Error de DNS o problema d'MTU? On s'atura realment la petició

Dos errors produeixen la mateixa frase de l'usuari: el lloc no funciona. Passen en capes diferents, i la diferència decideix què canvieu. Un error de resolució de nom s'atura abans que existeixi cap connexió. Un error de mida de paquet passa després que el nom s'hagi resolt i després que l'aplec de mans s'hagi completat, i per això la pàgina comença a carregar-se i després es penja. Trobeu l'etapa abans de trobar el paràmetre.

Dos errors en capes diferents

La resolució converteix un nom en una adreça, i res més de la connexió no pot començar fins que ho aconsegueixi. Els problemes d'MTU del camí passen més tard, quan es descarta un paquet més gran que el límit d'algun enllaç i l'emissor no n'assabenta mai. Un és una consulta; l'altre és un error de lliurament que només apareix per sobre d'una mida determinada.

Els símptomes difereixen d'una manera que podeu observar sense cap eina. Un error de DNS és immediat i constant: el navegador diu que no es troba el servidor. Un error d'MTU és parcial: la pàgina comença, arriben alguns recursos i una resposta gran o una càrrega s'atura.

Si el vostre símptoma és parcial, deixeu de mirar el DNS.

Etapa 1: es resol el nom, com a mínim

Feu servir les eines de consulta de la plataforma amb el nom d'amfitrió exacte que utilitza l'aplicació. Un nom privat de l'oficina pot necessitar un resolutor intern, i el DNS segur propi del navegador pot comportar-se diferent del resolutor del sistema operatiu, de manera que els dos poden discrepar sobre el mateix nom.

Pregunteu al resolutor que faria servir el sistema operatiu i després compareu:

dig +short vpn.example.com
dig +short vpn.example.com @10.0.0.53

Si la resolució falla, el problema és aquesta política i la seva accessibilitat. No envieu noms privats a resolutors públics arbitraris només per obtenir una comparació, perquè la comparació mateixa filtra els noms que volíeu mantenir interns.

Etapa 2: on s'atura la transferència

Si el nom es resol i la connexió comença, anoteu on s'atura l'operació. Una pàgina que es representa i després es penja en un recurs, una càrrega que mor en un punt constant o una baixada gran que no s'acaba mai mentre les peticions petites funcionen són tots símptomes amb forma de mida. Una resposta que no comença mai té una altra forma.

Manteniu fixos el punt final i la destinació de l'aplicació mentre compareu, o estareu mesurant dues variables alhora. En aquesta etapa encara són possibles altres causes: errors del servei, pèrdua, comportament del filtre i reconnexions del túnel produeixen aturades.

Una aturada repetible val més que deu d'anecdòtiques.

Per què l'MTU només fa mal després de l'aplec de mans

L'aplec de mans TCP fa servir paquets petits, així que té èxit en un camí que no pot portar un segment de mida completa. L'error apareix quan l'emissor envia un paquet gran amb el bit de no fragmentar, un enllaç el descarta i el missatge ICMP que hauria informat del límit no arriba mai perquè un filtre se l'ha menjat. L'emissor torna a provar la mateixa mida i la transferència s'atura.

Per això el símptoma depèn de la mida i és repetible en lloc d'aleatori. També explica per què fer ping a l'amfitrió no demostra res, perquè un eco ICMP petit pot travessar un camí que no portarà una càrrega de mida completa. Sondegeu la mida des dels dos extrems del camí si podeu. Un límit que només apareix en una direcció és una asimetria d'encaminament i no un MTU de túnel.

Sondegeu la mida explícitament en lloc d'inferir-la:

ping -M do -s 1472 203.0.113.20
tracepath 203.0.113.20

Canvieu una capa i després demostreu-ho

Per als noms, canvieu la política del resolutor i torneu a executar la mateixa consulta. Per a la mida, feu servir el procediment d'MTU amb els valors originals anotats i una reversió preparada, perquè limitar l'MSS sense conèixer l'MTU real del túnel canvia una aturada per una altra.

Una pàgina que es carrega un cop després de canviar diversos paràmetres no identifica la reparació. Canvieu una cosa, torneu a executar la mateixa prova i guardeu el resultat al costat de la primera etapa fallida que vau anotar.

Aquest registre és el que evita que el DNS, la mida dels paquets i l'autenticació es converteixin en un munt de solucions temporals permanents que ningú no pot explicar. Provar amb una IP crua és un bon exemple d'un drecera que canvia la identitat TLS, i desactivar la verificació del certificat perquè una comparació surti bé no és cap diagnosi.