SSH haltas super OpenVPN? Unue mezuru la MTU de la vojo

SSH konektiĝas, la invito aperas, kaj la seanco mortas tuj kiam komando redonas ion grandan. Eĥo ankoraŭ funkcias momente, poste la konekto tempas for dum la kliento ankoraŭ montras la tunelon kiel aktivan. Seanco sana ĝis alvenas datumoj kutime trafas grandlimon, ne difekton de SSH. La subaj kontroloj estas ordigitaj tiel, ke la plej malmultekosta klarigo unue foriĝu.

Unue legu la formon de la fiasko, antaŭ ol tuŝi la profilon

Etaj pakaĵoj trapasas, plenaj ne. Invito, standardo aŭ unu klavopremo facile eniras; dosieruja listo, elŝuto aŭ algluita bloko ne. La grandeco, ĉe kiu la konduto ŝanĝiĝas, estas la indico, ne la fakto, ke SSH estas la koncerna programo.

La mekanismo estas la malkovro de la MTU de la vojo, kiu dependas de retrokuplado. TCP elektas segmentan grandecon, kaj kiam enkursigilo survoje ne povas plusendi la rezultan pakaĵon, ĝi devus tion sciigi per ICMP-mesaĝo. Enkapsuligo faras la eksteran pakaĵon pli granda ol la interna, do la uzebla grandeco ene de tunelo ĉiam restas sub la fizika ligo. Filtru tiujn ICMP-mesaĝojn ie ajn kaj la sendinto neniam ricevas la korekton, daŭre sendas plenajn segmentojn, kaj la ekstera pakaĵo estas forĵetata sen avizo.

Mezuru la plafonon de ambaŭ flankoj

Komparu la MTU de la tunelo kun la fizika ligo antaŭ ol ŝanĝi iun ajn el ili. Tunelo, kiu kopiis la fizikan valoron, jam diris al vi, kie la malkongruo loĝas.

Sondi de interne per peto, kiu malpermesas fragmentadon, malaltigante la utilan ŝarĝon ĝis respondoj revenas. La grandeca argumento kalkulas nur la utilan ŝarĝon, do la funkcianta nombro ĉiam restas sub la MTU de la interfaco. Redonu la grandecojn de la kaplinioj se vi bezonas la ciferon de la interfaco.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ripetu la sondadon kontraŭ la publika adreso de la servilo de ekstere de la tunelo. Se grandaj sondadoj ankaŭ malsukcesas tie, la limo sidas sur la vojo al la servilo kaj nenia tunela opcio movos ĝin. Tiu komparo savas vin de agordado de kliento, kiu neniam estis la problemo. Notu ambaŭ rezultojn antaŭ ol malfermi agordan dosieron.

mssfix kaj fragment faras malsamajn taskojn

mssfix limigas la segmentan grandecon, kiun TCP-konektoj ene de la tunelo anoncas dum sia manpremo. Ĝi estas la ĝusta bremso por SSH, HTTPS kaj dosierkopioj, kaj tial la halto ofte malaperas post ĝia agordo. Ĝi tute ne tuŝas UDP-utilajn ŝarĝojn.

Tunelo, kiu ankaŭ portas UDP-servon, povas daŭre fiaski post kiam SSH estas riparita, kaj tiu rezulto konfuzas ĉiun, kiu supozas, ke unu opcio kovras ĉion.

fragment estas la alia mekanismo kaj alia ilo. Ĝi disigas trograndajn pakaĵojn antaŭ enkapsuligo, validas nur por UDP-transporto, aldonas superkoston por datagramo kaj estas dokumentita kiel lasta rimedo por rompita malkovro. Ambaŭ agordoj devas kongrui ĉe la partneroj, kiuj finas la tunelon. Kiam unu flanko limigas dum la alia fragmentas, aperas avertoj en la protokolo kaj konduto, kiun neniu povas antaŭvidi el la dosieroj.

Malaltigi la MTU de la interfaco estas la maldelikata opcio

Malaltigi la MTU de la interfaco ĉe ambaŭ finoj estas la maldelikata ilo. Ĝi diras al ĉiu interna sendinto pli malgrandan nombron, kio funkcias, kaj ŝarĝas tiun koston sur la tutan trafikon anstataŭ sur la TCP-fluojn, kiuj bezonas ĝin.

Elektu ĝin kiam la tunelo portas trafikon, kiun vi ne povas limigi, aŭ kiam la kliento estas aparato, kies profilon vi ne regas. Apliku ĝin simetrie kaj notu la valoron apud la profilo. Duone aplikita ŝanĝo estas pli malbona ol neniu, ĉar ĝi aspektas kiel riparo.

Retestu per la transdono, kiu haltis

Rekonektiĝu por ke la agordoj ŝarĝiĝu, malfermu freŝan konekton kaj ripetu la komandon, kiu frostis. Segmenta grandeco intertraktiĝas ĉe la manpremo, do seanco, kiu postvivis la rekonekton, ankoraŭ portas la malnovan valoron. Ping estas malforta testo ĉi tie, ĉar la tuta fiasko estas, ke etaj pakaĵoj trapasas. Uzu la liston, la elŝuton aŭ la algluon, kiu rompiĝis.

Se la halto daŭras ĉe pli malgranda grandeco, rigardu aliloke: fajroŝirmilo kun stato, kiu finigas la fluon, duobla adreso, aŭ vojo, kiu ŝoviĝas ĉe rekonekto. Notu la sondan grandecon, kiu malsukcesis, kaj la agordon, kiun vi ŝanĝis, ĉar ĝuste tiu paro faras la sekvan raporton utila.