Git tõmbab kinni ilma VPN-ita? OpenSSH märgistab paketid IPQoS-iga

Kontorist tehtud kloon töötab, sama kloon telefonihotspoti kaudu töötab, ja sama kloon hotellivõrgust jääb rippuma, kuni VPN sisse lülitatakse. SSH käepigistus lõpeb ja sessioon vaikib esimese tõelise ülekande juures. Üks rida kliendi konfiguratsiooni juurde ravib git ja ssh korraga. Kui üks kliendi seade parandab mitut tööriista korraga, on viga selles, mida klient saadab, mitte selles lingis, mille kaudu ta saadab.

Lugege sümptomit marsruudierinevusena

Tunnel, mis probleemi ravib, on harva parandus. See vahetab marsruudi, operaatori ja vahepealsed seadmed, samal ajal kui sülearvuti toodab täpselt samu pakette edasi. Kui üks marsruut käsitleb päist valesti ja teine laseb selle puutumatult läbi, on erinevus vahepealse seadme poliitikas, mitte kliendis. Tunnel on siin tunnistaja, mitte lahendus.

Koht, kus sessioon sureb, kitsendab seda veelgi. Miski, mis ebaõnnestub nime otsingul või võtmevahetusel, ei näe niimoodi välja. Sessioon, mis autendib, prindib bänneri ja külmub siis esimese suure kirjutamise juures, on juba tõestanud, et marsruutimine, nimetamine ja mandaadid kõik töötavad.

Klient lööb igale SSH-pesale QoS-baidi peale

Iga OpenSSH-ühendus alates 7.8-st kannab IP-päises väärtust, mida ruuterid võivad liikluse prioriseerimiseks kasutada. Terminalisessioonid saavad ühe väärtuse ja masskopeerimised teise, tuginedes teooriale, et tippiv inimene väärib paremat kohtlemist kui failiülekanne. Enamik võrke eirab vihjet täielikult, mistõttu jääb see aastateks märkamatuks. Vähemus Wi-Fi draivereid, mobiilioperaatoreid ja VPN-kontsentraatoreid käitub selle järgi, ja mõned neist käituvad halvasti.

Kui see väärtus voo keskel ümber kirjutatakse või ära visatakse, ei ebaõnnestu ühendus, vaid lakkab edasi liikumast. Kordussaadetised kasvavad, aken variseb kokku ja rakendus ei teata millestki, sest miski ei andnud viga. Just see vaikus paneb inimesi kirjeldama sümptomit kui rippumist, mitte kui tõrget.

Kõigepealt kinnitage kliendi versiooni käsuga ssh -V. Kõik alates 7.8-st kannab seda käitumist vaikimisi.

Kolm käsku, mis eristavad seda MTU-st ja DNS-ist

Kaks sarnast põhjust tuleks enne mis tahes konfiguratsioonifaili muutmist välistada. MTU tõrge laseb väikesed vahetused läbi ja külmub esimese suure paketi juures, samas kui nimeandmete tõrge ei tekita kunagi sessiooni.

ssh -o IPQoS=none -v [email protected]
ssh -G [email protected] | grep -i ipqos
sudo tcpdump -ni any -vv "tcp port 22"

Esimene käsk kordab ebaõnnestunud toimingut märgisega välja lülitatud kujul, ja selle õnnestunud käivitamine on tugevaim üksik tõend, mis olemas on. Teine prindib konfiguratsiooni, mida klient sellele sihtkohale tegelikult rakendab, mis tabab aegunud kirje failis, mille olite unustanud. Kolmas näitab TOS-baiti mõlemas suunas, kui ülekanne on kinni jäänud, ja huvitav muster on väärtus katkisel marsruudil ja mitte ühtegi töötaval.

Tehke püüdmine sülearvutis, mitte serveris, sest saatja määrab väärtuse ja mõlemad suunad võivad seda muuta. Võrrelge töötavat ja ebaõnnestuvat marsruuti sama püüdmisega, ja erinevus ilmneb ilma oletusteta.

Pange erand ühte faili, üks host korraga

Erand kuulub selle hosti kõrvale, mille kohta see kehtib, koos kommentaariga, mis ütleb, miks see olemas on.

Host gitlab.example.internal
    IPQoS none
    # direct route rewrites the marking; the tunnel route passes it

Ulatus loeb rohkem kui väärtus ise. Metamärgiga kirje lülitab käitumise kõikjal välja, viskab ära vihje, mis aitab hästi käituvates võrkudes, ja ei jäta kellelegi võimalust öelda, millal see ilmus. Hostipõhine kirje on loetav, pööratav ja pärast võrgu parandamist triviaalselt kustutatav. Kasutage isikliku möödasõidu jaoks kasutajafaili ja hallatavat faili siis, kui terve park vajab sama erandit.

Olge täpne selles, mida erand ei kata. See kehtib SSH kohta, nii et HTTPS-i kaugrepo, paketipeegel ja brauser jäävad sellest välja, ja tõrge ükskõik millises neist vajab omaenda tõendit. Bastioni kaudu kulgeval ahelal kasutab iga hüpe kliendi konfiguratsiooni, ja hüpe, mis kinni jääb, on see, mida tasub piiritleda.

Sulgege ring võrgu omanikuga

Andke leid üle nelja faktina: kliendi versioon, testitud marsruut, kasutatav VPN-klient ja milline suund märgist kandis. Need neli on võrgu omanikule piisavad, et kohtlemist korrata ja otsustada, kas see on tahtlik.

Kui erand kinnijäämist ei ravi, eemaldage see. Möödasõit, mis elab üle ebaõnnestunud katse, muutub rahvajutuks ja järgmine inimene veedab tunni tõestades, et see ei tee midagi. Kui see kinnijäämist ravib, on tee ikkagi vale iga teise tööriista jaoks, mis seda läbib, ja parandus kuulub sellele, kes vahepealset seadet haldab.

Muudatus kliendis on ajutine lahendus aegumiskuupäevaga. Kirjutage see kuupäev kommentaari.