Windows L2TP برخی سایت‌ها را بارگذاری می‌کند: بیت DF را روی pfSense پاک کنید

لپ‌تاپ متصل می‌شود، شبکه داخلی بارگذاری می‌شود و چند سایت عمومی گیر می‌کنند. احراز هویت و مسیریابی آشکارا کار می‌کنند، و همین اندازه بسته را به عنوان توضیح باقی می‌گذارد. در تونل L2TP/IPsec مقدار MTU قابل استفاده کوچک‌تر از چیزی است که آداپتور هنوز اعلام می‌کند، و کارخواه همچنان بسته‌های تمام‌اندازه را با بیت «تجزیه نکن» روشن می‌فرستد. می‌توان به دروازه pfSense دستور داد آن بیت را پاک کند، و این سریع‌ترین راه تأیید تشخیص پیش از اصلاح درست آن است.

با صفحه‌هایی شروع کنید که شکست می‌خورند

پیش از دست زدن به هر تنظیمی، یادداشت کنید کدام مقصدها شکست می‌خورند و کدام موفق می‌شوند. دست‌دادن‌هایی که زیر حد تونل می‌مانند به‌طور عادی کامل می‌شوند، در حالی که انتقال‌هایی که به یک قطعه تمام‌اندازه نیاز دارند در میانه راه متوقف می‌شوند. این شکاف نشانه مشکل اندازه است نه فیلتر، زیرا مقصد مسدود در زمان برقراری اتصال شکست می‌خورد نه در میانه صفحه. هر دو مشاهده هیچ هزینه‌ای ندارند و جست‌وجو را فوراً باریک می‌کنند.

با یک ping که بیت را تنظیم می‌کند و اندازه بار مفید را کنترل می‌کند آزمایش کنید. بزرگ‌ترین باری که جان سالم به در می‌برد MTU واقعی مسیر را به شما می‌گوید، و مقدار اعلام‌شده آداپتور نشان می‌دهد این دو چقدر فاصله دارند.

هر دو عدد را بنویسید. اصلاح به این بستگی دارد که کدام اشتباه است، و همین جفت است که بعداً یک ضبط تأییدش می‌کند.

بیت DF در مسیر خروج چه می‌کند

دلیل تفاوت اعداد کپسوله‌سازی است. IPsec سرآیند ESP را اضافه می‌کند، L2TP سرآیند دیگری اضافه می‌کند، و در نتیجه تونل بار مفید کمتری از پیوند فیزیکی حمل می‌کند. Windows هنوز 1500 بایت را روی آداپتور گزارش می‌دهد و روی آنچه می‌فرستد «تجزیه نکن» می‌گذارد. وقتی چنین بسته‌ای جا نمی‌شود، پاسخ درست دروازه پیام ICMP است که از فرستنده می‌خواهد کوچک‌تر شود. به همین دلیل تونلی که pingهای کوچک را عبور می‌دهد باز هم می‌تواند دانلود یک فایل را شکست دهد.

این پیام اغلب هرگز نمی‌رسد. ممکن است یک گام ICMP را فیلتر کند، یا هیچ چیز آن را تولید نکند، و فرستنده همان اندازه را تکرار می‌کند تا انتقال تسلیم شود.

سکوت در اینجا ارائه عادی است، و به همین دلیل نشانه به‌صورت مسدودسازی گزینشی خوانده می‌شود. هیچ چیز در گزارش کارخواه پیام ICMP گمشده را ثبت نمی‌کند.

گزینه pfSense، و کاری که نمی‌کند

این گزینه در صفحه سیستم، پیشرفته، دیوار آتش و NAT قرار دارد با برچسب «پاک کردن بیت‌های DF نامعتبر به جای انداختن بسته‌ها». فیلتر به جای دور انداختن بسته بیش‌ازحد بزرگ که پرچم را دارد، پرچم را برمی‌دارد و می‌گذارد بسته در پایین‌تر تقسیم شود. بسته وقتی نامعتبر شمرده می‌شود که نتواند رابط خروجی را در یک تکه رد کند.

این گزینه اتصال را بدون دست زدن به کارخواه بازمی‌گرداند، و به همین دلیل محبوب است. همچنین یک راه‌حل موقت است: تقسیم هزینه پردازنده دارد و هر قطعه گمشده را گران‌تر می‌کند.

فقط برای ترافیک ارسال‌شده اعمال می‌شود، نه ترافیکی که خود دیوار آتش ایجاد می‌کند. همان صفحه «غیرفعال کردن پاکسازی دیوار آتش» را پیشنهاد می‌کند که عادی‌سازی را کاملاً خاموش می‌کند، و این تغییری بسیار گسترده‌تر از نیاز این مشکل است.

اصلاحی باریک‌تر که TCP را بدون تقسیم نگه می‌دارد

تقریباً همه جریان‌های متوقف‌شده TCP هستند، و TCP می‌تواند به جای تکیه بر تقسیم، روی قطعه کوچک‌تر توافق کند. محدود کردن MSS روی رابط تونل مقدار اعلام‌شده را در طول دست‌دادن بازنویسی می‌کند، تا هر طرف آنچه واقعاً جا می‌شود بفرستد. مسیر سپس به‌طور قابل پیش‌بینی رفتار می‌کند و هیچ بسته‌ای نیاز به تقسیم ندارد.

این کار UDP را به کشف یا به گزینه DF می‌سپارد. وقتی سایت‌های شکست‌خورده صفحه‌های وب معمولی هستند، همان محدودسازی تغییری است که باید ترجیح داد.

کارخواه می‌تواند MTU آداپتور خودش را از طریق netsh interface ipv4 show subinterfaces گزارش دهد. آن عدد را با آنچه سرور فکر می‌کند توافق شده مقایسه کنید، زیرا این دو همیشه یکسان نیستند. همان مقدار است که سیستم‌عامل واقعاً استفاده خواهد کرد، هر چه مذاکره گزارش کرده باشد.

با یک ضبط تأیید کنید، سپس وضعیت را بازنشانی کنید

پیش از تصمیم‌گیری در هر دو طرف ضبط کنید: یک رد در جایی که تونل می‌رود و دیگری در جایی که رابط WAN می‌رود. بسته‌هایی که با اندازه کامل خارج می‌شوند و ICMP برنمی‌گردد، محدودسازی را به عنوان لایه درست نشان می‌دهند. پاسخ‌هایی که می‌رسند و بعد در راه بازگشت می‌میرند، در عوض MTU تونل را نشان می‌دهند.

پیش از تلاش دوباره جدول وضعیت را پاک کنید، زیرا جریان‌های موجود اندازه‌های قطعه قدیمی خود را نگه می‌دارند. سپس صفحه‌ای را که شکست خورده بارگذاری کنید و نمای وضعیت‌ها را برای ترافیک دوسویه بخوانید نه شمارنده‌های یک‌طرفه. اگر باز هم متوقف شد، دوباره ضبط کنید به جای امتحان یک کادر دیگر.