Windows L2TP lued nëmmen e puer Säiten: läscht den DF-Bit op pfSense

Den Laptop verbënnt sech, den Intranet lued, an eng Handvoll ëffentlech Säiten hänken. Authentifikatioun a Routing funktionéieren offensichtlech, wat d’Pakettgréisst als Erklärung léisst. An engem L2TP/IPsec-Tunnel ass déi benotzbar MTU méi kleng wéi déi den Adapter nach annoncéiert, an de Client schéckt weider Paketter a voller Gréisst mam Don’t-Fragment-Bit gesat. Engem pfSense-Gateway kann ee befeelen, dee Bit ze läschen, an dat ass de séierste Wee fir d’Diagnos ze bestätegen, ier se richteg behuewen gëtt.

Fänkt mat de Säiten un, déi feelen

Notéiert wéi eng Destinatiounen feelen an wéi eng et packen, ier Dir eng Astellung beréiert. Handshakes, déi ënner dem Tunnellimit bleiwen, ginn normal fäerdeg, wärend Transfere mat engem Segment a voller Gréisst hallefem Wee stoppen. Dee Spléck ass d’Signatur vun engem Gréissteproblem an net vun engem Filter, well eng blockéiert Destinatioun beim Opbau vun der Verbindung feelt an net mëtt op der Säit. Béid Observatioune kaschten näischt a verengen d’Sich direkt.

Testt mat engem Ping, dee den Bit setzt an d’Gréisst vun der Notzlaascht kontrolléiert. Déi gréisst Notzlaascht, déi duerchkënnt, seet Iech déi richteg Wee-MTU, an den annoncéierte Wäert vum Adapter weist wéi wäit déi zwee ausernee sinn.

Schreift béid Zuelen op. D’Korrektur hänkt dovun of wéi eng falsch ass, an d’Paar ass et, wat eng Opnam spéider bestätegt.

Wat den DF-Bit um Ausgang mécht

D’Enkapsulatioun ass de Grond firwat d’Zuelen ënnerschiddlech sinn. IPsec setzt ESP derbäi, L2TP nach en Header, an den Tunnel dréit dofir manner Notzlaascht wéi de physikalesche Link. Windows mellt nach ëmmer 1500 Byte um Adapter a setzt Don’t-Fragment op dat, wat et schéckt. Wann esou e Pakett net passt, ass déi richteg Äntwert vum Gateway eng ICMP-Noriicht, déi de Sender freet sech ze verklengeren. Dofir kann en Tunnel, deen kleng Pings duerchléisst, trotzdem en Dateidownload feelen.

Déi Noriicht kënnt dacks ni un. En Hop kann ICMP filteren, oder näischt generéiert se, an de Sender widderhëlt déiselwecht Gréisst bis den Transfer opgëtt.

Stëllt ass hei déi normal Presentatioun, dofir gëtt de Symptom als selektiv Blockade gelies. Näischt am Client-Log verzeechent eng feelend ICMP-Noriicht.

D’pfSense-Optioun, an dat wat se net mécht

D’Optioun steet op der Säit System, Erweidert, Firewall an NAT, mat der Bezeechnung „Ongülteg DF-Bits läschen amplaz d’Paketter ze verwerfen“. Amplaz en iwwergrousst Pakett mat dem Fändel ze verwerfen, hëlt de Filter de Fändel ewech an d’Pakett kann déif ënnen opgedeelt ginn. E Pakett gëllt als ongülteg, wa et d’Ausgangsinterface net an engem Stéck ka passéieren.

D’Optioun restauréiert d’Konnektivitéit ouni de Client ze beréieren, dofir ass se populär. Se ass och en Ëmwee: d’Fragmentatioun kascht CPU a mécht all verluerene Fragment deierer.

Se gëllt nëmme fir weidergereechten Trafick, net fir Trafick dee d’Firewall selwer erzeugt. Déiselwecht Säit bitt „Firewall-Scrub deaktivéieren“, wat d’Normalisatioun komplett ausschalt, an dat ass eng vill méi breet Ännerung wéi dëse Problem brauch.

Eng méi enk Korrektur, déi TCP onfragmentéiert hält

Bal all déi hänge bleiwen Flëss sinn TCP, an TCP kann e méi klengt Segment ausmaachen amplaz sech op d’Fragmentatioun ze verloossen. D’MSS op der Tunnelinterface begrenzen schreift den annoncéierte Wäert beim Handshake ëm, sou datt all Säit schéckt wat wierklech passt. De Wee verhält sech dann viraussobar an et muss kee Pakett opgedeelt ginn.

Dat léisst UDP der Entdeckung oder der DF-Optioun. Wann d’fehlend Säiten gewéinlech Websäite sinn, ass d’Begrenzung déi Ännerung déi een ze favoriséiere sollt.

De Client ka seng eegen Adapter-MTU iwwer netsh interface ipv4 show subinterfaces mellen. Vergläicht déi Zuel mat deem, wat de Server mengt ausgehandelt ze hunn, well déi zwee net ëmmer d’selwecht sinn. Dee Wäert ass et, deen d’Betribssystem tatsächlech benotzt, egal wat d’Verhandlung gemellt huet.

Bestätegt mat enger Opnam, da setzt den Zoustand zréck

Huelt op béide Säiten op, ier Dir entscheet: eng Spuer do wou den Tunnel leeft, eng aner do wou d’WAN-Interface leeft. Paketter déi a voller Gréisst erausgoen ouni datt ICMP zréckkënnt, weisen op d’Begrenzung als déi richteg Schicht. Äntwerten déi ukommen an dann um Réckwee stierwen, weisen amplaz op d’Tunnel-MTU.

Leet d’Zoustaunstabelle, ier Dir nach eng Kéier probéiert, well déi existéierend Flëss hir al Segmentgréissten behalen. Da lued d’Säit déi gefeelt huet a liest d’Zoustaunsvue fir zweerichtegen Trafick amplaz vun eesäitegen Zähler. Wa se nach ëmmer stoppt, huelt nach eng Kéier op amplaz nach eng Këscht ze probéieren.