Windows L2TP ზოგიერთ საიტს ხსნის: გაასუფთავეთ DF ბიტი pfSense-ზე

ლეპტოპი უკავშირდება, შიდა ქსელი იხსნება და რამდენიმე საჯარო საიტი ჩერდება. ავთენტიფიკაცია და მარშრუტიზაცია აშკარად მუშაობს, რაც განმარტებად პაკეტის ზომას ტოვებს. L2TP/IPsec გვირაბში გამოსაყენებელი MTU უფრო მცირეა, ვიდრე ადაპტერი ჯერ კიდევ აცხადებს, და კლიენტი აგრძელებს სრული ზომის პაკეტების გაგზავნას ჩართული „ნუ დაყოფ“ ბიტით. pfSense-ის კარიბჭეს შეიძლება დაევალოს ამ ბიტის გასუფთავება, და ეს დიაგნოზის დადასტურების ყველაზე სწრაფი გზაა სწორად გამოსწორებამდე.

დაიწყეთ იმ გვერდებით, რომლებიც იშლება

ნებისმიერ პარამეტრზე შეხებამდე ჩაინიშნეთ, რომელი დანიშნულებები იშლება და რომელი მუშაობს. გვირაბის ზღვარზე დაბლა დარჩენილი ხელის ჩამორთმევები ნორმალურად სრულდება, ხოლო სრული ზომის სეგმენტის საჭირო გადატანები შუა გზაზე ჩერდება. ეს გაყოფა ზომის პრობლემის, და არა ფილტრის ნიშანია, რადგან დაბლოკილი დანიშნულება კავშირის დამყარებისას იშლება და არა გვერდის შუაში. ორივე დაკვირვება არაფერი ღირს და ძებნას მაშინვე ავიწროებს.

შეამოწმეთ ping-ით, რომელიც აყენებს ბიტს და აკონტროლებს დატვირთვის ზომას. ყველაზე დიდი დატვირთვა, რომელიც გადარჩება, გეუბნებათ გზის რეალურ MTU-ს, ხოლო ადაპტერის გამოცხადებული მნიშვნელობა აჩვენებს, რამდენად შორს არიან ისინი.

ჩაწერეთ ორივე რიცხვი. შესწორება დამოკიდებულია იმაზე, რომელია არასწორი, და სწორედ წყვილს დაადასტურებს მოგვიანებით ჩაწერა.

რას აკეთებს DF ბიტი გასვლისას

რიცხვების განსხვავების მიზეზი ინკაფსულაციაა. IPsec ამატებს ESP-ს, L2TP ამატებს კიდევ ერთ თავსართს, და ამიტომ გვირაბი ფიზიკურ კავშირზე ნაკლებ დატვირთვას ატარებს. Windows კვლავ აცხადებს 1500 ბაიტს ადაპტერზე და გაგზავნილზე აყენებს „ნუ დაყოფ“. როცა ასეთი პაკეტი არ ეტევა, კარიბჭის სწორი პასუხია ICMP შეტყობინება, რომელიც გამომგზავნს შემცირებას სთხოვს. ამიტომ პატარა ping-ებს გამტარი გვირაბი მაინც შეიძლება ფაილის ჩამოტვირთვაზე ჩავარდეს.

ეს შეტყობინება ხშირად არასოდეს აღწევს. რომელიმე ნახტომმა შეიძლება გაფილტროს ICMP, ან ვერაფერი წარმოქმნის მას, და გამომგზავნი იმავე ზომას იმეორებს, სანამ გადატანა დანებდება.

