Per què les pàgines d’OpenConnect es pengen fins que baixeu l’MTU del túnel

L’inici de sessió funciona, la pàgina principal del portal es pinta i llavors un giny del tauler o un informe es queda a waiting for host fins que el navegador es rendeix. Els llocs públics carreguen amb normalitat tot el temps i cap credencial ha canviat. Que arribin respostes petites mentre les grans s’encallen és la signatura d’un sostre de mida de paquet i no d’una regla d’accés. Confirmeu aquesta lectura abans de tocar res més del perfil.

Separeu un problema de mida d’un problema de política

Comenceu descartant un rebuig. Si la passarel·la us hagués rebutjat, la connexió hauria fallat de seguida en lloc de carregar mitja pàgina. Un túnel que s’aixeca i després s’encalla només en transferències grans us diu que el camí exterior no pot portar el paquet interior.

El mecanisme és l’encapsulament. Cada paquet interior guanya capçaleres de túnel, així que una càrrega útil que cabia a l’enllaç físic es converteix en un paquet exterior que ja no hi cap, i tot el que porta el bit do-not-fragment es descarta sense cap resposta que el navegador pugui interpretar.

Mesureu el sostre amb sondes do-not-fragment

Mesureu el sostre en lloc d’endevinar-lo. Envieu sondes que refusin la fragmentació i baixeu la càrrega esglaó a esglaó fins que torni una resposta, començant per una ordre com ara ping -M do -s 1472 host. Una resposta que es queixa que cal fragmentació mentre DF està activat vol dir que el valor encara és massa alt. Repetiu-ho a 1462, després a 1452, i atureu-vos a la primera mida que retorni. Anoteu el número juntament amb l’amfitrió que heu sondat, perquè la resposta pertany a aquell camí i no al protocol en general.

Sondeu l’adreça a la qual el túnel envia realment el trànsit. Una sonda exterior contra el nom públic de la passarel·la i una sonda interior contra un servidor intern mesuren salts diferents, i el filtratge ICMP en qualsevol de les dues pot fer que un camí sa sembli trencat.

Apliqueu el valor al dispositiu del túnel

Apliqueu el resultat a la interfície que ha creat el client, no a l’adaptador Wi-Fi. En un client Linux això és ip link set dev tun0 mtu 1300 seguit de ip link show tun0 per confirmar que el valor s’ha aplicat. Feu servir el nom de dispositiu que reporti el client, perquè varia segons la implementació i segons com s’ha construït el túnel.

Baixar l’MTU del túnel redueix la càrrega que porta cada paquet, així que el cabal baixa una mica, i aquest és el preu de no enviar les respostes grans a un forat negre. Un número més petit no és automàticament més segur. Canviar l’adaptador físic en lloc d’això reparteix el mal per totes les connexions d’aquell enllaç mentre deixa els paquets interiors massa grans igual de grans.

Useu primer les peticions d’MTU del propi client

Quan controleu la invocació, el client pot demanar una mida en lloc de rebre un pedaç després. --mtu demana un MTU de túnel al servidor, i --base-mtu declara l’MTU del camí subjacent perquè la passarel·la pugui derivar la xifra del túnel. Totes dues són peticions, i el manual del client no promet que la passarel·la n’honori cap.

Aquesta distinció fixa l’ordre de la feina. Proveu primer la petició i inspeccioneu la interfície que produeix, i després torneu a fixar el dispositiu localment si el valor que ha triat la passarel·la encara s’encalla.

Verifiqueu-ho amb la transferència que va fallar i després feu-ho persistent

Un canvi local d’ip link dura fins que el client reconstrueix el túnel, cosa que passa a la propera reconnexió o represa. Posa el valor on comença la connexió: un embolcall que executa el client i després ajusta el dispositiu, una unitat systemd amb un pas ExecStartPost, o l’opció del client quan la passarel·la l’accepta. Tingueu-lo al costat del perfil al control de versions perquè la propera persona pugui veure per què hi ha el número.

Proveu-ho amb la petició que va fallar, no amb la pàgina principal. Obriu l’informe, baixeu el fitxer adjunt o executeu l’obtenció del repositori que es va penjar, i anoteu exactament on s’atura si encara s’atura. Una pàgina que es pinta després del canvi demostra poc, perquè abans també es pintava.

Si la mateixa transferència s’encalla al mateix punt, la teoria de l’MTU no està provada. Captureu el trànsit al túnel i comproveu quin costat deixa d’enviar abans de tornar a canviar el número, i tingueu el valor anterior anotat perquè la reversió sigui una sola ordre.