Windows L2TP bəzi saytları açır: pfSense-də DF bitini silin

Noutbuk qoşulur, daxili şəbəkə açılır, bir neçə ictimai sayt isə donur. Autentifikasiya və marşrutlaşdırma açıq şəkildə işləyir, bu da izahat kimi paket ölçüsünü qoyur. L2TP/IPsec tunelində istifadə oluna bilən MTU adapterin hələ elan etdiyindən kiçikdir və müştəri parçalanmama biti qurulmuş tam ölçülü paketlər göndərməyə davam edir. pfSense şlüzünə həmin biti silmək əmr oluna bilər və bu, problemi düzgün həll etməzdən əvvəl diaqnozu təsdiqləməyin ən sürətli yoludur.

Uğursuz olan səhifələrdən başlayın

Hər hansı parametrə toxunmazdan əvvəl hansı ünvanların uğursuz olduğunu və hansıların işlədiyini qeyd edin. Tunel həddinin altında qalan əl sıxışmaları normal tamamlanır, tam ölçülü seqment tələb edən ötürmələr isə yolda dayanır. Bu bölünmə filtr deyil, ölçü probleminin imzasıdır, çünki bloklanmış ünvan səhifənin ortasında deyil, bağlantı qurulmasında uğursuz olur. Hər iki müşahidə heç bir şeyə başa gəlmir və axtarışı dərhal daraldır.

Biti quran və yük ölçüsünü idarə edən ping ilə yoxlayın. Sağ qalan ən böyük yük sizə real yol MTU-sunu bildirir, adapterin elan etdiyi dəyər isə ikisinin nə qədər uzaq olduğunu göstərir.

Hər iki rəqəmi yazın. Düzəliş hansının səhv olduğundan asılıdır və cütü sonradan tutma təsdiqləyir.

DF biti çıxışda nə edir

Rəqəmlərin fərqlənməsinin səbəbi inkapsulyasiyadır. IPsec ESP əlavə edir, L2TP daha bir başlıq əlavə edir və buna görə tunel fiziki keçiddən daha az yük daşıyır. Windows adapterdə hələ də 1500 bayt bildirir və göndərdiyinə parçalanmama qurur. Belə paket yerləşmədikdə, şlüzdən düzgün cavab göndərəni kiçilməyə çağıran ICMP mesajıdır. Buna görə kiçik pingləri keçirən tunel yenə də fayl endirməsini uğursuz edə bilər.

Bu mesaj çox vaxt heç gəlmir. Bir hop ICMP-ni süzə bilər və ya onu heç nə yaratmır, göndərən isə ötürmə əl çəkənə qədər eyni ölçünü təkrarlayır.

Sükut burada normal təzahürdür, buna görə simptom seçici bloklama kimi oxunur. Müştəri jurnalında itkin ICMP mesajı qeyd olunmur.

pfSense seçimi və etmədiyi şey

Seçim Sistem, Qabaqcıl, Firewall və NAT səhifəsindədir və «Pakkətləri atmaq əvəzinə etibarsız DF bitlərini sil» etiketi ilə işarələnib. Filtr bayraq daşıyan həddindən böyük paketi atmır, bayrağı çıxarır və paketin aşağı axında bölünməsinə imkan verir. Paket çıxan interfeysi bir parçada keçə bilmədikdə etibarsız sayılır.

Seçim müştəriyə toxunmadan bağlantını bərpa edir, buna görə populyardır. O həm də müvəqqəti həlldir: parçalanma CPU xərcləyir və hər itirilmiş parçanı daha bahalı edir.

Yalnız yönləndirilən trafikə aiddir, firewallın özünün yaratdığı trafikə deyil. Eyni səhifə «Firewall təmizləməsini söndür» təklif edir ki, bu da normallaşdırmanı tamamilə söndürür və bu problemə lazım olandan qat-qat geniş dəyişiklikdir.

TCP-ni parçalanmamış saxlayan daha dar düzəliş

Donmuş axınların demək olar hamısı TCP-dir və TCP parçalanmaya güvənmək əvəzinə daha kiçik seqment üzərində razılaşa bilər. Tunel interfeysində MSS-i sıxmaq əl sıxışma zamanı elan olunan dəyəri yenidən yazır, beləliklə hər tərəf həqiqətən yerləşəni göndərir. Sonra yol proqnozlaşdırıla bilən davranır və heç bir paketin bölünməsinə ehtiyac qalmır.

Bu, UDP-ni kəşfiyyata və ya DF seçiminə buraxır. Uğursuz saytlar adi veb səhifələrdirsə, üstünlük veriləcək dəyişiklik sıxmadır.

Müştəri öz adapter MTU-sunu netsh interface ipv4 show subinterfaces vasitəsilə bildirə bilər. Bu rəqəmi serverin razılaşdığını düşündüyü ilə müqayisə edin, çünki ikisi həmişə eyni olmur. Müzakirə nə bildirsə də, əməliyyat sisteminin həqiqətən istifadə edəcəyi dəyər budur.

Tutma ilə təsdiqləyin, sonra vəziyyəti sıfırlayın

Qərar verməzdən əvvəl hər iki tərəfdə tutun: biri tunelin işlədiyi yerdə, digəri WAN interfeysinin işlədiyi yerdə. Tam ölçüdə çıxan və ICMP qaytarmayan paketlər sıxmanı düzgün qat kimi göstərir. Gəlib geri yolda ölən cavablar isə tunel MTU-suna işarə edir.

Yenidən cəhd etməzdən əvvəl vəziyyət cədvəlini təmizləyin, çünki mövcud axınlar köhnə seqment ölçülərini saxlayır. Sonra uğursuz olan səhifəni yükləyin və birtərəfli sayğaclar əvəzinə ikitərəfli trafik üçün vəziyyətlər görünüşünü oxuyun. Hələ də donursa, başqa bir onay qutusu sınamaq əvəzinə yenidən tutun.