Windows L2TP कुछ साइटें लोड करता है: pfSense पर DF बिट साफ़ करें

लैपटॉप जुड़ता है, इंट्रानेट लोड होता है, और कुछ सार्वजनिक साइटें अटक जाती हैं। प्रमाणीकरण और रूटिंग स्पष्ट रूप से काम कर रहे हैं, जिससे पैकेट के आकार को व्याख्या के रूप में छोड़ दिया जाता है। L2TP/IPsec टनल में उपलब्ध MTU उससे छोटा है जो अडैप्टर अब भी घोषित करता है, और क्लाइंट «विखंडित न करें» बिट सेट करके पूर्ण आकार के पैकेट भेजता रहता है। pfSense गेटवे को वह बिट साफ़ करने का आदेश दिया जा सकता है, और ठीक से सुधारने से पहले निदान की पुष्टि करने का यह सबसे तेज़ तरीका है।

उन पृष्ठों से शुरू करें जो विफल होते हैं

कोई भी सेटिंग छूने से पहले लिख लें कि कौन-से गंतव्य विफल होते हैं और कौन-से सफल। टनल सीमा के नीचे रहने वाले हैंडशेक सामान्य रूप से पूरे होते हैं, जबकि पूर्ण आकार के खंड की ज़रूरत वाले स्थानांतरण आधे रास्ते में अटक जाते हैं। यह विभाजन फ़िल्टर नहीं बल्कि आकार की समस्या का हस्ताक्षर है, क्योंकि अवरुद्ध गंतव्य पृष्ठ के बीच में नहीं, कनेक्शन स्थापित होते समय विफल होता है। दोनों अवलोकन कुछ भी खर्च नहीं करते और खोज को तुरंत सीमित करते हैं।

ऐसे ping से परखें जो बिट सेट करे और पेलोड का आकार नियंत्रित करे। जो सबसे बड़ा पेलोड बचता है वह आपको मार्ग का वास्तविक MTU बताता है, और अडैप्टर का घोषित मान दिखाता है कि दोनों कितने दूर हैं।

दोनों संख्याएँ लिख लें। सुधार इस पर निर्भर है कि कौन-सी गलत है, और यही जोड़ी है जिसकी पुष्टि कैप्चर बाद में करता है।

बाहर जाते समय DF बिट क्या करता है

संख्याओं के अलग होने का कारण एन्कैप्सुलेशन है। IPsec ESP जोड़ता है, L2TP एक और हेडर जोड़ता है, और इसलिए टनल भौतिक लिंक से कम पेलोड ढोती है। Windows अब भी अडैप्टर पर 1500 बाइट बताता है और जो भेजता है उस पर «विखंडित न करें» सेट करता है। जब ऐसा पैकेट फ़िट नहीं होता, तो गेटवे से सही उत्तर प्रेषक से छोटा होने का अनुरोध करने वाला ICMP संदेश है। इसीलिए छोटे ping पार करने वाली टनल भी फ़ाइल डाउनलोड विफल कर सकती है।

वह संदेश अक्सर कभी नहीं पहुँचता। कोई हॉप ICMP फ़िल्टर कर सकता है, या कुछ भी उसे उत्पन्न नहीं करता, और प्रेषक वही आकार दोहराता है जब तक स्थानांतरण हार न मान ले।

यहाँ मौन सामान्य प्रस्तुति है, इसीलिए लक्षण चयनात्मक अवरोध के रूप में पढ़ा जाता है। क्लाइंट लॉग में अनुपस्थित ICMP संदेश कुछ भी दर्ज नहीं करता।

pfSense विकल्प, और यह क्या नहीं करता

यह विकल्प सिस्टम, उन्नत, फ़ायरवॉल और NAT पृष्ठ पर «पैकेट गिराने के बजाय अमान्य DF बिट साफ़ करें» लेबल के साथ है। फ़्लैग वाले अत्यधिक बड़े पैकेट को फेंकने के बजाय फ़िल्टर फ़्लैग हटा देता है और पैकेट को आगे विभाजित होने देता है। पैकेट तब अमान्य गिना जाता है जब वह आउटगोइंग इंटरफ़ेस को एक टुकड़े में पार नहीं कर सकता।

यह विकल्प क्लाइंट को छुए बिना कनेक्टिविटी बहाल करता है, इसीलिए यह लोकप्रिय है। यह एक कामचलाऊ उपाय भी है: विखंडन CPU खर्च करता है और हर खोए टुकड़े को महँगा बनाता है।

यह केवल अग्रेषित ट्रैफ़िक पर लागू होता है, उस ट्रैफ़िक पर नहीं जो फ़ायरवॉल स्वयं उत्पन्न करता है। वही पृष्ठ «फ़ायरवॉल स्क्रब अक्षम करें» प्रदान करता है, जो सामान्यीकरण पूरी तरह बंद कर देता है, और यह इस समस्या की ज़रूरत से कहीं अधिक व्यापक बदलाव है।

TCP को अविखंडित रखने वाला अधिक सीमित सुधार

लगभग सभी अटके प्रवाह TCP हैं, और TCP विखंडन पर निर्भर रहने के बजाय छोटे खंड पर बातचीत कर सकता है। टनल इंटरफ़ेस पर MSS सीमित करने से हैंडशेक के दौरान घोषित मान फिर से लिखा जाता है, जिससे हर पक्ष वह भेजता है जो वास्तव में फ़िट होता है। फिर मार्ग अनुमानित रूप से व्यवहार करता है और किसी पैकेट को विभाजित करने की ज़रूरत नहीं पड़ती।

यह UDP को खोज या DF विकल्प पर छोड़ देता है। जब विफल साइटें सामान्य वेब पृष्ठ हों, तो सीमा वही बदलाव है जिसे प्राथमिकता देनी चाहिए।

क्लाइंट netsh interface ipv4 show subinterfaces के माध्यम से अपना अडैप्टर MTU बता सकता है। उस आँकड़े की तुलना उससे करें जिसे सर्वर मानता है कि तय हुआ है, क्योंकि दोनों हमेशा समान नहीं होते। वही मान है जिसे ऑपरेटिंग सिस्टम वास्तव में उपयोग करेगा, बातचीत ने जो भी बताया हो।

कैप्चर से पुष्टि करें, फिर स्थिति रीसेट करें

निर्णय से पहले दोनों ओर कैप्चर करें: एक ट्रेस जहाँ टनल चलती है, दूसरी जहाँ WAN इंटरफ़ेस चलता है। पूर्ण आकार में निकलने वाले और ICMP लौटाए बिना जाने वाले पैकेट सीमा को सही परत बताते हैं। आने और फिर वापसी में मरने वाले उत्तर इसके बजाय टनल के MTU की ओर संकेत करते हैं।

फिर से प्रयास करने से पहले स्थिति तालिका साफ़ करें, क्योंकि मौजूदा प्रवाह अपने पुराने खंड आकार रखते हैं। फिर विफल पृष्ठ लोड करें और एकतरफ़ा काउंटरों के बजाय दोतरफ़ा ट्रैफ़िक के लिए स्थिति दृश्य पढ़ें। यदि वह अब भी अटके, तो दूसरा चेकबॉक्स आज़माने के बजाय फिर से कैप्चर करें।