VPN-Ping funktionéiert, awer d'Websäit hänkt: kontrolléiert d'Gréisst

Echo-Äntwerten kommen un, den Remote-Desktop funktionéiert, an de Browser bleift op enger eideler Säit, bis en opgëtt. Zwee Erklärungen passen zu dësem Muster, an et sinn net Variante vun engem Problem: eng Politik, déi den Déngscht ni erlaabt huet, oder Pakker, déi ophalen ze passen, soubal d'Iwwerdroung wiisst. D'Echo-Äntwert schléisst keng vun deenen zwee aus.

Gitt vun der klengster Fro zur gréisster, a schreift op, wat all Schrëtt tatsächlech bewisen huet.

Eng Echo-Äntwert beäntwert eng vill méi kleng Fro

Eng Echo-Äntwert seet, datt den IP-Stack vum Zil op eng ICMP-Ufro vun Ärer Quell geäntwert huet. Si seet näischt doriwwer, ob et en TCP-Listener um Port gëtt, deen Dir braucht, ob eng Politik dee Port erlaabt, oder ob den Zilhost den Trafik onofhängeg vum Gateway filtert. En Gateway, deen een Déngscht erlaabt, kann en aneren dropsen, während béid Ziler op Ping äntwerten. Liest d'Äntwert als eng eenzeg Tatsaach iwwer ee Pak an eng Richtung.

Bestätegt d'Zil an de Port vum Déngscht, ier Dir eppes anescht interpretéiert. D'Adress, déi Dir getest hutt, an d'Adress, déi d'Applikatioun benotzt, sinn heiansdo verschidde Rekorder, an en Numm, deen sech an zwou Adressen opléist, mécht dat wahrscheinlech.

Fannt eraus, ob d'Verbindung ugefaang huet

Eng Verbindung, déi direkt refuséiert gëtt, ass eng Äntwert vum Listener oder vun der Politik: eppes huet geäntwert a gesot nee. Eng Verbindung, déi sech opmécht an dann hänkt, wann d'Daten ufänken ze beweegen, weist op d'Gréisst. Eng Verbindung, déi den Handshake iwwerhaapt net fäerdeg mécht, ass normalerweis Politik oder Routing a gesäit aus wéi en Timeout, net wéi eng Refus.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Schreift op, wéi ee vun deenen dräi Dir observéiert hutt, ier Dir MTU-Astellungen ufänkt. D'Gréisst vun engem Tunnel ze änneren, fir eng refuséiert Verbindung ze reparéieren, verschwend d'Ännerung a verstoppt d'richteg Ursaach eng Zäit laang.

Moosst d'Gréisst mat enger genannter Zuel

Wann d'Stocken ënner Laascht opdaucht, testt eng Pakgréier mam Don't-Fragment-Bit gesat a nennt d'Arithmetik, sou datt d'Resultat eppes bedeit. Op Linux mat iputils gëtt eng Notzlaascht vun 1392 Byte plus den 8-Byte-ICMP-Header an den 20-Byte-IPv4-Header en bannenzege Pak vun genau 1420 Byte. Nennt dës Arithmetik am Ticket, well en nackte Ping, deen de Gateway erreecht, näischt iwwer eng Applikatioun beweist.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Béid Tester sinn Miesspunkten, keng Empfehlungen fir eng Tunnelgréisst. Wann ICMP iergendwou um Wee gefiltert gëtt, seet en Timeout näischt iwwer d'Gréisst, well Filterung an e ze grousse Pak aus Client-Siicht d'selwecht ausgesinn. En Erfolleg seet och näischt iwwer déi ëmgedréint Richtung oder iwwer en anert Zil.

Rechent mam baussenzege Wee

D'Encapsulation setzt seng eege Header derbäi, sou datt de Pak um Kabel méi grouss ass wéi de Pak, deen Dir am Tunnel gemoosst hutt. Genau den Ofstand tëscht deenen zwee mécht gläichzäiteg eng funktionéierend kleng Ufro an eng feelend grouss méiglech.

D'Erkennung vun der Wee-MTU an IPv4 hänkt vum Feedback iwwer Pakker of, déi net ouni Fragmentatioun kënne weidergi ginn, an IPv6 benotzt Packet-Too-Big-Message. D'IPv4-Spezifikatioun beschreift dee Mechanismus. D'Filtere vum Feedback brécht dem Sender seng Fähegkeet ze léieren an hält en dobei, Pakker nach eng Kéier ze schécken, déi ni wäerte passen. Dofir kënnen eng funktionéierend kleng Ufro an eng feelend grouss sou bequem niewenteneen existéieren.

Ännert eng Zuel a testt d'Applikatioun nach eng Kéier

Setzt d'MTU vum Tunnel erof, oder begrenzt d'maximal Segmentgréisst fir TCP, a widderhollt dann den ursprénglechen Applikatiounstest amplaz vun der Probe. Eng Probe, déi no der Ännerung geléngt, an eng Applikatioun, déi nach ëmmer hänkt, sinn en anere Problem mat enger ähnlecher Form, an nëmmen den Applikatiounstest ënnerscheet se.

Halt d'Arithmetik am Ännerungsrekord: d'gemoosst Gréisst, den ugehollenen Iwwerhead an de Wäert, deen Dir gesat hutt. Wien dat méi spéit iwwerpréift, kann d'Annahm kontrolléieren amplaz se aus engem Screenshot vun engem Ping erëm ofzeleeden.

Wann d'Applikatioun bei all Gréisst funktionéiert, déi Dir probéiert hutt, hält op mat Zuelen upassen a kuckt d'Politik, déi den funktionéierende Déngscht vum feelende trennt.