აქ სიჩუმე ჩვეულებრივი გამოვლინებაა, ამიტომ სიმპტომი შერჩევით ბლოკად იკითხება. კლიენტის ჟურნალში ვერაფერი აღნიშნავს დაკარგულ ICMP შეტყობინებას.

pfSense-ის პარამეტრი და რასაც ის არ აკეთებს

პარამეტრი მდებარეობს გვერდზე სისტემა, დამატებითი, ფაირვოლი და NAT, წარწერით „გაასუფთავე არასწორი DF ბიტები პაკეტების გადაგდების ნაცვლად“. დროშის მქონე ზედმეტად დიდი პაკეტის გადაგდების ნაცვლად ფილტრი დროშას ხსნის და პაკეტს შემდგომ დაყოფის საშუალებას აძლევს. პაკეტი არასწორად ითვლება, როცა ის გამავალ ინტერფეისს ერთ ნაწილად ვერ კვეთს.

პარამეტრი კავშირს აღადგენს კლიენტზე შეხების გარეშე, ამიტომ პოპულარულია. ის ასევე შემოვლითი გზაა: დაყოფა CPU-ს ხარჯავს და ყოველ დაკარგულ ნაწილს უფრო ძვირს ხდის.

ის ეხება მხოლოდ გადაცემულ ტრაფიკს და არა ტრაფიკს, რომელსაც თავად ფაირვოლი ქმნის. იგივე გვერდი გვთავაზობს „გამორთე ფაირვოლის გაწმენდა“, რაც ნორმალიზაციას მთლიანად თიშავს, და ეს გაცილებით ფართო ცვლილებაა, ვიდრე ამ პრობლემას სჭირდება.

უფრო ვიწრო შესწორება, რომელიც TCP-ს დაუყოფელს ინახავს

თითქმის ყველა შეჩერებული ნაკადი TCP-ია, და TCP-ს შეუძლია უფრო პატარა სეგმენტზე შეთანხმება დაყოფის იმედად ყოფნის ნაცვლად. გვირაბის ინტერფეისზე MSS-ის შეზღუდვა ხელის ჩამორთმევისას გადაწერს გამოცხადებულ მნიშვნელობას, ასე რომ ყოველი მხარე აგზავნის იმას, რაც ნამდვილად ეტევა. გზა შემდეგ პროგნოზირებადად იქცევა და ვერც ერთი პაკეტი ვერ საჭიროებს დაყოფას.

ეს UDP-ს აძლევს აღმოჩენას ან DF პარამეტრს. როცა წარუმატებელი საიტები ჩვეულებრივი ვებ გვერდებია, შეზღუდვაა ის ცვლილება, რომელსაც უნდა მიენიჭოს უპირატესობა.

კლიენტს შეუძლია თავისი ადაპტერის MTU-ს შეტყობინება netsh interface ipv4 show subinterfaces-ის მეშვეობით. შეადარეთ ეს რიცხვი იმას, რასაც სერვერი შეთანხმებულად თვლის, რადგან ორივე ყოველთვის ერთი არ არის. სწორედ ამ მნიშვნელობას გამოიყენებს ოპერაციული სისტემა რეალურად, რაც არ უნდა გამოაცხადოს მოლაპარაკებამ.

დაადასტურეთ ჩაწერით, შემდეგ გადააყენეთ მდგომარეობა

გადაწყვეტილებამდე ჩაწერეთ ორივე მხარეს: ერთი კვალი იქ, სადაც გვირაბი გადის, და მეორე, სადაც WAN ინტერფეისი გადის. სრული ზომით გამავალი და ICMP-ის უკან დაუბრუნებელი პაკეტები შეზღუდვას სწორ შრედ მიუთითებს. მისული და შემდეგ უკანა გზაზე მკვდარი პასუხები ნაცვლად ამისა გვირაბის MTU-ზე მიუთითებს.

სანამ თავიდან სცდიდეთ, გაასუფთავეთ მდგომარეობების ცხრილი, რადგან არსებული ნაკადები ძველ სეგმენტის ზომებს ინახავს. შემდეგ ჩატვირთეთ წარუმატებელი გვერდი და წაიკითხეთ მდგომარეობების ხედი ორმხრივი ტრაფიკისთვის, და არა ცალმხრივი მთვლელებისთვის. თუ ის მაინც ჩერდება, კვლავ ჩაწერეთ სხვა მოსანიშნი უჯრის ცდის ნაცვლად.