Kodėl „OpenConnect“ puslapiai stringa, kol nesumažinsite tunelio MTU

Prisijungimas pavyksta, portalo pagrindinis puslapis nupiešiamas, o tada valdymo skydelio valdiklis arba ataskaita lieka waiting for host būsenoje, kol naršyklė pasiduoda. Viešosios svetainės visą laiką įkeliamos normaliai, ir jokie prisijungimo duomenys nepasikeitė. Tai, kad maži atsakymai ateina, o dideli stringa, yra paketo dydžio lubų, o ne prieigos taisyklės požymis. Patvirtinkite šį vertinimą prieš keisdami ką nors kita profilyje.

Atskirkite dydžio problemą nuo politikos problemos

Pradėkite pašalindami atmetimo galimybę. Jei tarpinė būtų jus atmetusi, ryšys būtų nutrūkęs iš karto, o ne pusiau įkėlęs puslapį. Tunelis, kuris atsiranda ir tada stringa tik didesnių perdavimų metu, sako, kad išorinis kelias negali pernešti vidinio paketo.

Mechanizmas yra inkapsuliavimas. Kiekvienas vidinis paketas gauna tunelio antraštes, todėl fizinėje jungtyje tilpusi naudingoji apkrova tampa išoriniu paketu, kuris nebetelpa, ir viskas, kas turi do-not-fragment bitą, išmetama be atsakymo, kurį naršyklė galėtų suprasti.

Išmatuokite lubas do-not-fragment zondais

Išmatuokite lubas, o ne spėkite. Siųskite zondus, kurie atsisako fragmentuoti, ir mažinkite naudingąją apkrovą žingsnis po žingsnio, kol grįš atsakymas, pradėkite nuo komandos, panašios į ping -M do -s 1472 host. Atsakymas, kuris skundžiasi, kad reikia fragmentavimo, nors DF nustatytas, reiškia, kad reikšmė vis dar per didelė. Pakartokite su 1462, tada su 1452, ir sustokite ties pirmuoju dydžiu, kuris atsako. Užsirašykite skaičių kartu su hostu, kurį tikrinote, nes atsakymas priklauso tam keliui, o ne protokolui apskritai.

Tikrinkite adresą, į kurį tunelis iš tikrųjų siunčia srautą. Išorinis zondas prieš tarpinės viešą vardą ir vidinis zondas prieš vidinį serverį matuoja skirtingus šuolius, o ICMP filtravimas bet kuriame iš jų gali sveiką kelią parodyti kaip sugedusį.

Taikykite reikšmę tunelio įrenginiui

Taikykite rezultatą sąsajai, kurią sukūrė klientas, o ne Wi-Fi adapteriui. Linux kliente tai yra ip link set dev tun0 mtu 1300 ir tada ip link show tun0, kad patvirtintumėte, jog reikšmė pritaikyta. Naudokite tą įrenginio pavadinimą, kurį praneša klientas, nes jis skiriasi priklausomai nuo įgyvendinimo ir nuo to, kaip tunelis buvo pastatytas.

Tunelio MTU sumažinimas sumažina naudingąją apkrovą, kurią neša kiekvienas paketas, todėl bendras pralaidumas šiek tiek krenta, ir tai yra kaina už tai, kad dideli atsakymai nebūtų metami į juodąją skylę. Mažesnis skaičius nėra automatiškai saugesnis. Pakeitus fizinį adapterį žala pasklinda po kiekvieną tos jungties ryšį, o per dideli vidiniai paketai lieka tokie pat per dideli.

Pirmiausia naudokite paties kliento MTU prašymus

Kai valdote iškvietimą, klientas gali paprašyti dydžio, o ne būti taisomas po to. --mtu prašo tunelio MTU iš serverio, o --base-mtu deklaruoja apatinio kelio MTU, kad tarpinė galėtų išvesti tunelio skaičių. Abu yra prašymai, ir kliento vadovas nežada, kad tarpinė įvykdys bent vieną iš jų.

Šis skirtumas nustato jūsų darbo tvarką. Pirmiausia išbandykite prašymą ir apžiūrėkite sąsają, kurią jis sukuria, o tada grįžkite prie vietinio įrenginio nustatymo, jei tarpinės pasirinkta reikšmė vis dar stringa.

Patikrinkite tuo perdavimu, kuris nepavyko, ir tada padarykite tai nuolatiniu

Vietinis ip link pakeitimas galioja, kol klientas iš naujo pastatys tunelį, o tai įvyksta kitą kartą prisijungus ar atnaujinus. Įdėkite reikšmę ten, kur prasideda ryšys: apvalkalas, kuris paleidžia klientą ir tada pakoreguoja įrenginį, systemd unitas su ExecStartPost žingsniu arba kliento parinktis, kai tarpinė ją priima. Laikykite ją šalia profilio versijų kontrolėje, kad kitas žmogus matytų, kodėl skaičius yra ten.

Testuokite tuo prašymu, kuris nepavyko, o ne pagrindiniu puslapiu. Atidarykite ataskaitą, atsisiųskite priedą arba paleiskite saugyklos gavimą, kuris strigo, ir pažymėkite tiksliai, kur jis sustoja, jei vis dar sustoja. Puslapis, kuris nupiešiamas po pakeitimo, mažai ką įrodo, nes buvo piešiamas ir anksčiau.

Jei tas pats perdavimas stringa toje pačioje vietoje, MTU teorija neįrodyta. Užfiksuokite srautą tunelyje ir patikrinkite, kuri pusė nustoja siųsti, prieš vėl keisdami skaičių, ir laikykite ankstesnę reikšmę užrašytą, kad atstatymas liktų viena komanda.