Vai Git iestrēgst bez VPN? OpenSSH atzīmē paketes ar IPQoS

Klons no biroja strādā, tas pats klons caur tālruņa hotspotu strādā, un tas pats klons no viesnīcas tīkla iestrēgst, līdz tiek ieslēgts VPN. SSH roku sasveicināšanās beidzas, un sesija apklust pirmajā īstajā pārsūtīšanā. Viena rinda, kas pievienota klienta konfigurācijai, izārstē git un ssh kopā. Kad viens klienta iestatījums uzreiz salabo vairākus rīkus, kļūda ir tajā, ko klients sūta, nevis tajā savienojumā, pa kuru tas sūta.

Lasiet simptomu kā maršruta atšķirību

Tunelis, kas izārstē problēmu, reti ir remonts. Tas nomaina maršrutu, operatoru un starpierīces, bet portatīvais dators turpina ražot tieši tās pašas paketes. Ja viens maršruts nepareizi apstrādā galveni un cits to laiž cauri nemainītu, atšķirība ir starpierīces politikā, nevis klientā. Šeit tunelis ir liecinieks, nevis risinājums.

Punkts, kurā sesija mirst, to vēl vairāk sašaurina. Nekas, kas neizdodas vārdu meklēšanā vai atslēgu apmaiņā, neizskatās šādi. Sesija, kas autentificējas, izdrukā baneri un pēc tam sasalst pirmajā lielajā rakstīšanā, jau ir pierādījusi, ka maršrutēšana, vārdi un akreditācijas dati visi darbojas.

Klients uzlīmē QoS baitu uz katras SSH ligzdas

Katrs OpenSSH savienojums no 7.8 versijas IP galvenē nes vērtību, ko maršrutētāji var izmantot trafika prioritizēšanai. Termināļa sesijas iegūst vienu vērtību, bet lielapjoma kopijas citu, pamatojoties uz teoriju, ka rakstošs cilvēks ir pelnījis labāku attieksmi nekā faila pārsūtīšana. Lielākā daļa tīklu šo norādi pilnībā ignorē, tāpēc tā gadiem paliek nepamanīta. Mazākums Wi-Fi draiveru, mobilo sakaru operatoru un VPN koncentratoru uz to reaģē, un daži no tiem reaģē slikti.

Kad šī vērtība tiek pārrakstīta vai izmesta plūsmas vidū, savienojums neizgāžas, tas pārstāj virzīties uz priekšu. Atkārtotas pārsūtīšanas aug, logs sabrūk, un lietotne neko neziņo, jo nekas nebija devis kļūdu. Šis klusums ir iemesls, kāpēc cilvēki simptomu apraksta kā iekāršanos, nevis kā atteici.

Vispirms apstipriniet klienta versiju ar ssh -V. Jebkura versija no 7.8 vai jaunāka pēc noklusējuma nes šo uzvedību.

Trīs komandas, kas to atdala no MTU un DNS

Pirms rediģēt jebkuru konfigurācijas failu, ir jāizslēdz divi līdzīgi cēloņi. MTU kļūda laiž cauri mazās apmaiņas un sasalst pirmajā lielajā paketē, savukārt vārdu kļūda nekad neizveido sesiju.

ssh -o IPQoS=none -v [email protected]
ssh -G [email protected] | grep -i ipqos
sudo tcpdump -ni any -vv "tcp port 22"

Pirmā komanda atkārto neizdevušos darbību ar izslēgtu atzīmi, un tās veiksmīga izpilde ir spēcīgākais vienīgais pieejamais pierādījums. Otrā izdrukā konfigurāciju, ko klients patiešām piemēros šim mērķim, un tas noķer novecojušu ierakstu failā, kuru esat aizmirsis. Trešā rāda TOS baitu abos virzienos, kamēr pārsūtīšana ir iestrēgusi, un interesantais modelis ir vērtība bojātajā maršrutā un tās neesamība strādājošajā.

Uzņemiet uz portatīvā datora, nevis servera, jo vērtību nosaka sūtītājs un abi virzieni to var mainīt. Salīdziniet strādājošu un neizdevušos maršrutu ar to pašu uzņēmumu, un atšķirība parādīsies bez minējumiem.

Ievietojiet izņēmumu vienā failā, pa vienam resursdatoram

Izņēmums pieder pie resursdatora, uz kuru tas attiecas, ar komentāru, kas pasaka, kāpēc tas pastāv.

Host gitlab.example.internal
    IPQoS none
    # direct route rewrites the marking; the tunnel route passes it

Tvērums ir svarīgāks par pašu vērtību. Aizstājējieraksts izslēdz uzvedību visur, izmet norādi, kas palīdz labi uzvedīgos tīklos, un neatstāj nevienu, kas varētu pateikt, kad tā parādījās. Ieraksts vienam resursdatoram ir lasāms, atgriežams un pēc tīkla salabošanas to ir triviāli viegli izdzēst. Izmantojiet lietotāja failu personīgai apiešanai un pārvaldītu failu, kad visai flotei vajag to pašu izņēmumu.

Skaidri sakiet, ko izņēmums neaptver. Tas attiecas uz SSH, tāpēc HTTPS attālinātā krātuve, pakešu spogulis un pārlūks paliek ārpus tā, un jebkura no tiem atteicei vajag savu pierādījumu. Ķēdē caur bastionu katrs lēciens izmanto klienta konfigurāciju, un iestrēgušais lēciens ir tas, ko ir vērts ierobežot.

Noslēdziet loku ar tīkla īpašnieku

Nododiet atradumu kā četrus faktus: klienta versija, pārbaudītais maršruts, izmantotais VPN klients un kurš virziens nesa atzīmi. Šie četri ir pietiekami tīkla īpašniekam, lai atkārtotu attieksmi un izlemtu, vai tā ir tīša.

Ja izņēmums neizārstē iestrēgšanu, noņemiet to. Apiešana, kas pārdzīvo neizdevušos eksperimentu, kļūst par folkloru, un nākamais cilvēks pavada stundu, pierādot, ka tā neko nedara. Ja tā izārstē iestrēgšanu, ceļš joprojām ir nepareizs katram citam rīkam, kas to šķērso, un remonts pieder tam, kurš pārvalda starpierīci.

Klienta izmaiņa ir pagaidu risinājums ar derīguma termiņu. Ierakstiet šo termiņu komentārā.