Windows L2TP učitava samo neke stranice: obrišite DF bit na pfSense

Prijenosnik se poveže, intranet se učita, a nekoliko javnih stranica zapne. Autentifikacija i usmjeravanje očito rade, što kao objašnjenje ostavlja veličinu paketa. U tunelu L2TP/IPsec upotrebljivi MTU manji je od onoga što adapter još oglašava, a klijent nastavlja slati pakete pune veličine s postavljenim bitom «ne fragmentiraj». PfSense pristupniku može se narediti da obriše taj bit, i to je najbrži način da potvrdite dijagnozu prije nego je ispravno popravite.

Počnite sa stranicama koje ne uspijevaju

Prije nego dotaknete bilo koju postavku, zabilježite koja odredišta ne uspijevaju, a koja uspijevaju. Rukovanja koja ostanu ispod ograničenja tunela završe normalno, dok se prijenosi kojima treba segment pune veličine zaustave na pola puta. Ta podjela potpis je problema s veličinom, a ne filtra, jer blokirano odredište ne uspijeva pri uspostavi veze, a ne usred stranice. Oba opažanja ne koštaju ništa i odmah sužavaju pretragu.

Provjerite pingom koji postavlja bit i kontrolira veličinu korisnog tereta. Najveći teret koji prođe govori vam stvarni MTU puta, a oglašena vrijednost adaptera pokazuje koliko su njih dvoje udaljeni.

Zapišite oba broja. Ispravak ovisi o tome koji je pogrešan, a par je ono što snimka kasnije potvrđuje.

Što DF bit radi na izlazu

Enkapsulacija je razlog zašto se brojevi razlikuju. IPsec dodaje ESP, L2TP dodaje još jedno zaglavlje, pa tunel zato nosi manje korisnog tereta od fizičke veze. Windows još prijavljuje 1500 bajtova na adapteru i postavlja «ne fragmentiraj» na ono što šalje. Kad takav paket ne stane, ispravan odgovor pristupnika je ICMP poruka koja traži od pošiljatelja da se smanji. Zato tunel koji propušta male pingove ipak može propasti na preuzimanju datoteke.

Ta poruka često nikad ne stigne. Neki skok može filtrirati ICMP, ili je ništa ne generira, a pošiljatelj ponavlja istu veličinu dok prijenos ne odustane.

Tišina je ovdje uobičajena pojava, zato se simptom čita kao selektivno blokiranje. Ništa u zapisu klijenta ne bilježi ICMP poruku koja nedostaje.

Opcija na pfSenseu i što ona ne radi

Opcija se nalazi na stranici Sustav, Napredno, Vatrozid i NAT s oznakom «Obriši nevažeće DF bitove umjesto odbacivanja paketa». Umjesto da odbaci prevelik paket koji nosi zastavicu, filtar uklanja zastavicu i pušta paket da se dalje podijeli. Paket se smatra nevažećim kad ne može prijeći izlazno sučelje u jednom komadu.

Opcija vraća povezivost bez diranja klijenta, zato je popularna. To je i zaobilazno rješenje: fragmentacija troši CPU i čini svaki izgubljeni fragment skupljim.

Primjenjuje se samo na proslijeđeni promet, ne na promet koji sam vatrozid stvara. Ista stranica nudi «Onemogući čišćenje vatrozida», što potpuno isključuje normalizaciju, a to je mnogo šira promjena nego što ovaj problem treba.

Uže rješenje koje drži TCP nefragmentiran

Gotovo svi zaglavljeni tokovi su TCP, a TCP može pregovarati manji segment umjesto da se oslanja na fragmentaciju. Ograničavanje MSS-a na sučelju tunela prepisuje oglašenu vrijednost tijekom rukovanja, pa svaka strana šalje ono što stvarno stane. Put se tada ponaša predvidivo i nijedan paket ne treba dijeliti.

Time UDP ostaje otkrivanju ili opciji DF. Kad su stranice koje ne uspijevaju obične web stranice, ograničenje je promjena koju treba preferirati.

Klijent može prijaviti vlastiti MTU adaptera putem netsh interface ipv4 show subinterfaces. Usporedite taj broj s onim što poslužitelj misli da je dogovoreno, jer se njih dvoje ne podudaraju uvijek. Ta je vrijednost ona koju će operacijski sustav stvarno upotrijebiti, što god pregovaranje prijavilo.

Potvrdite snimkom, pa zatim poništite stanje

Snimite na obje strane prije odluke: jedan trag gdje prolazi tunel, drugi gdje prolazi sučelje WAN. Paketi koji izlaze pune veličine bez ICMP-a koji se vraća upućuju na ograničenje kao pravi sloj. Odgovori koji stignu i zatim umru na povratku upućuju umjesto toga na MTU tunela.

Očistite tablicu stanja prije novog pokušaja, jer postojeći tokovi zadržavaju stare veličine segmenata. Zatim učitajte stranicu koja nije uspjela i čitajte prikaz stanja za dvosmjerni promet umjesto jednostranih brojača. Ako se i dalje zaustavlja, snimite ponovno umjesto da isprobate još jedan potvrdni okvir.