Windows L2TP yn llwytho rhai safleoedd: cliriwch y did DF ar pfSense

Mae’r gliniadur yn cysylltu, mae’r fewnrwyd yn llwytho, ac mae llond llaw o safleoedd cyhoeddus yn hongian. Mae dilysu a llwybro’n amlwg yn gweithio, sy’n gadael maint y pecyn fel yr esboniad. Ar dwnnel L2TP/IPsec mae’r MTU defnyddiadwy’n llai na’r hyn y mae’r addasydd yn dal i’w hysbysebu, ac mae’r cleient yn parhau i anfon pecynnau maint llawn gyda’r did peidio-fragmentio wedi’i osod. Gellir gorchymyn i borth pfSense glirio’r did hwnnw, a dyna’r ffordd gyflymaf o gadarnhau’r diagnosis cyn ei drwsio’n iawn.

Dechreuwch gyda’r tudalennau sy’n methu

Nodwch ba gyrochfannau sy’n methu a pha rai sy’n llwyddo cyn cyffwrdd ag unrhyw osodiad. Mae ysgydwadau llaw sy’n aros o dan derfyn y twnnel yn cwblhau’n normal, tra bod trosglwyddiadau sydd angen segment maint llawn yn stopio hanner ffordd. Mae’r rhaniad hwnnw’n arwydd o broblem maint yn hytrach na hidlydd, oherwydd mae cyrchfan a rwystrir yn methu wrth sefydlu’r cysylltiad yn hytrach nag yng nghanol y dudalen. Nid yw’r ddau arsylwad yn costio dim ac maent yn culhau’r chwilio ar unwaith.

Profwch gyda ping sy’n gosod y did ac yn rheoli maint y llwyth. Mae’r llwyth mwyaf sy’n goroesi yn dweud wrthych yr MTU llwybr go iawn, ac mae gwerth hysbysebiedig yr addasydd yn dangos pa mor bell oddi wrth ei gilydd y maent.

Nodwch y ddau rif. Mae’r atgyweiriad yn dibynnu ar ba un sy’n anghywir, a’r pâr yw’r hyn y bydd chipolwg yn ei gadarnhau’n ddiweddarach.

Beth mae’r did DF yn ei wneud ar y ffordd allan

Ymgorffori yw’r rheswm pam mae’r rhifau’n wahanol. Mae IPsec yn ychwanegu ESP, mae L2TP yn ychwanegu pennawd arall, ac felly mae’r twnnel yn cario llai o lwyth na’r cyswllt ffisegol. Mae Windows yn dal i adrodd 1500 beit ar yr addasydd ac yn gosod peidio-fragmentio ar yr hyn y mae’n ei anfon. Pan na all pecyn o’r fath ffitio, yr ateb cywir o’r porth yw neges ICMP yn gofyn i’r anfonwr grebachu. Dyna pam y gall twnnel sy’n pasio pings bach fethu lawrlwytho ffeil o hyd.

Yn aml nid yw’r neges honno byth yn cyrraedd. Gall naid hidlo ICMP, neu nid oes dim yn ei chynhyrchu, ac mae’r anfonwr yn ailadrodd yr un maint nes bod y trosglwyddiad yn rhoi’r gorau iddi.

Tawelwch yw’r cyflwyniad arferol yma, a dyna pam y darllenir y symptom fel rhwystro detholus. Nid oes dim yn log y cleient yn cofnodi neges ICMP ar goll.

Opsiwn pfSense, a’r hyn nad yw’n ei wneud

Mae’r opsiwn ar dudalen System, Uwch, Mur Tân a NAT, wedi’i labelu «Clirio didau DF annilys yn lle gollwng y pecynnau». Yn hytrach na thaflu pecyn rhy fawr sy’n cario’r faner, mae’r hidlydd yn tynnu’r faner ac yn gadael i’r pecyn gael ei rannu ymhellach ymlaen. Mae pecyn yn cyfrif fel annilys pan na all groesi’r rhyngwyneb allanol mewn un darn.

Mae’r opsiwn yn adfer cysylltedd heb gyffwrdd â’r cleient, a dyna pam mae’n boblogaidd. Mae hefyd yn waith o gwmpas: mae darnio’n costio CPU ac yn gwneud pob darn coll yn ddrutach.

Dim ond ar draffig a anfonir ymlaen y mae’n berthnasol, nid ar draffig y mae’r mur tân ei hun yn ei greu. Mae’r un dudalen yn cynnig «Analluogi Sgrwbio Mur Tân», sy’n diffodd normaleiddio’n gyfan gwbl, ac mae hynny’n newid llawer ehangach nag y mae angen i’r broblem hon.

Atgyweiriad culach sy’n cadw TCP heb ei ddarnio

Mae bron pob un o’r llifoedd sydd wedi stopio yn TCP, a gall TCP negodi segment llai yn hytrach na dibynnu ar ddarnio. Mae clampio MSS ar ryngwyneb y twnnel yn ailysgrifennu’r gwerth hysbysebiedig yn ystod yr ysgydwad llaw, felly mae pob ochr yn anfon yr hyn sy’n ffitio mewn gwirionedd. Yna mae’r llwybr yn ymddwyn yn rhagweladwy ac nid oes angen rhannu unrhyw becyn.

Mae hynny’n gadael UDP i ddarganfod neu i’r opsiwn DF. Pan fo’r safleoedd sy’n methu yn dudalennau gwe cyffredin, y clamp yw’r newid i’w ffafrio.

Gall y cleient adrodd ei MTU addasydd ei hun drwy netsh interface ipv4 show subinterfaces. Cymharwch y ffigur hwnnw â’r hyn y mae’r gweinydd yn credu iddo’i negodi, oherwydd nid yw’r ddau bob amser yr un fath. Y gwerth hwnnw yw’r un y bydd y system weithredu’n ei ddefnyddio mewn gwirionedd, beth bynnag a adroddodd y negodi.

Cadarnhewch gyda chipolwg, yna ailosodwch y cyflwr

Cipolwgwch ar y ddwy ochr cyn penderfynu: un trywydd lle mae’r twnnel yn rhedeg, un arall lle mae’r rhyngwyneb WAN yn rhedeg. Mae pecynnau sy’n gadael ar faint llawn heb ICMP yn dychwelyd yn cyfeirio at y clamp fel y haen gywir. Mae atebion sy’n cyrraedd ac yna’n marw ar y ffordd yn ôl yn cyfeirio at MTU y twnnel yn lle hynny.

Cliriwch y tabl cyflwr cyn rhoi cynnig arall, gan fod llifoedd presennol yn cadw eu hen feintiau segment. Yna llwythwch y dudalen a fethodd a darllenwch yr olwg cyflwr ar gyfer traffig deubegwn yn hytrach na chyfrifwyr unochrog. Os yw’n dal i stopio, cipolwgwch eto yn hytrach na cheisio blwch gwirio arall.