OpenVPN аркылуу SSH илинип калдыбы? Адегенде жолдун MTU-сун өлчөңүз

SSH туташат, суроо белгиси чыгат, бирок команда чоң нерсе кайтарган заматта сессия өлөт. Эхо бир аз иштейт, анан байланыштын убактысы бүтөт, ал эми кардар туннелди дагы эле күйүк деп көрсөтүп турат. Дайындар келгенге чейин соо болгон сессия адатта SSH бузулушуна эмес, өлчөм чегине кагылат. Төмөнкү текшерүүлөр эң арзан түшүндүрмөнү биринчи четтетүүгө курулган.

Профилге тийүүдөн мурун бузулуунун формасын окуңуз

Кичине пакеттер өтөт, толук пакеттер өтпөйт. Суроо белгиси, баннер же бир баскыч басуу оңой батат; каталог тизмеси, жүктөө же чапталган блок батпайт. Жүрүм-турум өзгөргөн өлчөм — белги, SSH тиешелүү программа экени эмес.

Механизм мындай: жол MTU-сун табуу, ал кайтарым байланышка көз каранды. TCP сегмент өлчөмүн тандайт, ал эми жолдогу маршрутизатор пайда болгон пакетти өткөрө албаса, бул тууралуу ICMP билдирүүсү менен айтышы керек. Инкапсуляция сырткы пакетти ичкиден чоң кылат, ошондуктан туннелдин ичинде колдонулуучу өлчөм ар дайым физикалык байланыштан төмөн. Ошол ICMP билдирүүлөрүн кайда болбосун чыпкаласаңыз, жөнөтүүчү түзөтүүнү эч качан албайт, толук сегменттерди жөнөтө берет, ал эми сырткы пакет эскертүүсүз ыргытылат.

Чекти эки тараптан өлчөңүз

Экөөнүн бирин өзгөртүүдөн мурун туннелдин MTU-сун физикалык байланыш менен салыштырыңыз. Физикалык маанини көчүргөн туннел дал келбестик кайда экенин айтып койгон.

Туннелдин ичинен бөлүүгө тыюу салган сурам менен текшериңиз, жооптор келгиче пайдалуу жүктү азайтыңыз. Өлчөм аргументи пайдалуу жүктү гана эсептейт, ошондуктан иштеген сан ар дайым интерфейс MTU-сунен төмөн. Интерфейс саны керек болсо, аталыш өлчөмдөрүн кайра кошуңуз.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Сыноону туннелден тышкары сервердин ачык дарегине каршы кайталаңыз. Чоң сыноолор ал жерде да ишке ашпаса, чек серверге барган жолдо жатат жана туннелдин эч бир параметри аны жылдырбайт. Бул салыштыруу сизди эч качан көйгөй болбогон кардарды жөндөөдөн сактайт. Конфигурация файлын ачканга чейин эки жыйынтыкты тең жазып алыңыз.

mssfix жана fragment ар башка иш аткарат

mssfix туннелдин ичиндеги TCP байланыштары кол алышуу учурунда жарыялаган сегмент өлчөмүн чектейт. Бул SSH, HTTPS жана файл көчүрүү үчүн туура рычаг, ошондуктан ал коюлган заматта илинүү көп учурда жоголот. Ал UDP жүктөрүнө таптакыр тийбейт.

UDP кызматын да ташыган туннел SSH оңдолгондон кийин да иштебей калышы мүмкүн, ал эми бул жыйынтык бир параметр баарын камтыйт деп ойлогондорду адаштырат.

fragment — башка механизм жана башка курал. Ал өтө чоң пакеттерди инкапсуляцияга чейин бөлөт, UDP ташуусуна гана тиешелүү, ар бир дейтаграммага кошумча чыгым кошот жана бузулган издөө үчүн акыркы чара катары документтелген. Эки жөндөө тең туннелди бүткөн өнөктөштөрдө дал келиши керек. Бир тарап чектеп, экинчиси бөлүп турса, журналда эскертүүлөр жана файлдардан эч ким божомолдой албаган жүрүм-турум пайда болот.

Интерфейс MTU-сун төмөндөтүү — одоно вариант

Эки учта тең интерфейс MTU-сун азайтуу — одоно курал. Ал ар бир ички жөнөтүүчүгө кичине сан айтат, бул иштейт, жана бул чыгымды ага муктаж TCP агымдарына эмес, бүт трафикке жүктөйт.

Аны туннел чектей албаган трафикти ташыганда же кардар профилин көзөмөлдөбөгөн түзмөк болгондо тандаңыз. Аны симметриялуу колдонуп, маанини профилдин жанына жазыңыз. Жарым колдонулган өзгөртүү эч нерсе кылбагандан жаман, анткени ал оңдоого окшоп көрүнөт.

Илинип калган өткөрмө менен кайра сынаңыз

Жөндөөлөр жүктөлүшү үчүн кайра туташыңыз, жаңы байланыш ачып, тоңуп калган команданы кайталаңыз. Сегмент өлчөмү кол алышуу учурунда макулдашат, ошондуктан кайра туташуудан аман өткөн сессия дагы эле эски маанини ташыйт. Бул жерде ping начар сыноо, анткени бүткүл бузулуу — кичине пакеттердин өтүшү. Бузулган тизмени, жүктөөнү же чаптоону колдонуңуз.

Эгер илинүү кичине өлчөмдө уланса, башка жактан караңыз: агымды бүтүргөн абалдуу дубал, кайталанган дарек же кайра туташууда жылышкан маршрут. Ишке ашпаган сыноонун өлчөмүн жана өзгөрткөн жөндөөнү жазыңыз, анткени ушул жуп кийинки отчётту пайдалуу кылат.