Windows L2TP carga algúns sitios: borra o bit DF en pfSense

O portátil conéctase, a intranet carga e unha manchea de sitios públicos colgan. A autenticación e o encamiñamento funcionan con claridade, o que deixa o tamaño do paquete como explicación. Nun túnel L2TP/IPsec a MTU utilizábel é menor do que o adaptador aínda anuncia, e o cliente segue enviando paquetes de tamaño completo co bit de non fragmentar activado. Pódese ordenar a unha pasarela pfSense que borre ese bit, e esa é a forma máis rápida de confirmar o diagnóstico antes de arranxalo ben.

Comeza polas páxinas que fallan

Anota que destinos fallan e cales funcionan antes de tocar ningún axuste. Os apertos de man que quedan por debaixo do límite do túnel complétanse con normalidade, mentres que as transferencias que precisan un segmento de tamaño completo atáscanse a metade de camiño. Esa división é a sinatura dun problema de tamaño e non dun filtro, porque un destino bloqueado falla ao establecer a conexión e non a metade da páxina. As dúas observacións non custan nada e estreitan a busca de inmediato.

Proba cun ping que active o bit e controle o tamaño da carga útil. A carga útil máis grande que sobrevive diche a MTU real da ruta, e o valor anunciado do adaptador mostra a que distancia están os dous.

Anota os dous números. A corrección depende de cal está mal, e o par é o que unha captura confirmará máis adiante.

Que fai o bit DF na saída

A encapsulación é a razón de que os números difiran. IPsec engade ESP, L2TP engade outra cabeceira, e por iso o túnel transporta menos carga útil que a ligazón física. Windows segue informando de 1500 bytes no adaptador e activa o non fragmentar no que envía. Cando un paquete así non cabe, a resposta correcta da pasarela é unha mensaxe ICMP que lle pide ao emisor que se reduza. Por iso un túnel que pasa pings pequenos pode fallar igualmente ao descargar un ficheiro.

Esa mensaxe moitas veces nunca chega. Algún salto pode filtrar ICMP, ou nada o xera, e o emisor repite o mesmo tamaño ata que a transferencia se rende.

O silencio é a presentación normal aquí, por iso o síntoma se le como un bloqueo selectivo. Nada no rexistro do cliente anota unha mensaxe ICMP ausente.

A opción de pfSense, e o que non fai

A opción está na páxina Sistema, Avanzado, Devasa e NAT, coa etiqueta «Borrar os bits DF non válidos en lugar de descartar os paquetes». En vez de descartar un paquete demasiado grande que leva a marca, o filtro quita a marca e deixa que o paquete se divida máis abaixo. Un paquete conta como non válido cando non pode cruzar a interface de saída dunha soa peza.

A opción restaura a conectividade sen tocar o cliente, por iso é popular. Tamén é un parche: a fragmentación custa CPU e fai máis caro cada fragmento perdido.

Aplícase só ao tráfico reenviado, non ao tráfico que orixina o propio devasa. A mesma páxina ofrece «Desactivar a limpeza do devasa», que apaga a normalización por completo, e iso é un cambio moito máis amplo do que necesita este problema.

Unha corrección máis estreita que mantén TCP sen fragmentar

Case todos os fluxos atascados son TCP, e TCP pode negociar un segmento máis pequeno en vez de depender da fragmentación. Limitar o MSS na interface do túnel reescribe o valor anunciado durante o aperto de man, de xeito que cada lado envía o que realmente cabe. A ruta compórtase entón de forma previsible e ningún paquete precisa dividirse.

Iso deixa UDP ao descubrimento ou á opción DF. Cando os sitios que fallan son páxinas web correntes, o límite é o cambio que cómpre preferir.

O cliente pode informar da súa propia MTU de adaptador mediante netsh interface ipv4 show subinterfaces. Compara esa cifra coa que o servidor cre que negociou, porque as dúas non sempre coinciden. Ese valor é o que o sistema operativo usará realmente, diga o que diga a negociación.

Confirma cunha captura e despois restablece o estado

Captura nos dous lados antes de decidir: un rastro onde vai o túnel e outro onde vai a interface WAN. Os paquetes que saen a tamaño completo sen ICMP que volva sinalan o límite como a capa correcta. As respostas que chegan e logo morren á volta sinalan en cambio a MTU do túnel.

Baleira a táboa de estados antes de reintentar, porque os fluxos existentes conservan os seus tamaños de segmento antigos. Despois carga a páxina que fallou e le a vista de estados para o tráfico bidireccional en lugar de contadores dun só lado. Se aínda se atasca, captura de novo en vez de probar outra caixa.