Windows L2TPek gune batzuk kargatzen ditu: garbitu DF bita pfSense-n

Ordenagailu eramangarria konektatzen da, intraneta kargatzen da, eta gune publiko batzuk trabatzen dira. Autentifikazioak eta bideratzeak argi funtzionatzen dute, eta horrek paketearen tamaina uzten du azalpen gisa. L2TP/IPsec tunel batean erabil daitekeen MTUa txikiagoa da adaptadoreak oraindik iragartzen duena baino, eta bezeroak tamaina osoko paketeak bidaltzen jarraitzen du «ez zatitu» bita ezarrita. pfSense atebide bati bit hori garbitzeko agindu dakioke, eta hori da diagnostikoa berresteko modurik azkarrena behar bezala konpondu aurretik.

Huts egiten duten orrialdeekin hasi

Edozein ezarpen ukitu aurretik, idatzi zein helmugak huts egiten duten eta zeinek funtzionatzen duten. Tunelaren mugaren azpitik geratzen diren esku-emanak normaltasunez osatzen dira, tamaina osoko segmentua behar duten transferentziak, berriz, erdibidean geratzen dira. Bereizketa hori tamainaren arazoaren ezaugarria da, ez iragazkiarena, helmuga blokeatu bat konexioa ezartzean huts egiten duelako, ez orrialdearen erdian. Bi behaketek ez dute ezer kostatzen eta bilaketa berehala estutzen dute.

Proba ezazu bita ezartzen duen eta karga erabilgarriaren tamaina kontrolatzen duen ping batekin. Bizirik irauten duen karga handienak bidearen benetako MTUa adierazten dizu, eta adaptadorearen iragarritako balioak biak zenbat urrun dauden erakusten du.

Idatzi bi zenbakiak. Konponketak zein oker dagoen araberakoa da, eta bikotea da kaptura batek geroago berresten duena.

Zer egiten du DF bitak irteeran

Kapsulatzea da zenbakiek desberdinak izatearen arrazoia. IPsec-ek ESP gehitzen du, L2TPk beste goiburu bat gehitzen du, eta beraz tunelak esteka fisikoak baino karga erabilgarri gutxiago darama. Windows-ek oraindik 1500 byte iragartzen ditu adaptadoreko, eta bidaltzen duenari «ez zatitu» jartzen dio. Halako pakete bat sartzen ez denean, atebidearen erantzun zuzena bidaltzaileari txikitzeko eskatzen dion ICMP mezua da. Horregatik, ping txikiak pasatzen dituen tunel batek fitxategi deskarga bat hutsarazi dezake oraindik.

Mezu hori askotan ez da inoiz iristen. Jauzi batek ICMP iragazi dezake, edo ezerk ez du sortzen, eta bidaltzaileak tamaina bera errepikatzen du transferentziak amore eman arte.

Isiltasuna da hemen ohiko aurkezpena, eta horregatik sintoma blokeatze selektibo gisa irakurtzen da. Bezeroaren erregistroan ez dago ICMP mezu bat falta denik jasotzen duenik.

pfSense aukera, eta zer ez duen egiten

Aukera Sistema, Aurreratua, Suhorma eta NAT orrialdean dago, «Baliogabeko DF bitak garbitu paketeak bota ordez» etiketarekin. Bandera daraman pakete handiegia botaz, iragazkiak bandera kentzen dio eta paketea beherago zatitzen uzten du. Pakete bat baliogabea da irteerako interfazea zati bakarrean zeharka ezin duenean.

Aukerak konektibitatea berreskuratzen du bezeroa ukitu gabe, eta horregatik da ezaguna. Konponbidea ere bada: zatiketak CPUa kostatzen du eta galdutako zati bakoitza garestiagoa egiten du.

Birbidalitako trafikoari soilik aplikatzen zaio, suhormak berak sortzen duen trafikoari ez. Orrialde berak «Desgaitu suhormaren garbiketa» eskaintzen du, normalizazioa guztiz itzaltzen duena, eta hori arazo honek behar duena baino aldaketa askoz zabalagoa da.

TCP zatitu gabe mantentzen duen konponketa estuagoa

Trabatutako fluxu ia guztiak TCP dira, eta TCPk segmentu txikiagoa negozia dezake zatiketan oinarritu ordez. Tunelaren interfazean MSS mugatzeak iragarritako balioa berridazten du esku-emanean, eta horrela alde bakoitzak benetan sartzen dena bidaltzen du. Bideak orduan modu aurreikusgarrian jokatzen du eta ez da paketerik zatitu behar.

Horrek UDPa aurkikuntzari edo DF aukerari uzten dio. Huts egiten duten guneak web orrialde arruntak badira, muga da lehenetsi beharreko aldaketa.

Bezeroak bere adaptadorearen MTUa jakinaraz dezake netsh interface ipv4 show subinterfaces erabiliz. Alderatu kopuru hori zerbitzariak negoziatutzat jotzen duenarekin, biak ez baitira beti berdinak. Balio hori da sistema eragileak benetan erabiliko duena, negoziazioak zer jakinarazi zuen ere.

Berretsi kaptura batekin eta gero berrezarri egoera

Kapturatu bi aldeetan erabaki aurretik: arrasto bat tunela doan tokian, beste bat WAN interfazea doan tokian. Tamaina osoan irteten diren paketeek ICMP itzuli gabe muga seinalatzen dute geruza zuzen gisa. Iristen diren eta itzuleran hiltzen diren erantzunek tunelaren MTUa seinalatzen dute, berriz.

Garbitu egoera taula berriro saiatu aurretik, lehendik dauden fluxuek beren segmentu tamaina zaharrak gordetzen baitituzte. Gero kargatu huts egin zuen orrialdea eta irakurri egoeren ikuspegia norabide biko trafikorako, alde bakarreko kontagailuen ordez. Oraindik trabatzen bada, kapturatu berriro beste kontrol-lauki bat probatu ordez.