte met 'n genoemde getal

Wanneer die vasval onder las verskyn, toets een pakketgrootte met die don't-fragment-bis ingestel en noem die rekenkunde sodat die resultaat iets beteken. Op Linux met iputils lewer 'n loonvrag van 1392 grepe plus die 8-grepe-ICMP-kop en die 20-grepe-IPv4-kop 'n binnepakket van presies 1420 grepe. Noem daardie rekenkunde in die kaartjie, want 'n kaal ping wat die poortweg bereik, bewys niks oor 'n toepassing nie.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Albei ondersoeke is meetpunte, nie aanbevelings vir 'n tonnelgrootte nie. As ICMP êrens op die pad gefilter word, sê 'n tydverstryking niks oor grootte nie, want filtering en 'n te groot pakket lyk van die kliënt se kant identies. 'n Sukses sê ook niks oor die omgekeerde rigting of oor 'n ander bestemming nie.

Verreken die buitenste pad

Enkapsulering voeg sy eie koptekste by, so die pakket op die draad is groter as die pakket wat jy binne die tonnel gemeet het. Die gaping tussen die twee is wat 'n werkende klein versoek en 'n mislukkende groot een terselfdertyd moontlik maak.

IPv4-pad-MTU-ontdekking hang af van terugvoer oor pakkette wat nie sonder fragmentering aan gestuur kan word nie, en IPv6 gebruik Packet Too Big-boodskappe. Die IPv4-spesifikasie beskryf daardie meganisme. Om die terugvoer te filter, breek die sender se vermoë om te leer, wat dit laat aanhou om pakkette te herstuur wat nooit sal pas nie. Dit is waarom 'n werkende klein versoek en 'n mislukkende groot een so gemaklik saam bestaan.

Verander een getal en toets die toepassing weer

Verlaag die tonnel-MTU, of klem die maksimum segmentgrootte vir TCP, en herhaal dan die oorspronklike toepassingstoets eerder as die ondersoek. 'n Ondersoek wat ná die verandering slaag en 'n toepassing wat steeds hang, is 'n ander probleem met 'n soortgelyke vorm, en net die toepassingstoets onderskei hulle.

Hou die rekenkunde in die veranderingsrekord: die gemete grootte, die oorhoofse koste wat jy aanvaar het, en die waarde wat jy ingestel het. Enigiemand wat dit later nagaan, kan die aanname kontroleer in plaas daarvan om dit uit 'n skermskoot van 'n ping te herlei.

As die toepassing by elke grootte werk wat jy probeer het, hou op om getalle aan te pas en kyk na die beleid wat die werkende diens van die mislukkende een skei.