SSH jääb OpenVPN-i korral kinni? Mõõtke kõigepealt tee MTU

SSH ühendub, viip ilmub ja sessioon sureb niipea, kui käsk tagastab midagi mahukat. Kaja töötab veel hetke, seejärel aegub ühendus, samal ajal kui klient näitab tunnelit endiselt üleval. Sessioon, mis on terve kuni andmete saabumiseni, põrkab tavaliselt suurusepiirangu, mitte SSH defekti vastu. Alljärgnevad kontrollid on järjestatud nii, et odavaim seletus välistatakse esimesena.

Lugege rikke kuju enne profiili puutumist

Väikesed paketid lähevad läbi, täis paketid mitte. Viip, bänner või üks klahvivajutus mahub kergesti; kataloogi loend, allalaadimine või kleebitud plokk mitte. Suurus, mille juures käitumine muutub, on vihje, mitte asjaolu, et SSH on asjassepuutuv programm.

Mehhanism on tee MTU avastamine, mis sõltub tagasisidest. TCP valib segmendi suuruse ja kui marsruuter teel ei saa tekkinud paketti edasi saata, peaks see sellest ICMP-teatega teatama. Kapseldamine teeb välimise paketi sisemisest suuremaks, seega on tunnelis kasutatav suurus alati füüsilisest lülist väiksem. Filtreerige neid ICMP-teateid ükskõik kus ja saatja ei saa parandust kunagi, saadab edasi täis segmente ning välimine pakett visatakse hoiatamata kõrvale.

Mõõtke lagi mõlemalt poolt

Võrrelge tunneli MTU-d füüsilise lüliga enne, kui muudate ühte neist. Tunnel, mis kopeeris füüsilise väärtuse, on juba öelnud, kus lahknevus asub.

Mõõtke tunnelist seestpoolt taotlusega, mis keelab tükeldamise, langetades kasulikku koormust, kuni vastused tulevad tagasi. Suuruse argument loeb ainult kasulikku koormust, seega töötav arv on alati liidese MTU-st väiksem. Lisage päiste suurused uuesti juurde, kui vajate liidese arvu.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Korrake mõõtmist serveri avaliku aadressi vastu väljastpoolt tunnelit. Kui suured mõõtmised ebaõnnestuvad ka seal, asub piir teel serverini ja ükski tunneli valik ei liiguta seda. See võrdlus säästab teid kliendi timmimisest, mis polnud kunagi probleem. Kirjutage mõlemad tulemused üles enne konfiguratsioonifaili avamist.

mssfix ja fragment teevad erinevat tööd

mssfix piirab segmendi suurust, mida tunnelisisesed TCP-ühendused oma kätlemise ajal teatavad. See on õige hoob SSH, HTTPS-i ja failikopeerimise jaoks, mistõttu seisak kaob sageli kohe, kui see on seatud. See ei puuduta UDP kasulikku koormust üldse.

Tunnel, mis kannab ka UDP-teenust, võib pärast SSH parandamist edasi ebaõnnestuda, ja see tulemus ajab segadusse igaühe, kes eeldab, et üks valik katab kõik.

fragment on teine mehhanism ja teine tööriist. See tükeldab ülemõõdulised paketid enne kapseldamist, kehtib ainult UDP-transpordi puhul, lisab datagrammi kohta üldkulutusi ja on dokumenteeritud viimase abinõuna katkise avastamise korral. Mõlemad seaded peavad tunnelit lõpetavatel partneritel kokku langema. Kui üks ots piirab ja teine tükeldab, tekivad logihoiatused ja käitumine, mida keegi failide põhjal ennustada ei suuda.

Liidese MTU langetamine on jäme valik

Liidese MTU vähendamine mõlemas otsas on jäme tööriist. See ütleb igale sisemisele saatjale väiksema arvu, mis töötab, ja paneb selle kulu kogu liiklusele, mitte neile TCP voogudele, mis seda vajavad.

Valige see, kui tunnel kannab liiklust, mida te ei saa piirata, või kui klient on seade, mille profiili te ei kontrolli. Rakendage seda sümmeetriliselt ja kirjutage väärtus profiili kõrvale. Pooleldi rakendatud muudatus on hullem kui mitte ükski, sest see näeb välja nagu parandus.

Testige uuesti selle ülekandega, mis kinni jäi

Ühenduge uuesti, et seaded laaditaks, avage värske ühendus ja korrake käsku, mis külmus. Segmendi suurus lepitakse kokku kätlemise ajal, seega pärast taasühendust ellu jäänud sessioon kannab endiselt vana väärtust. Ping on siin halb test, sest kogu rike ongi selles, et väikesed paketid lähevad läbi. Kasutage seda loendit, allalaadimist või kleepimist, mis katki läks.

Kui seisak püsib väiksema suuruse juures, vaadake mujale: olekut säilitav tulemüür, mis voo aegub, dubleeritud aadress või marsruut, mis taasühendamisel nihkub. Kirjutage üles mõõtmise suurus, mis ebaõnnestus, ja seade, mida muutsite, sest just see paar teeb järgmise aruande kasulikuks.