Windows L2TP csak néhány oldalt tölt be: törölje a DF bitet a pfSense-en

A laptop csatlakozik, az intranet betöltődik, és néhány nyilvános oldal elakad. A hitelesítés és az útválasztás egyértelműen működik, így magyarázatként a csomagméret marad. Egy L2TP/IPsec-alagútban a használható MTU kisebb, mint amit az adapter még hirdet, a kliens pedig továbbra is teljes méretű csomagokat küld a „ne töredezz” bit beállításával. A pfSense-átjárónak megparancsolható, hogy törölje ezt a bitet, és ez a leggyorsabb módja a diagnózis megerősítésének, mielőtt rendesen megjavítanák.

Kezdje a sikertelen oldalakkal

Mielőtt bármilyen beállításhoz nyúlna, jegyezze fel, mely célpontok sikertelenek és melyek sikeresek. Az alagút határa alatt maradó kézfogások normálisan lezajlanak, míg a teljes méretű szegmenst igénylő átvitelek félúton megállnak. Ez a kettősség a méretprobléma, nem pedig a szűrő jele, mert egy blokkolt célpont a kapcsolat létrehozásakor hiúsul meg, nem az oldal közepén. Mindkét megfigyelés ingyenes, és azonnal szűkíti a keresést.

Teszteljen olyan pinggel, amely beállítja a bitet és szabályozza a hasznos teher méretét. A legnagyobb átjutó teher megadja az útvonal valódi MTU-ját, az adapter hirdetett értéke pedig megmutatja, milyen messze vannak egymástól.

Írja fel mindkét számot. A javítás attól függ, melyik a hibás, és ezt a párost erősíti meg később egy rögzítés.

Mit tesz a DF bit kifelé menet

A számok eltérésének oka a beágyazás. Az IPsec hozzáadja az ESP-t, az L2TP még egy fejlécet, ezért az alagút kevesebb hasznos terhet visz, mint a fizikai kapcsolat. A Windows továbbra is 1500 bájtot jelent az adapteren, és „ne töredezz”-t állít arra, amit küld. Amikor egy ilyen csomag nem fér el, az átjáró helyes válasza egy ICMP-üzenet, amely a küldőt kisebbedésre kéri. Ezért egy kis pingeket átengedő alagút is elbukhat egy fájlletöltésen.

Ez az üzenet gyakran soha nem érkezik meg. Egy ugrás szűrheti az ICMP-t, vagy semmi nem állítja elő, és a küldő ugyanazt a méretet ismétli, míg az átvitel fel nem adja.

Itt a csend a szokásos megjelenés, ezért a tünet szelektív blokkolásként olvasható. A kliens naplója semmit nem rögzít egy hiányzó ICMP-üzenetről.

A pfSense-beállítás, és amit nem tesz

A beállítás a Rendszer, Speciális, Tűzfal és NAT oldalon található, „Érvénytelen DF bitek törlése a csomagok eldobása helyett” címkével. Ahelyett hogy eldobná a zászlót hordozó túlméretes csomagot, a szűrő eltávolítja a zászlót, és engedi a csomagot lejjebb felosztani. Egy csomag akkor számít érvénytelennek, ha nem tudja egy darabban átlépni a kimenő interfészt.

A beállítás a kliens érintése nélkül állítja helyre a kapcsolatot, ezért népszerű. Egyben kerülőmegoldás is: a töredezés CPU-ba kerül, és minden elveszett töredéket drágábbá tesz.

Csak a továbbított forgalomra vonatkozik, nem arra, amelyet maga a tűzfal indít. Ugyanaz az oldal kínálja a „Tűzfal-tisztítás letiltása” opciót, amely teljesen kikapcsolja a normalizálást, és ez sokkal szélesebb változás, mint amire ennek a problémának szüksége van.

Szűkebb javítás, amely a TCP-t töredezetlenül hagyja

Szinte az összes elakadt folyam TCP, és a TCP képes kisebb szegmensről tárgyalni ahelyett, hogy a töredezésre támaszkodna. Az MSS korlátozása az alagút interfészén átírja a hirdetett értéket a kézfogás alatt, így mindkét fél azt küldi, ami valóban elfér. Az útvonal ezután kiszámíthatóan viselkedik, és egyetlen csomagot sem kell felosztani.

Ez az UDP-t a felderítésre vagy a DF-beállításra hagyja. Amikor a sikertelen oldalak közönséges weboldalak, a korlátozás az a változtatás, amelyet előnyben kell részesíteni.

A kliens saját adapter-MTU-ját a netsh interface ipv4 show subinterfaces paranccsal jelentheti. Hasonlítsa össze ezt a számot azzal, amit a kiszolgáló megtárgyaltnak gondol, mert a kettő nem mindig egyezik. Ezt az értéket fogja az operációs rendszer ténylegesen használni, bármit is jelentett a tárgyalás.

Erősítse meg rögzítéssel, majd állítsa vissza az állapotot

Döntés előtt rögzítsen mindkét oldalon: egy nyomvonalat, ahol az alagút fut, és egy másikat, ahol a WAN-interfész fut. A teljes méretben kimenő, visszatérő ICMP nélküli csomagok a korlátozásra mint helyes rétegre mutatnak. A megérkező, majd a visszaúton elhaló válaszok viszont az alagút MTU-jára mutatnak.

Új próba előtt ürítse ki az állapottáblát, mert a meglévő folyamok megtartják régi szegmensméreteiket. Ezután töltse be a sikertelen oldalt, és az egyirányú számlálók helyett a kétirányú forgalom állapotnézetét olvassa. Ha még mindig elakad, rögzítsen újra ahelyett, hogy egy másik jelölőnégyzetet próbálna ki.