SSH beragad az OpenVPN felett? Először mérje meg az útvonal MTU-ját

Az SSH csatlakozik, megjelenik a parancssor, és a munkamenet meghal, amint egy parancs valami nagyot ad vissza. Az echo még egy darabig működik, aztán a kapcsolat lejár, miközben a kliens továbbra is fent lévőnek mutatja az alagutat. Az a munkamenet, amely az adatok megérkezéséig egészséges, általában mérethatárba ütközik, nem SSH-hibába. Az alábbi ellenőrzések úgy vannak sorrendezve, hogy a legolcsóbb magyarázat záródjon ki először.

Olvassa le a hiba alakját, mielőtt a profilhoz nyúl

A kis csomagok átmennek, a teljesek nem. Egy parancssor, egy szalagcím vagy egy billentyűleütés könnyen belefér; egy könyvtárlistázás, egy letöltés vagy egy beillesztett blokk nem. Az a méret, amelynél a viselkedés megváltozik, a nyom, nem az a tény, hogy az SSH a kérdéses program.

A mechanizmus ez: az útvonal-MTU felderítése, amely visszajelzéstől függ. A TCP kiválaszt egy szegmensméretet, és amikor egy útközbeni útválasztó nem tudja továbbítani a keletkező csomagot, ezt ICMP-üzenettel kellene jeleznie. A beágyazás a külső csomagot nagyobbá teszi a belsőnél, ezért az alagúton belül használható méret mindig a fizikai kapcsolat alatt marad. Szűrje ki ezeket az ICMP-üzeneteket bárhol, és a küldő soha nem kapja meg a javítást, továbbra is teljes szegmenseket küld, a külső csomag pedig értesítés nélkül eldobódik.

Mérje meg a plafont mindkét oldalról

Hasonlítsa össze az alagút MTU-ját a fizikai kapcsolattal, mielőtt bármelyiket módosítaná. Az az alagút, amely lemásolta a fizikai értéket, már megmondta, hol van az eltérés.

Vizsgálja az alagút belsejéből egy töredezést tiltó kéréssel, csökkentve a hasznos terhelést, amíg válaszok nem jönnek. A méretargumentum csak a hasznos terhelést számolja, ezért a működő szám mindig az interfész MTU-ja alatt marad. Adja hozzá újra a fejlécek méretét, ha az interfész számára van szüksége.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ismételje meg a vizsgálatot a szerver nyilvános címére az alagúton kívülről. Ha a nagy vizsgálatok ott is kudarcot vallanak, a határ a szerverhez vezető úton van, és egyetlen alagútbeállítás sem mozdítja el. Ez az összehasonlítás megkíméli attól, hogy olyan klienst hangoljon, amely soha nem volt a probléma. Jegyezze fel mindkét eredményt, mielőtt megnyit egy konfigurációs fájlt.

Az mssfix és a fragment különböző munkát végez

Az mssfix korlátozza az alagúton belüli TCP-kapcsolatok által a kézfogásuk alatt hirdetett szegmensméretet. Ez a helyes kar az SSH-hoz, a HTTPS-hez és a fájlmásoláshoz, ezért a beragadás gyakran eltűnik, amint beállítják. Az UDP hasznos terheléséhez egyáltalán nem nyúl.

Az az alagút, amely UDP-szolgáltatást is szállít, az SSH javítása után is meghiúsulhat, és ez az eredmény összezavar mindenkit, aki azt feltételezi, hogy egy beállítás mindent lefed.

A fragment a másik mechanizmus és más eszköz. A beágyazás előtt felosztja a túlméretes csomagokat, csak az UDP-szállításra vonatkozik, datagramonkénti többletköltséget ad hozzá, és a törött felderítés utolsó mentsváraként van dokumentálva. Mindkét beállításnak egyeznie kell az alagutat lezáró partnereknél. Ha az egyik vég korlátoz, a másik pedig töredez, naplófigyelmeztetések és olyan viselkedés keletkezik, amelyet senki nem tud a fájlokból megjósolni.

Az interfész MTU csökkentése a durva megoldás

Az interfész MTU csökkentése mindkét végén a durva eszköz. Kisebb számot mond minden belső küldőnek, ami működik, és ezt a költséget az egész forgalomra terheli ahelyett, hogy az azt igénylő TCP-folyamokra tenné.

Akkor válassza, amikor az alagút olyan forgalmat szállít, amelyet nem tud korlátozni, vagy amikor a kliens olyan eszköz, amelynek profilját nem irányítja. Szimmetrikusan alkalmazza, és jegyezze fel az értéket a profil mellé. A félig alkalmazott változtatás rosszabb, mint a semmi, mert javításnak látszik.

Tesztelje újra azzal az átvitellel, amely beragadt

Csatlakozzon újra, hogy a beállítások betöltődjenek, nyisson friss kapcsolatot, és ismételje meg a parancsot, amely lefagyott. A szegmensméretet a kézfogásnál tárgyalják, ezért az újracsatlakozást túlélő munkamenet még a régi értéket hordozza. A ping itt rossz teszt, mert az egész hiba az, hogy a kis csomagok átmennek. Használja azt a listázást, letöltést vagy beillesztést, amely elromlott.

Ha a beragadás kisebb méretnél is folytatódik, nézzen máshol: egy állapotot tartó tűzfal, amely lejáratja a folyamot, egy duplikált cím, vagy egy útvonal, amely újracsatlakozáskor elmozdul. Jegyezze fel a sikertelen vizsgálat méretét és a módosított beállítást, mert ez a pár teszi hasznossá a következő jelentést.