Firwat OpenConnect-Säiten hänke bis Dir d’MTU vum Tunnel erofsetzt

D’Aloggen geléngt, d’Startsäit vum Portal gëtt gezeechent, an duerno bleift e Dashboard-Widget oder e Rapport op waiting for host stoen, bis de Browser opgëtt. Ëffentlech Säite luede sech déi ganzen Zäit normal, an et huet sech kee Login-Date geännert. Datt kleng Äntwerten ukommen, während grouss hänke bleiwen, ass d’Signature vun enger Plafong vun der Pakettgréisst an net vun enger Zougrëffsregel. Bestätegt dës Liesung, ier Dir nach eppes anescht am Profil ännert.

Trennt e Gréissteproblem vun engem Politikproblem

Fänkt domat un, eng Oflehnung auszeschléissen. Wa säi Gateway Iech ofgelehnt hätt, hätt d’Verbindung direkt versot, amplaz eng Säit hallef ze lueden. En Tunnel, deen eropkënnt an duerno nëmmen bei méi groussen Iwwerdroungen hänke bleift, seet Iech, datt de baussenzege Wee de bannenzege Pakett net ka droen.

De Mechanismus ass d’Encapsulation. All bannenzege Pakett kritt Tunnel-Header, sou datt eng Notzlaascht, déi an de physikalesche Link gepasst huet, en baussenzege Pakett gëtt, deen net méi passt, an alles, wat de do-not-fragment-Bit dréit, gëtt verworf, ouni eng Äntwert, déi de Browser ka interpretéieren.

Misst d’Plafong mat do-not-fragment-Proben

Misst d’Plafong, amplaz se ze roden. Schéckt Proben, déi d’Fragmentatioun verweigeren, a senkt d’Notzlaascht Schrëtt fir Schrëtt, bis eng Äntwert zréckkënnt, fänkt mat engem Befehl un wéi ping -M do -s 1472 host. Eng Äntwert, déi sech bekloert, datt Fragmentatioun néideg ass, während DF gesat ass, bedeit, datt de Wäert nach ëmmer ze héich ass. Widderhëlt bei 1462, duerno 1452, a stoppt bei der éischter Gréisst, déi äntwert. Schreift d’Zuel zesumme mam Host op, deen Dir gepréift hutt, well d’Äntwert gehéiert zu deem Wee an net zum Protokoll am Allgemengen.

Préift d’Adress, op déi den Tunnel tatsächlech Traffic schéckt. Eng baussenzeg Prob géint den ëffentlechen Numm vum Gateway an eng bannenzeg Prob géint en internen Server moossen ënnerschiddlech Hops, an d’ICMP-Filterung op enger vun deenen zwee kann en gesonde Wee futti ausgesi loossen.

Wendt de Wäert um Tunnelapparat un

Wendt d’Resultat op d’Interface un, déi de Client ugeluecht huet, net op den Wi-Fi-Adapter. Bei engem Linux-Client ass dat ip link set dev tun0 mtu 1300 duerno ip link show tun0 fir ze bestätegen, datt de Wäert ugeholl gouf. Benotzt de Gerätenumm, deen de Client mellt, well dee je no Implementatioun a je no deem, wéi den Tunnel gebaut gouf, ännert.

D’MTU vum Tunnel erofzesetzen mécht d’Notzlaascht klenger, déi all Pakett dréit, dofir geet den Duerchsaatz e bësse erof, an dat ass de Präis dofir, grouss Äntwerten net an e Schwaarzt Lach ze schécken. Eng méi kleng Zuel ass net automatesch méi sécher. Amplaz de physikaleschen Adapter ze änneren verdeelt de Schued op all Verbindung op deem Link, während iwwerdimensionéiert bannenzeg Paketter genausou iwwerdimensionéiert bleiwen.

Benotzt fir d’éischt dem Client seng eegen MTU-Ufroen

Wann Dir den Opruff kontrolléiert, kann de Client eng Gréisst ufroen, amplaz duerno gefléckt ze ginn. --mtu freet den Tunnel-MTU beim Server un, an --base-mtu deklaréiert den MTU vum ënnerleeënde Wee, sou datt de Gateway d’Tunnelzuel kann ofleeden. Béides sinn Ufroen, an dem Client seng Handbuch versprécht net, datt de Gateway eng vun deenen zwee respektéiert.

Dee Ënnerscheed bestëmmt Är Aarbechtsuerdnung. Probéiert d’éischt d’Ufro a kuckt d’Interface, déi se produzéiert, a fällt duerno op d’lokal Astellung vum Apparat zréck, wann de Wäert, dee säi Gateway gewielt huet, nach ëmmer hänke bleift.

Verifizéiert mat der Iwwerdroung, déi versot huet, a maacht se duerno dauerhaft

Eng lokal ip link Ännerung hält, bis de Client den Tunnel nei baut, wat bei der nächster Reconnect oder Resumé geschitt. Setzt de Wäert dohinner, wou d’Verbindung ufänkt: e Wrapper, deen de Client lafe léisst an duerno den Apparat upasst, eng systemd-Eenheet mat engem ExecStartPost-Schrëtt, oder d’Client-Optioun, wann de Gateway se akzeptéiert. Halt en nieft dem Profil an der Versiounskontroll, sou datt déi nächst Persoun gesäit, firwat d’Zuel do steet.

Testt mat der Ufro, déi versot huet, net mat der Startsäit. Maacht de Rapport op, zitt den Uschloss erof oder laaft de Repository-Ofruff, deen hänke bliwwen ass, a notéiert genee, wou en ophält, wann en nach ëmmer ophält. Eng Säit, déi no der Ännerung gezeechent gëtt, beweist wéineg, well se virdru och gezeechent gouf.

Wann déi selwecht Iwwerdroung op der selwechter Plaz hänke bleift, ass d’MTU-Theorie net bewise. Fänkt den Traffic um Tunnel of a kontrolléiert, wéi eng Säit ophält ze schécken, ier Dir d’Zuel nach eng Kéier ännert, a halt de virege Wäert festgehalen, sou datt e Rollback een eenzegen Uerder bleift.