Miért akadnak meg az OpenConnect-oldalak, amíg le nem csökkenti az alagút MTU-ját

A bejelentkezés sikerül, a portál kezdőlapja kirajzolódik, majd egy irányítópult-widget vagy egy jelentés a waiting for host állapotban marad, amíg a böngésző fel nem adja. A nyilvános oldalak egész idő alatt normálisan töltődnek, és egyetlen hitelesítő adat sem változott. Az, hogy kis válaszok megérkeznek, miközben a nagyok elakadnak, a csomagméret-plafon jele, nem pedig egy hozzáférési szabályé. Erősítse meg ezt az olvasatot, mielőtt bármi mást módosítana a profilban.

Válassza külön a méretproblémát a házirendproblémától

Kezdje az elutasítás kizárásával. Ha az átjáró elutasította volna, a kapcsolat azonnal meghiúsult volna, ahelyett hogy félig betölti az oldalt. Az az alagút, amely feljön, majd csak a nagyobb átviteleknél akad meg, azt mondja, hogy a külső útvonal nem tudja szállítani a belső csomagot.

A mechanizmus a beágyazás. Minden belső csomag alagútfejléceket kap, így a fizikai kapcsolatba beleférő hasznos teher olyan külső csomaggá válik, amely már nem fér bele, és minden, ami a do-not-fragment bitet hordozza, eldobódik anélkül, hogy a böngésző értelmezni tudná a választ.

Mérje meg a plafont do-not-fragment próbákkal

Mérje meg a plafont ahelyett, hogy kitalálná. Küldjön próbákat, amelyek elutasítják a töredezést, és csökkentse a hasznos terhet lépésről lépésre, amíg válasz nem érkezik, kezdve egy ilyen paranccsal: ping -M do -s 1472 host. Az a válasz, amely azt panaszolja, hogy töredezésre van szükség, miközben a DF be van állítva, azt jelenti, hogy az érték még mindig túl magas. Ismételje meg 1462-nél, majd 1452-nél, és álljon meg az első méretnél, amely válaszol. Jegyezze fel a számot a vizsgált gazdagéppel együtt, mert a válasz ahhoz az útvonalhoz tartozik, és nem a protokollhoz általában.

Vizsgálja azt a címet, ahová az alagút valóban forgalmat küld. A külső próba az átjáró nyilvános neve ellen és a belső próba egy belső kiszolgáló ellen különböző ugrásokat mér, és bármelyiken végzett ICMP-szűrés egészséges útvonalat is töröttnek mutathat.

Alkalmazza az értéket az alagút eszközére

Az eredményt az ügyfél által létrehozott interfészre alkalmazza, ne a Wi-Fi adapterre. Linux-ügyfélen ez a ip link set dev tun0 mtu 1300 majd a ip link show tun0, amellyel megerősítheti, hogy az érték érvénybe lépett. Használja azt az eszköznevet, amelyet az ügyfél jelent, mert ez az implementációtól és az alagút felépítésétől függően változik.

Az alagút MTU-jának csökkentése kisebbíti az egyes csomagok által hordozott terhet, így az átbocsátóképesség kicsit csökken, és ez az ára annak, hogy a nagy válaszok ne tűnjenek el a fekete lyukban. A kisebb szám nem automatikusan biztonságosabb. A fizikai adapter módosítása ehelyett a kárt az adott kapcsolat minden összeköttetésére szétteríti, miközben a túlméretes belső csomagok ugyanolyan túlméretesek maradnak.

Először használja az ügyfél saját MTU-kéréseit

Ha Ön irányítja a hívást, az ügyfél kérhet méretet ahelyett, hogy utólag foltoznák. --mtu alagút-MTU-t kér a kiszolgálótól, és --base-mtu kinyilvánítja az alatta lévő útvonal MTU-ját, hogy az átjáró levezethesse az alagút számát. Mindkettő kérés, és az ügyfél kézikönyve nem ígéri, hogy az átjáró bármelyiket teljesíti.

Ez a különbség határozza meg a munka sorrendjét. Először próbálja ki a kérést, és vizsgálja meg a létrehozott interfészt, majd térjen vissza az eszköz helyi beállításához, ha az átjáró által választott érték még mindig elakad.

Ellenőrizze a meghiúsult átvitellel, majd tegye tartóssá

Egy helyi ip link módosítás addig tart, amíg az ügyfél újra fel nem építi az alagutat, ami a következő újracsatlakozáskor vagy folytatáskor történik. Tegye az értéket oda, ahol a kapcsolat elindul: egy burkoló, amely futtatja az ügyfelet, majd módosítja az eszközt, egy systemd-egység ExecStartPost lépéssel, vagy az ügyfél beállítása, amikor az átjáró elfogadja. Tartsa a profil mellett verziókezelésben, hogy a következő ember lássa, miért van ott a szám.

A meghiúsult kéréssel teszteljen, ne a kezdőlappal. Nyissa meg a jelentést, húzza le a mellékletet, vagy futtassa a leképezést, amely megakadt, és jegyezze fel pontosan, hol áll meg, ha még mindig megáll. Egy oldal, amely a módosítás után kirajzolódik, keveset bizonyít, mert korábban is kirajzolódott.

Ha ugyanaz az átvitel ugyanazon a ponton akad meg, az MTU-elmélet nincs bizonyítva. Rögzítsen forgalmat az alagúton, és ellenőrizze, melyik oldal hagyja abba a küldést, mielőtt újra módosítja a számot, és tartsa feljegyezve az előző értéket, hogy a visszaállítás egyetlen parancs maradjon.