SSH karājas virs OpenVPN? Vispirms izmēriet ceļa MTU

SSH pieslēdzas, uzvedne parādās, un sesija mirst, tiklīdz komanda atgriež kaut ko apjomīgu. Atbalss vēl brīdi strādā, tad savienojums beidzas, kamēr klients joprojām rāda tuneli kā paceltu. Sesija, kas ir vesela līdz datu atnākšanai, parasti atduras pret izmēra ierobežojumu, nevis SSH defektu. Zemāk esošās pārbaudes ir sakārtotas tā, lai lētākais skaidrojums tiktu izslēgts pirmais.

Pirms aiztikt profilu, izlasiet kļūmes formu

Mazas paketes iziet, pilnas ne. Uzvedne, reklāmjosla vai viens taustiņa nospiedums ietilpst viegli; mapes saraksts, lejupielāde vai ielīmēts bloks neietilpst. Izmērs, kurā uzvedība mainās, ir pavediens, nevis fakts, ka SSH ir iesaistītā programma.

Mehānisms ir ceļa MTU atklāšana, kas ir atkarīga no atgriezeniskās saites. TCP izvēlas segmenta izmēru, un, kad maršrutētājs ceļā nevar pārsūtīt iegūto paketi, tam būtu par to jāpaziņo ar ICMP ziņojumu. Iekapsulēšana padara ārējo paketi lielāku par iekšējo, tāpēc izmantojamais izmērs tunelī vienmēr ir zem fiziskā posma. Filtrējiet šos ICMP ziņojumus jebkur, un sūtītājs nekad nesaņems labojumu, turpinās sūtīt pilnus segmentus, un ārējā pakete tiks izmesta bez brīdinājuma.

Izmēriet griestus no abām pusēm

Salīdziniet tuneļa MTU ar fizisko posmu, pirms mainīt kādu no tiem. Tunelis, kas nokopējis fizisko vērtību, jau ir pateicis, kur atrodas neatbilstība.

Pārbaudiet no tuneļa iekšpuses ar pieprasījumu, kas aizliedz sadalīšanu, samazinot lietderīgo slodzi, līdz atgriežas atbildes. Izmēra arguments skaita tikai slodzi, tāpēc strādājošais skaitlis vienmēr ir zem saskarnes MTU. Pievienojiet galveņu izmērus atpakaļ, ja nepieciešams saskarnes skaitlis.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Atkārtojiet pārbaudi pret servera publisko adresi no tuneļa ārpuses. Ja lielas pārbaudes neizdodas arī tur, ierobežojums atrodas ceļā uz serveri un neviena tuneļa opcija to nepārvietos. Šis salīdzinājums pasargā jūs no tāda klienta regulēšanas, kas nekad nav bijis problēma. Pierakstiet abus rezultātus, pirms atverat konfigurācijas failu.

mssfix un fragment dara dažādu darbu

mssfix ierobežo segmenta izmēru, ko tuneļa iekšienē esošie TCP savienojumi paziņo savas rokasspiediena laikā. Tas ir pareizais svira SSH, HTTPS un failu kopēšanai, tāpēc iesprūšana bieži pazūd, tiklīdz tas ir iestatīts. Tas nemaz neaizskar UDP slodzes.

Tunelis, kas pārvadā arī UDP pakalpojumu, var turpināt neizdoties pēc tam, kad SSH ir salabots, un šis iznākums mulsina ikvienu, kas pieņem, ka viena opcija aptver visu.

fragment ir otrs mehānisms un cits rīks. Tas sadala pārāk lielas paketes pirms iekapsulēšanas, attiecas tikai uz UDP transportu, pievieno izmaksas katram datagramam un ir dokumentēts kā pēdējais līdzeklis bojātai atklāšanai. Abiem iestatījumiem jāsakrīt partneros, kas pabeidz tuneli. Kad viens gals ierobežo, bet otrs sadala, rodas žurnāla brīdinājumi un uzvedība, ko neviens nevar paredzēt no failiem.

Saskarnes MTU pazemināšana ir rupjais variants

Saskarnes MTU samazināšana abos galos ir rupjais rīks. Tas katram iekšējam sūtītājam pasaka mazāku skaitli, kas strādā, un šo izmaksu uzliek visam trafikam, nevis tiem TCP plūsmām, kurām tā vajadzīga.

Izvēlieties to, kad tunelis pārvadā trafiku, ko nevarat ierobežot, vai kad klients ir ierīce, kuras profilu jūs nekontrolējat. Pielietojiet to simetriski un pierakstiet vērtību blakus profilam. Uz pusi pielietota izmaiņa ir sliktāka par nekādu, jo tā izskatās pēc labojuma.

Pārbaudiet vēlreiz ar pārsūtīšanu, kas iesprūda

Pieslēdzieties no jauna, lai iestatījumi ielādētos, atveriet jaunu savienojumu un atkārtojiet komandu, kas sastinga. Segmenta izmērs tiek saskaņots rokasspiediena laikā, tāpēc sesija, kas pārdzīvoja atkārtotu pieslēgšanos, joprojām nes veco vērtību. Ping šeit ir vājš tests, jo visa kļūme ir tajā, ka mazas paketes iziet. Izmantojiet to sarakstu, lejupielādi vai ielīmējumu, kas salūza.

Ja iesprūšana turpinās pie mazāka izmēra, skatieties citur: stāvokļa ugunsmūris, kas izbeidz plūsmu, dubulta adrese vai maršruts, kas pārbīdās pie atkārtotas pieslēgšanās. Pierakstiet neizdevušās pārbaudes izmēru un mainīto iestatījumu, jo tieši šis pāris padara nākamo ziņojumu noderīgu.