Windows L2TP ŝargas nur kelkajn retejojn: forigu la DF-biton ĉe pfSense

La tekkomputilo konektiĝas, la interna reto ŝargiĝas, kaj kelkaj publikaj retejoj haltas. Aŭtentikigo kaj enkursigado evidente funkcias, kio lasas la pakgrandon kiel klarigon. En L2TP/IPsec-tunelo la uzebla MTU estas pli malgranda ol tio, kion la adaptilo ankoraŭ anoncas, kaj la kliento daŭre sendas pakaĵojn plen-grandajn kun la bito «ne fragmenti» agordita. Oni povas ordoni al pfSense-pordego forigi tiun biton, kaj tio estas la plej rapida maniero konfirmi la diagnozon antaŭ ol ĝin ĝuste ripari.

Komencu per la paĝoj, kiuj malsukcesas

Notu, kiuj celoj malsukcesas kaj kiuj sukcesas antaŭ ol tuŝi ajnan agordon. Manpremoj, kiuj restas sub la tunela limo, finiĝas normale, dum transigoj bezonantaj plen-grandan segmenton haltas duonvoje. Tiu divido estas la subskribo de granda problemo, ne de filtrilo, ĉar blokita celo malsukcesas ĉe la konekta starigo anstataŭ meze de la paĝo. Ambaŭ observoj kostas nenion kaj tuj mallarĝigas la serĉadon.

Testu per ping, kiu agordas la biton kaj regas la grandecon de la utila ŝarĝo. La plej granda ŝarĝo, kiu pluvivas, diras al vi la realan vojan MTU, kaj la anoncita valoro de la adaptilo montras, kiom malproksime ili estas.

Notu ambaŭ nombrojn. La riparo dependas de tio, kiu estas malĝusta, kaj la paro estas tio, kion kaptado poste konfirmas.

Kion faras la DF-bito ĉe la eliro

Enkapsuligo estas la kialo, ke la nombroj malsamas. IPsec aldonas ESP, L2TP aldonas alian kapon, kaj tial la tunelo portas malpli da utila ŝarĝo ol la fizika ligo. Windows ankoraŭ raportas 1500 bajtojn sur la adaptilo kaj agordas «ne fragmenti» sur tion, kion ĝi sendas. Kiam tia pakaĵo ne eniras, la ĝusta respondo de la pordego estas ICMP-mesaĝo petanta la sendinton malgrandiĝi. Tial tunelo, kiu trapasas malgrandajn pingojn, ankoraŭ povas malsukcesigi dosieran elŝuton.

Tiu mesaĝo ofte neniam alvenas. Iu salto povas filtri ICMP, aŭ nenio generas ĝin, kaj la sendinto ripetas la saman grandecon ĝis la transigo rezignas.

Silento estas la normala prezentiĝo ĉi tie, tial la simptomo legiĝas kiel selekta blokado. Nenio en la klienta protokolo registras mankantan ICMP-mesaĝon.

La pfSense-opcio, kaj kion ĝi ne faras

La opcio troviĝas sur la paĝo Sistemo, Altnivela, Fajroŝirmilo kaj NAT, etikedita «Forigi nevalidajn DF-bitojn anstataŭ forĵeti la pakaĵojn». Anstataŭ forĵeti trograndan pakaĵon portantan la flagon, la filtrilo forigas la flagon kaj lasas la pakaĵon disiĝi pli malsupre. Pakaĵo validas kiel nevalida, kiam ĝi ne povas trapasi la eliran interfacon en unu peco.

La opcio restarigas konektecon sen tuŝi la klienton, tial ĝi popularas. Ĝi ankaŭ estas provizora solvo: fragmentado kostas CPU kaj igas ĉiun perditan fragmenton pli kosta.

Ĝi aplikiĝas nur al plusendita trafiko, ne al trafiko, kiun la fajroŝirmilo mem originas. La sama paĝo proponas «Malŝalti fajroŝirmilan purigadon», kio tute malŝaltas normaligon, kaj tio estas multe pli vasta ŝanĝo ol tiu problemo bezonas.

Pli mallarĝa riparo, kiu tenas TCP nefragmentita

Preskaŭ ĉiuj haltintaj fluoj estas TCP, kaj TCP povas intertrakti pli malgrandan segmenton anstataŭ fidi fragmentadon. Limigi MSS sur la tunela interfaco reskribas la anoncitan valoron dum la manpremo, tiel ĉiu flanko sendas tion, kio efektive eniras. La vojo tiam kondutas antaŭvideble kaj neniu pakaĵo bezonas disiĝon.

Tio lasas UDP al malkovro aŭ al la DF-opcio. Kiam la malsukcesaj retejoj estas ordinaraj retpaĝoj, la limigo estas la ŝanĝo preferinda.

La kliento povas raporti sian propran adaptilan MTU per netsh interface ipv4 show subinterfaces. Komparu tiun nombron kun tio, kion la servilo kredas intertraktinta, ĉar la du ne ĉiam samas. Tiu valoro estas la unu, kiun la operaciumo efektive uzos, kion ajn raportis la intertraktado.

Konfirmu per kaptado, poste restarigu la staton

Kaptu ambaŭflanke antaŭ ol decidi: unu spuro, kie la tunelo funkcias, alia, kie la WAN-interfaco funkcias. Pakaĵoj elirantaj plen-grande sen revenanta ICMP montras la limigon kiel la ĝustan tavolon. Respondoj, kiuj alvenas kaj poste mortas survoje reen, montras anstataŭe la tunelan MTU.

Forigu la statan tabelon antaŭ ol reprovi, ĉar ekzistantaj fluoj tenas siajn malnovajn segmentajn grandecojn. Poste ŝargu la paĝon, kiu malsukcesis, kaj legu la statan vidon por duflanka trafiko anstataŭ unuflankaj nombriloj. Se ĝi ankoraŭ haltas, kaptu denove anstataŭ provi alian markobutonon.