VPN жок учурда Git токтоп калабы? OpenSSH пакеттерди IPQoS менен белгилейт

Кеңседен жасалган клон иштейт, ошол эле клон телефон хотспоту аркылуу да иштейт, ал эми ошол эле клон мейманкана тармагынан VPN күйгүзүлмөйүнчө илинип калат. SSH кол алышуусу бүтөт да, сессия биринчи чыныгы өткөрүүдө унчукпай калат. Клиент конфигурациясына кошулган бир сап git менен ssh-ты чогуу айыктырат. Бир клиент параметри бир нече куралды бир эле учурда оңдосо, кемчилик клиент жиберген нерседе, ал эми жиберген каналда эмес.

Симптомду маршрут айырмасы катары окуңуз

Маселени айыктырган туннель сейрек оңдоо болот. Ал маршрутту, ташуучуну жана ортодогу түзмөктөрдү алмаштырат, ал эми ноутбук так ошол эле пакеттерди чыгара берет. Бир маршрут аталышын туура эмес иштесе, экинчиси аны өзгөртпөй өткөрсө, айырма ортодогу түзмөктүн саясатында, клиентте эмес. Бул жерде туннель күбө, чечим эмес.

Сессия өлгөн чекит маселени дагы тарытат. Ат издөөдө же ачкыч алмашууда ийгиликсиз болгон эч нерсе мындай көрүнбөйт. Аутентификациядан өтүп, баннер басып, анан биринчи чоң жазууда тоңуп калган сессия маршруттоо, ат жана ыйгарым укуктардын баары иштеп жатканын мурунтан эле далилдеген.

Клиент ар бир SSH сокетине QoS байтын басат

7.8ден тартып ар бир OpenSSH байланышы IP аталышында маршрутизаторлор трафикти артыкчылыктоо үчүн колдонсо боло турган маанини алып жүрөт. Терминал сессиялары бир маани алышат, ал эми көп көчүрмөлөр башка маанини алышат — пернетане баскан адам файл өткөрүүгө караганда жакшы мамилеге татыктуу деген теория боюнча. Көпчүлүк тармактар бул белгини таптакыр этибарга албайт, ошондуктан ал жылдар бою байкалбайт. Wi-Fi драйверлеринин, уюлдук операторлордун жана VPN концентраторлорунун аз бөлүгү ага жооп берет, айрымдары начар жооп берет.

Бул маани агымдын ортосунда кайра жазылса же ташталса, байланыш үзүлбөйт, ал алдыга жылууну токтотот. Кайра жиберүүлөр өсөт, терезе кулайт, ал эми колдонмо эч нерсе билдирбейт, анткени эч нерсе ката кайтарган жок. Ушул унчукпоочулук адамдарга симптомду бузулуу эмес, илинүү деп сүрөттөөгө себеп болот.

Алгач ssh -V аркылуу клиенттин версиясын тастыктаңыз. 7.8 же андан жогору ар кандай версия бул жүрүм-турумду демейки боюнча алып жүрөт.

Муну MTU менен DNSтен ажыратуучу үч буйрук

Каалаган конфигурация файлын оңдоодон мурун эки окшош себепти четтетүү керек. MTU кемчилиги кичине алмашууларды өткөрүп, биринчи чоң пакетте тоңот, ал эми ат кемчилиги сессияны такыр түзбөйт.

ssh -o IPQoS=none -v [email protected]
ssh -G [email protected] | grep -i ipqos
sudo tcpdump -ni any -vv "tcp port 22"

Биринчи буйрук ийгиликсиз операцияны белги өчүрүлгөн абалда кайталайт, жана анын ийгиликтүү аткарылышы колдо болгон эң күчтүү жалгыз далил. Экинчиси клиенттин ошол дарекке чындап колдоно турган конфигурациясын басып чыгарат, бул унутулган файлдагы эскирген жазууну кармайт. Үчүнчүсү өткөрүү илинип турганда TOS байтын эки тарапта тең көрсөтөт, ал эми кызыктуу үлгү — бузулган маршрутта маанинин болушу жана иштеген маршрутта анын жоктугу.

Түртүп алууну серверде эмес, ноутбукта жасаңыз, анткени маанини жиберүүчү коёт жана эки тарап тең аны өзгөртө алат. Иштеген жана ийгиликсиз маршрутту ошол эле түртүп алуу менен салыштырыңыз, айырма болжолсуз көрүнөт.

Өзгөчөлүктү бир файлга салыңыз, ар жолу бир хост

Өзгөчөлүк колдонулуучу хосттун жанында болушу керек, эмне үчүн бар экенин айткан комментарий менен.

Host gitlab.example.internal
    IPQoS none
    # direct route rewrites the marking; the tunnel route passes it

Колдоону менин өзүнөн маанилүү. Жылдызча жазуу жүрүм-турумду бардык жерде өчүрөт, жакшы жүрүм-турумдагы тармактарда жардам берген белгини ыргытат жана качан пайда болгонун эч кимге айткызбайт. Ар хостко жазуу окууга жеңил, кайтарууга болот жана тармак оңдолгондон кийин өчүрүү оңой. Жеке чечим үчүн колдонуучу файлын, ал эми бүт флотко ошол эле өзгөчөлүк керек болгондо башкарылуучу файлды колдонуңуз.

Өзгөчөлүк эмнени камтыбай турганын ачык айтыңыз. Ал SSHка тиешелүү, ошондуктан HTTPS алыскы кампа, пакет күзгүсү жана браузер анын сыртында калат, жана алардын кайсынысы болбосун ийгиликсиз болсо өз далилин талап кылат. Бастион аркылуу өткөн чынжырда ар бир секирик клиент конфигурациясын колдонот, ал эми илинген секирик — чектөөгө татыктуусу.

Тармак ээси менен тегеректи жабыңыз

Табылганы төрт факт катары өткөрүп бериңиз: клиент версиясы, текшерилген маршрут, колдонулуп жаткан VPN клиенти жана белгини кайсы тарап алып жүрдү. Ушул төртөө тармак ээсине мамилени кайра жаратып, анын атайылап экенин чечүүгө жетет.

Эгер өзгөчөлүк илинүүнү айыктырбаса, аны алып салыңыз. Ийгиликсиз тажрыйбадан аман калган чечим уламышка айланат, ал эми кийинки адам анын эч нерсе кылбастыгын далилдөөгө бир саат корот. Эгер ал илинүүнү айыктырса, жол андан өткөн ар бир башка курал үчүн дагы эле туура эмес, ал эми оңдоо ортодогу түзмөктү башкарган адамга таандык.

Клиенттеги өзгөртүү — мөөнөтү бар убактылуу чара. Ошол мөөнөттү комментарийге жазыңыз.