Windows L2TP кейбір сайттарды ашады: pfSense-те DF битін тазалаңыз

Ноутбук қосылады, ішкі желі ашылады, ал бірнеше жалпыға ашық сайт тұрып қалады. Аутентификация мен маршруттау анық жұмыс істейді, бұл түсіндірме ретінде пакет өлшемін қалдырады. L2TP/IPsec туннелінде қолжетімді MTU адаптер әлі жариялап отырғаннан кіші, ал клиент «бөлшектеме» биті қосылып тұрған толық өлшемді пакеттерді жіберуді жалғастырады. pfSense қақпасына сол битті тазалауға бұйрық беруге болады, және бұл дұрыс түзетуден бұрын диагнозды растаудың ең жылдам жолы.

Сәтсіз болатын беттерден бастаңыз

Кез келген параметрге қол тигізбес бұрын қай тағайындаулар сәтсіз болатынын және қайсылары жұмыс істейтінін жазып алыңыз. Туннель шегінен төмен қалатын қол алысулар қалыпты аяқталады, ал толық өлшемді сегмент қажет тасымалдаулар жол ортасында тоқтайды. Бұл бөліну фильтрдің емес, өлшем мәселесінің белгісі, өйткені бұғатталған тағайындау бет ортасында емес, қосылым орнату кезінде сәтсіз болады. Екі байқау да ештеңе тұрмайды және іздеуді бірден тарылтады.

Битті қосатын және пайдалы жүктеме өлшемін басқаратын ping-мен тексеріңіз. Өтіп кететін ең үлкен жүктеме нақты жол MTU-ын айтады, ал адаптердің жарияланған мәні екеуі қаншалықты алыс екенін көрсетеді.

Екі санды да жазып алыңыз. Түзету қайсысы қате екеніне байланысты, ал жұпты кейінірек түсірілім растайды.

DF биті шығу кезінде не істейді

Сандардың айырмашылық себебі — инкапсуляция. IPsec ESP қосады, L2TP тағы бір тақырыпша қосады, сондықтан туннель физикалық байланыстан аз пайдалы жүктеме тасиды. Windows әлі де адаптерде 1500 байт деп хабарлайды және жіберетініне «бөлшектеме» қояды. Мұндай пакет сыя бермесе, қақпаның дұрыс жауабы — жіберушіден кішіреюін сұрайтын ICMP хабары. Сол себепті шағын ping-дерді өткізетін туннель де файл жүктеуде сәтсіздікке ұшырауы мүмкін.

Бұл хабар көбіне ешқашан жетпейді. Қандай да бір секіріс ICMP-ні сүзуі мүмкін, немесе оны ештеңе тудырмайды, ал жіберуші тасымалдау бас тартқанша сол өлшемді қайталайды.

Мұнда үнсіздік қалыпты көрініс, сондықтан симптом таңдамалы бұғаттау деп оқылады. Клиент журналында жоғалған ICMP хабарын ештеңе тіркемейді.

pfSense параметрі және ол не істемейді

Параметр Жүйе, Кеңейтілген, Файрвол және NAT бетінде «Пакеттерді тастаудың орнына жарамсыз DF биттерін тазала» деген белгімен орналасқан. Туы бар тым үлкен пакетті лақтырудың орнына сүзгі туын алып тастайды және пакеттің төменде бөлінуіне жол береді. Пакет шығыс интерфейстен бір бөлікте өте алмаса, жарамсыз деп саналады.

Параметр клиентке қол тигізбей байланысты қалпына келтіреді, сондықтан танымал. Бұл сонымен қатар айналып өту жолы: бөлшектеу CPU жұмсайды және әр жоғалған бөлікті қымбаттатады.

Ол тек қайта жіберілген трафикке қатысты, файрвол өзі жасайтын трафикке емес. Сол бет «Файрвол тазалауын өшір» ұсынады, ол нормалауды толығымен өшіреді, және бұл бұл мәселеге қажет шамадан әлдеқайда кең өзгеріс.

TCP-ні бөлшектемей сақтайтын неғұрлым тар түзету

Тұрып қалған ағындардың барлығы дерлік TCP, ал TCP бөлшектеуге сүйенудің орнына кішірек сегмент туралы келісе алады. Туннель интерфейсінде MSS-ті шектеу қол алысу кезінде жарияланған мәнді қайта жазады, сондықтан әр жақ шын мәнінде сыятынын жібереді. Содан кейін жол болжамды түрде әрекет етеді және ешбір пакетті бөлу қажет емес.

Бұл UDP-ні анықтауға немесе DF параметріне қалдырады. Сәтсіз сайттар қарапайым веб беттер болса, шектеу таңдауға тұрарлық өзгеріс.

Клиент netsh interface ipv4 show subinterfaces арқылы өз адаптерінің MTU-ын хабарлай алады. Сол санды сервер келісілді деп есептейтінмен салыстырыңыз, өйткені екеуі әрдайым бірдей емес. Келіссөз не деп хабарласа да, операциялық жүйе шын мәнінде қолданатын мән — сол.

Түсіріліммен растаңыз, содан кейін күйді қалпына келтіріңіз

Шешім қабылдамас бұрын екі жақта да түсіріңіз: біреуі туннель жүретін жерде, екіншісі WAN интерфейсі жүретін жерде. Толық өлшемде шығып, ICMP қайтпаған пакеттер шектеуді дұрыс қабат ретінде көрсетеді. Келіп, қайтар жолда өлген жауаптар оның орнына туннель MTU-ын көрсетеді.

Қайта көрс бұрын күй кестесін тазалаңыз, өйткені бар ағындар ескі сегмент өлшемдерін сақтайды. Содан кейін сәтсіз бетті жүктеп, бір жақты санауыштардың орнына екі жақты трафик үшін күй көрінісін оқыңыз. Егер ол әлі де тұрып қалса, тағы бір құсбелгіні байқап көрудің орнына қайта түсіріңіз.