Windows L2TP айрым сайттарды ачат: pfSense’те DF битин тазалаңыз

Ноутбук туташат, ички тармак ачылат, ал эми бир нече коомдук сайт токтоп калат. Аутентификация жана маршруттоо ачык иштеп жатат, бул түшүндүрмө катары пакеттин өлчөмүн калтырат. L2TP/IPsec туннелинде колдонулуучу MTU адаптер азыр да жарыялагандан кичине, ал эми кардар «бөлүштүрбө» бити күйгүзүлгөн толук өлчөмдүү пакеттерди жиберүүнү улантат. pfSense дарбазасына ошол битти тазалоого буйрук берилиши мүмкүн, жана бул туура оңдоодон мурун диагнозду ырастоонун эң тез жолу.

Ийгиликсиз болгон барактардан баштаңыз

Каалаган жөндөөгө кол тийгизүүдөн мурун кайсы багыттар ийгиликсиз болорун жана кайсылары иштээрин жазып алыңыз. Туннелдин чегинен төмөн калган кол кармашуулар кадимкидей аяктайт, ал эми толук өлчөмдүү сегментти талап кылган өткөрүүлөр жол ортосунда токтойт. Бул бөлүнүү фильтрдин эмес, өлчөм көйгөйүнүн белгиси, анткени бөгөттөлгөн багыт барактын ортосунда эмес, байланыш түзүлүүдө ийгиликсиз болот. Эки байкоо тең эч нерсе турбайт жана издөөнү дароо тарайтат.

Битти коюп, пайдалуу жүктүн өлчөмүн көзөмөлдөгөн ping менен текшериңиз. Өтүп кеткен эң чоң жүк сизге жолдун чыныгы MTU’сун айтат, ал эми адаптердин жарыяланган мааниси экөө канчалык алыс экенин көрсөтөт.

Эки санды тең жазып алыңыз. Оңдоо кайсынысы туура эмес экенине байланыштуу, жана дал ушул жупту кийинчерээк жазуу ырастайт.

DF бити чыгууда эмне кылат

Сандардын айырмасынын себеби — инкапсуляция. IPsec ESP кошот, L2TP дагы бир аталышты кошот, ошондуктан туннель физикалык байланыштан аз пайдалуу жүк ташыйт. Windows дагы эле адаптерде 1500 байт деп билдирет жана жибергенине «бөлүштүрбө» коёт. Мындай пакет батпаганда, дарбазанын туура жообу — жиберүүчүдөн кичирейтин сураган ICMP билдирүүсү. Ошондуктан кичине ping’дерди өткөргөн туннель да файл жүктөөдө ийгиликсиз болушу мүмкүн.

Бул билдирүү көбүнчө эч качан жетпейт. Кайсы бир секирик ICMP’ни чыпкалашы мүмкүн, же аны эч нерсе жаратпайт, ал эми жиберүүчү өткөрүү баш тартканга чейин ошол өлчөмдү кайталайт.

Бул жерде үнсүздүк кадимки көрүнүш, ошондуктан симптом тандоо бөгөтү катары окулат. Кардардын журналында жоголгон ICMP билдирүүсүн эч нерсе жаза бербейт.

pfSense параметри жана ал эмне кылбайт

Параметр Система, Кеңейтилген, Файрвол жана NAT баракчасында «Пакеттерди ыргытуунун ордуна жараксыз DF биттерин тазала» деген белги менен жайгашкан. Туу көтөргөн өтө чоң пакетти ыргытуунун ордуна чыпка тууну алып салат жана пакеттин төмөн жагында бөлүнүшүнө жол берет. Пакет чыгуучу интерфейстен бир бөлүктө өтө албаса, жараксыз деп эсептелет.

Параметр кардарга тийбестен байланышты калыбына келтирет, ошондуктан белгилүү. Бул ошондой эле айланып өтүү жолу: бөлүштүрүү CPU жумшайт жана ар бир жоголгон бөлүктү кымбатыраак кылат.

Ал өткөрүлгөн трафикке гана тиешелүү, файрвол өзү жараткан трафикке эмес. Ушул эле баракча «Файрвол тазалоосун өчүр» сунуштайт, ал нормалдаштырууну толугу менен өчүрөт, жана бул бул көйгөйгө керектүүдөн алда канча кеңири өзгөрүү.

TCP’ни бөлүштүрбөй сактаган тарыраак оңдоо

Токтоп калган агымдардын дээрлик баары TCP, ал эми TCP бөлүштүрүүгө таянуунун ордуна кичирээк сегмент жөнүндө келише алат. Туннелдин интерфейсинде MSS’ти чектөө кол кармашуу учурунда жарыяланган маанини кайра жазат, ошондуктан ар бир тарап чындап батканды жиберет. Андан кийин жол болжолдуу жүрүм-турум көрсөтөт жана эч бир пакетти бөлүүнүн кереги жок.

Бул UDP’ни ачууга же DF параметрине калтырат. Ийгиликсиз болгон сайттар кадимки веб барактар болсо, чектөө — артык көрүлүүчү өзгөрүү.

Кардар netsh interface ipv4 show subinterfaces аркылуу өз адаптеринин MTU’сун билдире алат. Ошол санды сервер келишилди деп эсептеген менен салыштырыңыз, анткени экөө ар дайым бирдей эмес. Келишүү эмне деп билдирсе да, операциялык система чындап колдоно турган маани — ошол.

Жазуу менен ырастаңыз, анан абалды баштапкы абалга келтириңиз

Чечим кабыл алуудан мурун эки тарапта тең жазып алыңыз: бири туннель жүргөн жерде, экинчиси WAN интерфейси жүргөн жерде. Толук өлчөмдө чыгып, ICMP кайтпаган пакеттер чектөөнү туура катмар катары көрсөтөт. Келип, кайра жолдо өлгөн жооптор анын ордуна туннелдин MTU’сун көрсөтөт.

Кайра аракет кылуудан мурун абалдар таблицасын тазалаңыз, анткени бар агымдар эски сегмент өлчөмдөрүн сактайт. Анан ийгиликсиз болгон баракты жүктөп, бир тараптуу эсептегичтердин ордуна эки тараптуу трафик үчүн абал көрүнүшүн окуңуз. Эгер ал дагы эле токтоп калса, дагы бир белги кутучасын сынап көрүүнүн ордуна кайра жазып алыңыз.