O ping da VPN funciona pero a web colga: comprobe o tamaño

Chegan as respostas de eco, o escritorio remoto funciona e o navegador queda nunha páxina en branco ata que se rende. Dúas explicacións encaixan con ese patrón, e non son variantes dun mesmo problema: unha política que nunca permitiu o servizo, ou paquetes que deixan de caber cando medra a transferencia. A resposta de eco non descarta ningunha das dúas.

Vaia da pregunta máis pequena á máis grande e anote que demostrou realmente cada paso.

Unha resposta de eco contesta unha pregunta moito máis pequena

Unha resposta de eco di que a pila IP do destino contestou unha petición ICMP do seu orixe. Non di nada sobre se existe un oínte TCP no porto que necesita, se unha política permite ese porto ou se o host de destino filtra o tráfico con independencia da pasarela. Unha pasarela que permite un servizo pode descartar outro mentres ambos os obxectivos responden ao ping. Lea a resposta como un só feito sobre un só paquete e unha soa dirección.

Confirme o destino e o porto do servizo antes de interpretar calquera outra cousa. O enderezo que probou e o enderezo que usa a aplicación ás veces son rexistros distintos, e un nome que se resolve en dous enderezos fai que iso sexa probable.

Averigüe se a conexión comezou

Unha conexión rexeitada de inmediato é unha resposta do oínte ou da política: algo contestou e dixo que non. Unha conexión que se abre e logo se atasca cando os datos comezan a moverse apunta ao tamaño. Unha conexión que nunca completa o apretón de mans adoita deberse á política ou ao encamiñamento, e parece un tempo de espera máis que un rexeitamento.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Anote cal deses tres casos observou antes de tocar os axustes de MTU. Cambiar o tamaño do túnel para arranxar unha conexión rexeitada desperdicia o cambio e oculta a causa real durante un tempo.

Mida o tamaño cun número declarado

Cando o atasco aparece baixo carga, probe un tamaño de paquete co bit de non fragmentar activado e expoña a aritmética para que o resultado signifique algo. En Linux con iputils, unha carga útil de 1392 bytes máis a cabeceira ICMP de 8 bytes e a cabeceira IPv4 de 20 bytes produce un paquete interno de exactamente 1420 bytes. Expoña esa aritmética no tícket, porque un ping espido que chega á pasarela non demostra nada sobre unha aplicación.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Ambas as sondas son puntos de medida, non recomendacións de tamaño do túnel. Se se filtra ICMP nalgún punto do camiño, un tempo de espera non lle di nada sobre o tamaño, porque o filtrado e un paquete demasiado grande vense iguais desde o cliente. Un éxito tampouco di nada sobre a dirección inversa nin sobre outro destino.

Conte o camiño exterior

A encapsulación engade as súas propias cabeceiras, así que o paquete no cabo é maior que o paquete que mediu dentro do túnel. A diferenza entre ambos é o que fai posible ao mesmo tempo unha petición pequena que funciona e unha grande que falla.

O descubrimento da MTU do camiño en IPv4 depende da realimentación sobre paquetes que non se poden reenviar sen fragmentación, e IPv6 usa mensaxes Packet Too Big. A especificación IPv4 describe ese mecanismo. Filtrar a realimentación rompe a capacidade do emisor de aprender e déixao retransmitindo paquetes que nunca caberán. Por iso unha petición pequena que funciona e unha grande que falla conviven tan comodamente.

Cambie un número e volva probar a aplicación

Baixe a MTU do túnel ou limite o tamaño máximo de segmento para TCP, e despois repita a proba orixinal da aplicación en lugar da sonda. Unha sonda que ten éxito tras o cambio e unha aplicación que segue colgada son un problema distinto cunha forma parecida, e só a proba da aplicación os distingue.

Manteña a aritmética no rexistro do cambio: o tamaño medido, a sobrecarga que supuxo e o valor que fixou. Quen o revise máis adiante poderá comprobar a suposición en lugar de volver deducila dunha captura de pantalla dun ping.

Se a aplicación funciona con todos os tamaños que probou, deixe de axustar números e mire a política que separa o servizo que funciona do que falla.