Неуспех на DNS или проблем со MTU? Каде барањето всушност запира

Два неуспеха му даваат на корисникот иста реченица: страницата не работи. Тие се случуваат на различни слоеви, и таа разлика одлучува што ќе смените. Неуспехот при разрешување на име запира пред да постои каква било врска. Неуспехот со големината на пакетот се случува откако името е разрешено и откако ракувањето е завршено, затоа страницата почнува да се вчитува и потоа блокира. Пронајдете ја фазата пред да ја пронајдете поставката.

Два неуспеха на различни слоеви

Разрешувањето претвора име во адреса и ништо друго во врската не може да започне додека тоа не успее. Проблемите со MTU на патеката се случуваат подоцна, кога пакет поголем од границата на некоја врска се отфрла и испраќачот никогаш не дознава за тоа. Едното е пребарување; другото е неуспех при достава што се појавува само над одредена големина.

Симптомите се разликуваат на начин што можете да го набљудувате без никакви алатки. Неуспехот на DNS е моментален и постојан: прелистувачот вели дека серверот не може да се најде. Неуспехот на MTU е делумен: страницата почнува, некои ресурси пристигнуваат, а голем одговор или прикачување блокира.

Ако вашиот симптом е делумен, престанете да гледате во DNS.

Фаза 1: дали името воопшто се разрешува

Користете ги алатките за пребарување на платформата со точното име на домаќинот што го користи апликацијата. Приватно име во канцеларијата може да бара внатрешен разрешувач, а сопствениот безбеден DNS на прелистувачот може да се однесува поинаку од разрешувачот на оперативниот систем, така што двете можат да не се сложат за истото име.

Прашајте го разрешувачот што оперативниот систем би го користел, потоа споредете:

dig +short vpn.example.com
dig +short vpn.example.com @10.0.0.53

Ако разрешувањето не успее, проблемот е во таа политика и нејзината достапност. Не испраќајте приватни имиња до произволни јавни разрешувачи само за да добиете споредба, затоа што самата споредба ги открива имињата што сакавте да останат внатрешни.

Фаза 2: каде запира преносот

Ако името се разреши и врската започне, забележете каде запира операцијата. Страница што се прикажува и потоа блокира на еден ресурс, прикачување што умира во постојана точка или големо преземање што никогаш не завршува, додека малите барања работат, сите се симптоми во форма на големина. Одговор што воопшто не започнува има друга форма.

Држете ги крајната точка и целта на апликацијата фиксирани додека споредувате, инаку мерите две променливи истовремено. Во оваа фаза можни се и други причини: грешки на услугата, загуба, однесување на филтерот и повторни поврзувања на тунелот — сите создаваат блокирања.

Едно повторливо блокирање вреди повеќе од десет анегдотски.

Зошто MTU штети само по ракувањето

Ракувањето на TCP користи мали пакети, затоа успева на патека што не може да пренесе сегмент со полна големина. Неуспехот се појавува кога испраќачот испрати голем пакет со битот за забрана на фрагментација, врската го отфрла, а ICMP пораката што требаше да ја пријави границата никогаш не пристигнува затоа што филтер ја изел. Потоа испраќачот ја повторува истата големина и преносот блокира.

Затоа симптомот зависи од големината и се повторува, наместо да биде случаен. Тоа исто објаснува зошто пингувањето на домаќинот ништо не докажува, затоа што мал ICMP еко може да помине по патека што нема да пренесе товар со полна големина. Ако можете, измерете ја големината од двата краја на патеката. Граница што се појавува само во еден насока е асиметрија на рутирањето, а не MTU на тунелот.

Измерете ја големината експлицитно, наместо да ја изведувате:

ping -M do -s 1472 203.0.113.20
tracepath 203.0.113.20

Сменете еден слој, потоа докажете го

За имиња, сменете ја политиката на разрешувачот и повторно извршете го истото пребарување. За големина, користете постапката за MTU со забележани оригинални вредности и подготвено враќање, затоа што ограничувањето на MSS без познавање на вистинскиот MTU на тунелот разменува едно блокирање за друго.

Страница што се вчита еднаш откако ќе се сменат неколку поставки не покажува кое е поправката. Сменете едно нешто, повторно извршете го истиот тест и чувајте го резултатот до првата забележана неуспешна фаза.

Токму тој запис спречува DNS, големината на пакетот и автентикацијата да станат куп трајни заобиколувања што никој не може да ги објасни. Тестирањето преку суров IP е добар пример за кратен пат што го менува идентитетот на TLS, а исклучувањето на проверката на сертификатот за да успее споредбата не е дијагноза.