Windows L2TP laeb vaid mõned saidid: kustuta pfSense'is DF-bitt

Sülearvuti ühendub, sisevõrk laeb ja käputäis avalikke saite jääb kinni. Autentimine ja marsruutimine töötavad selgelt, mis jätab seletuseks paketi suuruse. L2TP/IPsec tunnelis on kasutatav MTU väiksem, kui adapter veel teatab, ja klient saadab edasi täissuuruses pakette, millel on seatud «ära fragmentdi» bitt. pfSense-lüüsile saab käskida selle biti kustutada ja see on kiireim viis diagnoosi kinnitamiseks enne korralikku parandamist.

Alusta lehtedest, mis ei avane

Enne mis tahes seade puutumist pane kirja, millised sihtkohad ei toimi ja millised toimivad. Tunnelipiirist allapoole jäävad kätlused lõpevad tavaliselt, samas kui täissuuruses segmenti vajavad ülekanded takerduvad poolel teel. See lõhe on suuruse, mitte filtri probleemi tunnus, sest blokeeritud sihtkoht ebaõnnestub ühenduse loomisel, mitte lehe keskel. Mõlemad tähelepanekud ei maksa midagi ja kitsendavad otsingut kohe.

Kontrolli pingiga, mis seab biti ja juhib kandevõime suurust. Suurim kandevõime, mis läbi läheb, ütleb tegeliku tee MTU ja adapteri teatatud väärtus näitab, kui kaugel need kaks on.

Kirjuta mõlemad numbrid üles. Parandus sõltub sellest, kumb on vale, ja paari kinnitab hiljem salvestus.

Mida DF-bitt väljaminekul teeb

Numbrite erinevuse põhjus on kapseldamine. IPsec lisab ESP, L2TP lisab veel ühe päise ja seetõttu kannab tunnel vähem kandevõimet kui füüsiline link. Windows teatab adapteril endiselt 1500 baiti ja seab saadetavale «ära fragmentdi». Kui selline pakett ei mahu, on lüüsi õige vastus ICMP teade, mis palub saatjal kahaneda. Seetõttu võib väikseid pingisid läbiv tunnel ikkagi failida faili allalaadimisel.

See teade ei jõua sageli kunagi kohale. Mõni hüpe võib ICMP-d filtreerida või ei tekita seda miski, ja saatja kordab sama suurust, kuni ülekanne alla annab.

Vaikus on siin tavaline esitus, mistõttu sümptomit loetakse valikulise blokeerimisena. Kliendi logis ei registreeri miski puuduvat ICMP teadet.

pfSense'i valik ja mida see ei tee

Valik asub lehel Süsteem, Täpsem, Tulemüür ja NAT, sildiga «Kustuta kehtetud DF-bitid pakettide kõrvaleheitmise asemel». Selle asemel et visata ära liiga suur lippu kandev pakett, eemaldab filter lipu ja laseb paketil allavoolu jaguneda. Pakett loetakse kehtetuks, kui see ei suuda väljuvat liidest ühes tükis läbida.

Valik taastab ühenduse klienti puutumata, mistõttu on see populaarne. See on ka ajutine lahendus: fragmenteerimine maksab CPU-d ja teeb iga kadunud fragmendi kallimaks.

See kehtib ainult edastatava liikluse kohta, mitte liikluse kohta, mille tulemüür ise loob. Sama leht pakub «Keela tulemüüri puhastus», mis lülitab normaliseerimise täielikult välja, ja see on palju laiem muudatus, kui see probleem vajab.

Kitsam parandus, mis hoiab TCP fragmenteerimata

Peaaegu kõik takerdunud vood on TCP ja TCP suudab läbi rääkida väiksema segmendi, selle asemel et fragmenteerimisele loota. MSS-i piiramine tunneli liidesel kirjutab kätluse ajal teatatud väärtuse üle, nii et kumbki pool saadab selle, mis tegelikult ära mahub. Tee käitub siis ettearvatavalt ja ühtegi paketti ei pea jagama.

See jätab UDP avastamise või DF-valiku hooleks. Kui ebaõnnestuvad saidid on tavalised veebilehed, on piiramine see muudatus, mida eelistada.

Klient saab oma adapteri MTU-st teatada käsu netsh interface ipv4 show subinterfaces kaudu. Võrdle seda arvu sellega, mida server arvab kokku lepituks, sest need kaks ei ole alati samad. Just seda väärtust operatsioonisüsteem tegelikult kasutab, ükskõik mida läbirääkimine teatas.

Kinnita salvestusega ja lähtesta seejärel olek

Salvesta mõlemal poolel enne otsustamist: üks jälg seal, kus tunnel töötab, teine seal, kus töötab WAN-liides. Täissuuruses väljuvad paketid, millele ICMP ei vasta, osutavad piiramisele kui õigele kihile. Vastused, mis saabuvad ja surevad tagasiteel, osutavad seevastu tunneli MTU-le.

Tühjenda olekutabel enne uut katset, sest olemasolevad vood hoiavad vanu segmendisuurusi. Seejärel laadi leht, mis ebaõnnestus, ja loe olekuvaadet kahesuunalise liikluse jaoks, mitte ühepoolsed loendurid. Kui see ikka takerdub, salvesta uuesti, selle asemel et proovida veel üht märkeruutu.