SSH hinget oer OpenVPN? Mjit earst de paad-MTU

SSH ferbynt, de prompt ferskynt, en de sesje stjert sadree't in opdracht eat grutts weromstjoert. Echo wurket noch even, dan ferrint de ferbining wylst de klant de tunnel noch as oan wiist. In sesje dy't sûn is oant data oankomme, rekket meastentiids in grins foar grutte ynstee fan in defekt yn SSH. De kontrôles hjirûnder binne sa oardere dat de goedkeapste ferklearring earst útsletten wurdt.

Lês de foarm fan de flater foardat jo it profyl oanreitsje

Lytse pakketten komme troch en folsleine net. In prompt, in banner of ien toetsoanslagger past maklik; in mappylist, in download of in plakt blok net. De grutte wêrop't it gedrach feroaret is de oanwizing, net it feit dat SSH it programma is.

It meganisme is it ûntdekken fan de paad-MTU, dat fan weromkeppeling ôfhinklik is. TCP kiest in segmintgrutte, en as in router ûnderweis it ûntstiene pakket net trochjaan kin, heart er dat mei in ICMP-berjocht te sizzen. Ynkapseling makket it bûtenste pakket grutter as it binnenste, dus de brûkbere grutte yn in tunnel bliuwt altyd ûnder de fysike keppeling. Filterje dy ICMP-berjochten earne en de stjoerder krijt nea de korreksje, bliuwt folsleine segminten stjoere, en it bûtenste pakket wurdt sûnder warskôging weilitten.

Mjit it plafond fan beide kanten

Fergelykje de MTU fan 'e tunnel mei de fysike keppeling foardat jo ien fan beide feroarje. In tunnel dy't de fysike wearde kopiearre hat, hat jo al sein wêr't de ôfwiking sit.

Probe fanút de tunnel mei in fersyk dat fragmintaasje ferbiedt, en ferleegje de lading oant antwurden weromkomme. It grutte-argumint telt allinnich de lading, dus it wurkjende getal bliuwt altyd ûnder de interface-MTU. Foegje de kopgruttes wer ta as jo it interface-getal nedich hawwe.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Werhelje de probe tsjin it iepenbiere adres fan de tsjinner fan bûten de tunnel. As grutte probes dêr ek mislearje, sit de grins op it paad nei de tsjinner en gjin tunnelopsje sil it ferpleatse. Dy fergeliking bewarret jo fan it bytunen fan in klant dy't nea it probleem wie. Skriuw beide resultaten op foardat jo in konfiguraasjebestân iepenje.

mssfix en fragment dogge ferskillend wurk

mssfix beheint de segmintgrutte dy't TCP-ferbiningen yn de tunnel by harren hânskwiskjen oankundigje. It is de goede hefboom foar SSH, HTTPS en bestânskopyen, en dêrom ferdwynt it hingjen faak sadree't it ynsteld is. It rekket UDP-ladingen hielendal net oan.

In tunnel dy't ek in UDP-tsjinst draacht, kin nei it reparearjen fan SSH noch mislearje, en dat resultaat ferbjusteret elkenien dy't oannimt dat ien opsje alles dekt.

fragment is it oare meganisme en in oar ark. It splitst te grutte pakketten foar ynkapseling, jildt allinnich foar UDP-ferfier, foeget oerhead per datagram ta en is dokumintearre as lêste middel by brutsen ûntdekking. Beide ynstellingen moatte oerienkomme by de pearen dy't de tunnel beëinigje. Ien kant beheint wylst de oare fragmintearret, en dat jout warskôgingen yn it log en gedrach dat nimmen út de bestannen foarsizze kin.

De interface-MTU ferleegje is de rûge opsje

De interface-MTU oan beide kanten ferleegje is it rûge ark. It seit tsjin elke binnenste stjoerder in lytser getal, wat wurket, en it rekkenet dy kosten oan al it ferkear ynstee fan oan 'e TCP-streamen dy't it nedich hawwe.

Kies it as de tunnel ferkear draacht dat jo net beheine kinne, of as de klant in apparaat is wêrfan't jo it profyl net kontrolearje. Pas it symmetrysk ta en skriuw de wearde njonken it profyl. In heal tapaste feroaring is minner as gjinien, want it liket op in reparaasje.

Test op 'e nij mei de oerdracht dy't hong

Ferbyn jo op 'e nij sadat de ynstellingen lade, iepenje in nije ferbining en werhelje it kommando dat beferzen. Segmintgrutte wurdt by it hânskwiskjen ûnderhannele, dus in sesje dy't de werferbining oerlibbe hat, draacht noch de âlde wearde. In ping is hjir in minne test, want de hiele flater is dat lytse pakketten trochkomme. Brûk de list, de download of it plakken dat brutsen is.

As it hingjen by in lytsere grutte oanhâldt, sjoch earne oars: in firewall mei steat dy't de stream ferrinne lit, in dûbel adres, of in rûte dy't by werferbining ferskoot. Skriuw de probegrutte dy't mislearre en de ynstelling dy't jo feroare hawwe op, want dat pear makket it folgjende rapport nuttich.