SSH завісае праз OpenVPN? Спачатку вымерайце MTU шляху

SSH падключаецца, з'яўляецца запрашэнне, і сеанс памірае, як толькі каманда вяртае нешта аб'ёмнае. Рэха яшчэ трохі працуе, затым злучэнне сканчаецца па таймауце, пакуль кліент па-ранейшаму паказвае тунэль як узняты. Сеанс, які здаровы да прыходу даных, звычайна ўпіраецца ў абмежаванне памеру, а не ў дэфект SSH. Праверкі ніжэй упарадкаваны так, каб самае таннае тлумачэнне было выключана першым.

Прачытайце форму збою, перш чым кранаць профіль

Дробныя пакеты праходзяць, а поўныя не. Запрашэнне, банер ці адно націсканне клавішы змяшчаюцца лёгка; спіс каталога, загрузка ці ўстаўлены блок — не. Памер, пры якім паводзіны змяняюцца, і ёсць падказкай, а не тое, што менавіта SSH — гэта праграма.

Механізм — выяўленне MTU шляху, якое залежыць ад зваротнай сувязі. TCP выбірае памер сегмента, і калі маршрутызатар на шляху не можа перадаць атрыманы пакет, ён павінен паведаміць пра гэта ICMP-паведамленнем. Інкапсуляцыя робіць знешні пакет буйнейшым за ўнутраны, таму карысны памер унутры тунэля заўсёды меншы за фізічнае звяно. Адфільтруйце гэтыя ICMP-паведамленні дзе заўгодна — і адпраўнік ніколі не атрымае выпраўлення, працягне слаць поўныя сегменты, а знешні пакет будзе адкінуты без папярэджання.

Вымерайце мяжу з абодвух бакоў

Параўнайце MTU тунэля з фізічным звяном, перш чым змяняць любое з іх. Тунэль, які скапіраваў фізічнае значэнне, ужо сказаў, дзе знаходзіцца неадпаведнасць.

Праверце знутры тунэля запытам з забаронай фрагментацыі, зніжаючы карысную нагрузку, пакуль не вернуцца адказы. Аргумент памеру лічыць толькі нагрузку, таму працоўны лік заўсёды ніжэйшы за MTU інтэрфейса. Дадайце памеры загалоўкаў назад, калі патрэбны лік інтэрфейса.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Паўтарыце праверку супраць публічнага адраса сервера зне тунэля. Калі буйныя праверкі правальваюцца і там, мяжа сядзіць на шляху да сервера, і ніякая опцыя тунэля яе не зрушыць. Гэтае параўнанне ратуе вас ад наладкі кліента, які ніколі не быў праблемай. Запішыце абодва вынікі, перш чым адкрыць файл канфігурацыі.

mssfix і fragment робяць рознае

mssfix абмяжоўвае памер сегмента, які TCP-злучэнні ўнутры тунэля аб'яўляюць падчас рукапаціску. Гэта правільны рычаг для SSH, HTTPS і капіявання файлаў, таму завісанне часта знікае, як толькі ён усталяваны. Ён зусім не кранае нагрузку UDP.

Тунэль, які таксама нясе службу UDP, можа працягваць збаіць пасля выпраўлення SSH, і такі вынік блытае кожнага, хто мяркуе, што адна опцыя пакрывае ўсё.

fragment — іншы механізм і іншы інструмент. Ён дзеліць завялікія пакеты перад інкапсуляцыяй, дзейнічае толькі для транспарту UDP, дадае накладныя выдаткі на кожную дэйтаграму і дакументаваны як апошні сродак для зламанага выяўлення. Абедзве налады павінны супадаць у партнёраў, якія завяршаюць тунэль. Калі адзін канец абмяжоўвае, а другі фрагментуе, у журнале з'яўляюцца папярэджанні і паводзіны, якія немагчыма прадказаць па файлах.

Зніжэнне MTU інтэрфейса — грубы варыянт

Зніжэнне MTU інтэрфейса на абодвух канцах — грубы інструмент. Ён паведамляе кожнаму ўнутранаму адпраўніку меншы лік, што працуе, і пакладае гэтыя выдаткі на ўвесь трафік, а не на TCP-патокі, якім яны патрэбны.

Выбірайце яго, калі тунэль нясе трафік, які вы не можаце абмежаваць, або калі кліент — прылада, профілем якой вы не кіруеце. Ужывайце сіметрычна і запішыце значэнне побач з профілем. Напалову ўжытая змена горш за ніякую, бо выглядае як выпраўленне.

Ператэстуйце тым пераносам, які завіс

Перападключыцеся, каб налады загрузіліся, адкрыйце новае злучэнне і паўтарыце каманду, якая замерла. Памер сегмента ўзгадняецца падчас рукапаціску, таму сеанс, які перажыў перападключэнне, усё яшчэ нясе старое значэнне. Ping тут дрэнны тэст, бо ўся памылка ў тым, што дробныя пакеты праходзяць. Выкарыстайце той спіс, загрузку ці ўстаўку, што зламаліся.

Калі завісанне застаецца пры меншым памеры, шукайце ў іншым месцы: файрвол са станам, які скончвае паток, дублікат адраса або маршрут, што зрушваецца пры перападключэнні. Запішыце памер праверкі, якая правалілася, і наладу, якую вы змянілі, бо менавіта гэтая пара робіць наступную справаздачу карыснай.