Kāpēc OpenConnect lapas iestrēgst, līdz jūs samazināt tuneļa MTU

Pieteikšanās izdodas, portāla sākumlapa tiek uzzīmēta, un tad informācijas paneļa logrīks vai atskaite paliek waiting for host stāvoklī, līdz pārlūkprogramma padodas. Publiskās vietnes visu laiku ielādējas normāli, un nav mainījušies nekādi pieteikšanās dati. Tas, ka mazas atbildes pienāk, bet lielas iestrēgst, ir paketes izmēra griestu, nevis piekļuves noteikuma pazīme. Apstipriniet šo lasījumu, pirms maināt ko citu profilā.

Atdaliet izmēra problēmu no politikas problēmas

Sāciet ar atteikuma izslēgšanu. Ja vārteja jūs būtu atteikusi, savienojums būtu uzreiz neizdevies, nevis ielādējis lapu uz pusi. Tunelis, kas paceļas un pēc tam iestrēgst tikai lielākos pārraidēs, jums saka, ka ārējais ceļš nevar pārnest iekšējo paketi.

Mehānisms ir iekapsulēšana. Katra iekšējā pakete iegūst tuneļa galvenes, tāpēc fiziskajā saitē ietilpusī lietderīgā slodze kļūst par ārējo paketi, kas vairs neietilpst, un viss, kam ir do-not-fragment bits, tiek izmests bez atbildes, ko pārlūkprogramma varētu interpretēt.

Izmēriet griestus ar do-not-fragment zondēm

Izmēriet griestus, nevis miniet. Sūtiet zondes, kas atsakās no sadalīšanas, un pakāpeniski samaziniet lietderīgo slodzi, līdz atgriežas atbilde, sāciet ar komandu, piemēram, ping -M do -s 1472 host. Atbilde, kas sūdzas, ka nepieciešama sadalīšana, kamēr DF ir iestatīts, nozīmē, ka vērtība joprojām ir pārāk liela. Atkārtojiet pie 1462, pēc tam 1452, un apstājieties pie pirmā izmēra, kas atbild. Pierakstiet skaitli kopā ar resursdatoru, kuru pārbaudījāt, jo atbilde pieder šim ceļam, nevis protokolam kopumā.

Pārbaudiet adresi, uz kuru tunelis patiešām sūta datplūsmu. Ārējā zonde pret vārtejas publisko nosaukumu un iekšējā zonde pret iekšējo serveri mēra dažādus lēcienus, un ICMP filtrēšana jebkurā no tām var likt veselam ceļam izskatīties salauztam.

Piemērojiet vērtību tuneļa ierīcei

Piemērojiet rezultātu saskarnei, kuru izveidoja klients, nevis Wi-Fi adapterim. Linux klientā tas ir ip link set dev tun0 mtu 1300 un pēc tam ip link show tun0, lai apstiprinātu, ka vērtība ir piemērota. Izmantojiet to ierīces nosaukumu, ko ziņo klients, jo tas atšķiras atkarībā no ieviešanas un no tā, kā tunelis tika uzbūvēts.

Tuneļa MTU samazināšana samazina lietderīgo slodzi, ko nes katra pakete, tāpēc kopējā caurlaidspēja nedaudz krītas, un tā ir cena par to, lai lielas atbildes neaizietu melnajā caurumā. Mazāks skaitlis nav automātiski drošāks. Fiziskā adaptera maiņa tā vietā izkliedē kaitējumu pa visiem šīs saites savienojumiem, kamēr pārāk lielas iekšējās paketes paliek tikpat lielas.

Vispirms izmantojiet paša klienta MTU pieprasījumus

Kad jūs kontrolējat izsaukumu, klients var pieprasīt izmēru, nevis tikt labotam pēc tam. --mtu pieprasa tuneļa MTU no servera, un --base-mtu deklarē apakšējā ceļa MTU, lai vārteja varētu atvasināt tuneļa skaitli. Abi ir pieprasījumi, un klienta rokasgrāmata nesola, ka vārteja izpildīs kaut vienu no tiem.

Šī atšķirība nosaka jūsu darba kārtību. Vispirms izmēģiniet pieprasījumu un apskatiet saskarni, ko tas rada, un pēc tam atgriezieties pie ierīces vietējas iestatīšanas, ja vārtejas izvēlētā vērtība joprojām iestrēgst.

Pārbaudiet ar pārraidi, kas neizdevās, un pēc tam padariet to pastāvīgu

Vietēja ip link izmaiņa darbojas, līdz klients pārbūvē tuneli, kas notiek nākamajā atkārtotajā savienojumā vai atsākšanā. Ievietojiet vērtību tur, kur sākas savienojums: ietinējs, kas palaiž klientu un pēc tam pielāgo ierīci, systemd vienība ar ExecStartPost soli, vai klienta opcija, kad vārteja to pieņem. Turiet to blakus profilam versiju kontrolē, lai nākamais cilvēks redzētu, kāpēc skaitlis ir tur.

Pārbaudiet ar pieprasījumu, kas neizdevās, nevis ar sākumlapu. Atveriet atskaiti, lejupielādējiet pielikumu vai palaidiet krātuves iegūšanu, kas iestrēga, un pierakstiet precīzi, kur tā apstājas, ja tā joprojām apstājas. Lapa, kas tiek uzzīmēta pēc izmaiņām, pierāda maz, jo tā tika uzzīmēta arī pirms tam.

Ja tā pati pārrāde iestrēgst tajā pašā vietā, MTU teorija nav pierādīta. Uzņemiet datplūsmu tunelī un pārbaudiet, kura puse pārstāj sūtīt, pirms atkal maināt skaitli, un turiet iepriekšējo vērtību pierakstītu, lai atritināšana paliktu viena komanda.