HTTPS mewn cynhwysydd ar VPN gorfforaethol yn oedi? Profwch y goes DTLS

Y tu mewn i gynhwysydd y tu ôl i VPN gorfforaethol, mae DNS yn datrys, mae'r dudalen fewngofnodi yn llwytho, mae endpoint iechyd yn ateb, ac yna mae cais HTTPS yn oedi nes iddo ddod i ben. Nid yw ailadeiladu'r ddelwedd a newid newidynnau'r dirprwy yn newid dim, oherwydd nid yw'r rhan sy'n methu yn y ddelwedd. Mae'r cleient yn dilysu dros un trafnidiaeth ac yn symud data swmp dros un arall, a dim ond yr ail un sydd wedi torri.

Dwy drafnidiaeth, un symptom ddryslyd

Mae cleient corfforaethol sy'n seiliedig ar TLS fel arfer yn dilysu dros gysylltiad TLS cyffredin, yna'n negodi ail sianel ddata UDP ar gyfer y sesiwn. Pan fydd yr ail goes honno'n gweithio, mae trwybwn ac oedi yn gwella. Pan fydd yn cael ei hidlo neu'n methu ffitio drwy'r llwybr, mae popeth cyn y trosglwyddiad swmp yn llwyddo ac mae'r trosglwyddiad ei hun yn stopio, sef yn union y patrwm uchod.

Nid yw cynhwysydd yn newid y negodi hwnnw; mae'n newid y llwybr y mae'r pecynnau allanol yn ei gymryd. Mae'r gwesteiwr yn cyfieithu ffrwd y cynhwysydd, felly mae'r datagramau UDP yn gadael o borth ffynhonnell gwahanol i soced lleol y cleient, ac yn dychwelyd drwy gofnod cyfieithu sy'n dod i ben ar amserydd llawer byrrach na ffrwd TCP sefydledig. Os yw'r tiwnel yn gweithio ar y gwesteiwr ac yn methu yn y cynhwysydd, cymharwch y ddwy ffrwd hynny cyn beio'r cymhwysiad. Mae'r gymhariaeth honno'n setlo mwy nag unrhyw ailadeiladu delwedd.

Penderfynwch drwy arbrawf, nid drwy reddf

Mae'r arbrawf rhataf yn diffodd y sianel ddata UDP ac yn ailadrodd y cais. Defnyddiwch y cleient llinell orchymyn yn hytrach na'r lapr bwrdd gwaith, fel bod y fflag yn cael ei gymhwyso mewn gwirionedd: openconnect vpn.example.net --user=you --interface=tun0 --no-dtls. Os yw'r cais a oedd yn oedi bellach yn cwblhau, y goes DTLS oedd y broblem a'r gweddill oedd sŵn.

Cadarnhewch y canlyniad yn y ddau gyfeiriad o'r un cynhwysydd, un cais swmp gyda'r fflag ac un heb. Mae newid ymddygiad sy'n dilyn y fflag yn dystiolaeth; nid yw tudalen sy'n llwytho yn y pen draw yn dystiolaeth.

Os yw'r fflag yn ei drwsio, penderfynwch pam

Mae tair cyflwr yn cynhyrchu'r un symptom, ac maent yn galw am ymatebion gwahanol. Gall y llwybr hidlo UDP yn gyfan gwbl, sy'n gwneud y fflag yn ateb parhaol cywir ar gyfer y rhwydwaith hwnnw. Gall y llwybr ganiatáu UDP ond gollwng datagramau mawr, sy'n awgrymu MTU yn hytrach na hidlo. Neu gall y llwybr fod yn ddigon colledus i'r goes UDP berfformio'n waeth na TCP, sy'n benderfyniad capasiti yn hytrach na chyrhaeddiad.

Gwahaniaethwch rhyngddynt cyn i chi ddogfennu gwaith-osgoi. Mae hidlo yn goroesi pob maint pecyn, dim ond uwchben trothwy y mae problemau MTU yn ymddangos, ac mae colled yn dangos fel ail-drosglwyddo ac oedi amrywiol yn hytrach nag oedi glân. Mae pob prawf yn culhau'r achos heb newid cyfluniad y cleient.

Gwiriwch faint y pecyn cyn cadw'r gwaith-osgoi

Os maint yw'r achos, mae rhyngwyneb y tiwnel yn derbyn pecynnau na all y llwybr eu cario, ac mae'r broblem yn dychwelyd ar unrhyw drafnidiaeth cyn gynted ag y bydd y llwythi'n tyfu. Cymharwch y rhyngwynebau: ip link show tun0 ar y gwesteiwr, yna docker network inspect bridge i ddarllen yr MTU a gofnodwyd yn opsiynau'r rhwydwaith. Pont cynhwysydd sy'n dal ar 1500 o feitiau o dan diwnel sy'n cario llai yw'r darganfyddiad arferol.

Archwiliwch tuag i fyny o faint hysbys dda gyda phrawf peidio-ffragmentio y tu mewn i'r tiwnel, yna gostyngwch MTU rhwydwaith y cynhwysydd neu glampiwch TCP MSS ar y tiwnel. Mae'r naill gywiriad neu'r llall yn aml yn gwneud y llwybr UDP yn ddefnyddiadwy eto ac yn dileu'r angen am y fflag, sef y canlyniad gwell pan nad hidlo yw'r achos.

Penderfynwch beth ydych chi'n barod i'w gyfnewid

Gyda'r sianel ddata wedi'i diffodd, mae'r tiwnel yn cario ei lwyth y tu mewn i gysylltiad TCP. Ar lwybr glân mae hynny'n arafach yn unig; ar un colledus, mae un segment coll yn oedi popeth y tu ôl iddo ac mae'r ail-drosglwyddo allanol yn cystadlu â'r un mewnol. Mae'r cyfnewid hwnnw'n addas ar gyfer datblygu rhyngweithiol a galwadau API bach, ac yn gweddu'n wael â throsglwyddiadau swmp neu sesiynau hir dros gysylltiadau symudol.

Pa bynnag opsiwn a ddewiswch, cofnodwch pa drafnidiaeth y daeth y tiwnel i'w defnyddio a pham. Cynhwysydd sy'n dibynnu'n ddiarwybod ar fflag a ychwanegwyd gan rywun fisoedd yn ôl yw'r toriad nesaf, ac ni fydd y sawl sy'n ei dadnamu yn gwybod ai gwaith-osgoi ar gyfer hidlo oedd y fflag ai gweddillion arbrawf MTU.