Windows L2TP laden guon siden: wiskje it DF-bit op pfSense

De laptop ferbynt, it yntranet laden, en in hantsjefol iepenbiere siden hinget. Autentikaasje en routing wurkje dúdlik, wat pakketgrutte as ferklearring oerlit. Yn in L2TP/IPsec-tunnel is de brûkbere MTU lytser as wat de adapter noch oankundiget, en de klant bliuwt folsleine pakketten stjoere mei it net-fragmintearje-bit set. In pfSense-gateway kin opdracht krije dat bit te wiskjen, en dat is de fluchste manier om de diagnoaze te befêstigjen foar’t dy goed reparearre wurdt.

Begjin by de siden dy’t mislearje

Notearje hokker bestimmingen mislearje en hokker slagje foar’t jo ea in ynstelling oanreitsje. Hânskodden dy’t ûnder de tunnelgrins bliuwe, wurde normaal foltôge, wylst oerdrachten dy’t in folslein segmint nedich hawwe, healwei stûkje. Dy splitsing is de hantekening fan in grutteprobleem en net fan in filter, om’t in blokkearre bestimming by it opbouwen fan ’e ferbining mislearret en net midden op ’e side. Beide waarnimmingen kostje neat en ferfynje it sykjen daliks.

Test mei in ping dy’t it bit set en de grutte fan ’e lading regelet. De grutste lading dy’t oerlibbet fertelt jo de echte paad-MTU, en de oankundige wearde fan ’e adapter lit sjen hoe fier dy twa útinoar lizze.

Skriuw beide getallen op. De reparaasje hinget derfan ôf hokker ferkeard is, en it pear is wat in opname letter befêstiget.

Wat it DF-bit op ’e útgong docht

Ynkapseling is de reden dat de getallen ferskille. IPsec foeget ESP ta, L2TP foeget noch in kop ta, en dêrtroch draacht de tunnel minder lading as de fysike keppeling. Windows meldt noch hieltyd 1500 bytes op ’e adapter en set net-fragmintearje op wat it stjoert. As sa’n pakket net past, is it krekte antwurd fan ’e gateway in ICMP-berjocht dat de stjoerder freget te krimpen. Dêrom kin in tunnel dy’t lytse pings trochlit, dochs in bestânsdownload mislearje litte.

Dat berjocht komt faak nea oan. In hop kin ICMP filterje, of neat generearret it, en de stjoerder werhellet deselde grutte oant de oerdracht it opjout.

Stilte is hjir de normale presintaasje, dêrom wurdt it symptoom lêzen as selektive blokkearring. Neat yn it klantlogboek registrearret in ûntbrekkend ICMP-berjocht.

De pfSense-opsje, en wat dy net docht

De opsje stiet op ’e side Systeem, Avansearre, Firewall en NAT, mei it label «Unjildige DF-bitsen wiskje ynstee fan de pakketten te fallen». Ynstee fan in te grut pakket mei de flagge fuort te smiten, hellet it filter de flagge fuort en lit it pakket fierderop spjalte. In pakket jildt as unjildich as it de útgongsinteface net yn ien stik oerstekke kin.

De opsje herstelt ferbining sûnder de klant oan te reitsjen, dêrom is it populêr. It is ek in omwei: fragmintaasje kostet CPU en makket elk ferlern fragmint djoerder.

It jildt allinnich foar trochstjoerd ferkear, net foar ferkear dat de firewall sels makket. Deselde side biedt «Firewall-skrubjen útskeakelje», wat normalisaasje folslein útskeakelet, en dat is in folle bredere feroaring as dit probleem nedich hat.

In smeller reparaasje dy’t TCP net fragmintearre hâldt

Suver alle fêstrûne streamen binne TCP, en TCP kin in lytser segmint ûnderhannelje ynstee fan op fragmintaasje te fertrouwen. It beheinen fan MSS op ’e tunnelinteface skriuwt de oankundige wearde oer by it hânskodden, sadat elke kant stjoert wat echt past. It paad gedraacht him dan foarsisber en gjin pakket hoecht spjalte te wurden.

Dat lit UDP oan ûntdekking of oan ’e DF-opsje oer. As de mislearjende siden gewoane websiden binne, is de beheining de feroaring om foar te kiezen.

De klant kin syn eigen adapter-MTU melde fia netsh interface ipv4 show subinterfaces. Ferlykje dat getal mei wat de tsjinner tinkt dat ûnderhannele is, om’t de twa net altyd itselde binne. Dy wearde is dejinge dy’t it bestjoeringssysteem echt brûke sil, wat de ûnderhanneling ek melde.

Befêstigje mei in opname en set dan de steat werom

Nim oan beide kanten op foar’t jo beslute: ien spoar wêr’t de tunnel rint, in oar wêr’t de WAN-inteface rint. Pakketten dy’t op folsleine grutte fuortgeane sûnder weromkommende ICMP wize op ’e beheining as de krekte laach. Antwurden dy’t oankomme en dan op ’e weromwei stjerre, wize ynstee op ’e tunnel-MTU.

Wiskje de steattabel foar’t jo it wer besykje, om’t besteande streamen har âlde segmintgrutten hâlde. Laad dan de side dy’t mislearre en lês de steatwerjefte foar twarjochtingferkear ynstee fan iensidige tellers. As it noch stûket, nim dan wer op ynstee fan noch in oanfinkfakje te besykjen.