Ping на VPN работи, но страницата замрзнува: проверете ја големината

Одговорите на ехо пристигнуваат, далечинската работна површина работи, а прелистувачот стои на празна страница додека не се откаже. Две објаснувања одговараат на оваа шема, и тие не се варијанти на еден проблем: политика што никогаш не ја дозволила услугата, или пакети што престануваат да се вклопуваат кога преносот ќе порасне. Одговорот на ехо не исклучува ниту едно од двете.

Одете од најмалото прашање кон најголемото и запишете што всушност докажал секој чекор.

Одговорот на ехо одговара на многу помало прашање

Одговорот на ехо вели дека IP стекот на целта одговорил на ICMP барање од вашиот извор. Тој не кажува ништо за тоа дали на портата што ви треба постои TCP слушател, дали политиката ја дозволува таа порта, или дали целниот домаќин го филтрира сообраќајот независно од портата. Порта што дозволува една услуга може да отфрли друга, додека двете цели одговараат на ping. Читајте го одговорот како еден факт за еден пакет и една насока.

Потврдете ја целта и портата на услугата пред да протолкувате нешто друго. Адресата што ја тестиравте и адресата што ја користи апликацијата понекогаш се различни записи, а име што се разрешува во две адреси го прави тоа веројатно.

Откријте дали врската започнала

Врска што веднаш се одбива е одговор на слушателот или на политиката: нешто одговори и рече не. Врска што се отвора и потоа заглавува кога податоците почнуваат да се движат упатува на големината. Врска што воопшто не го завршува ракувањето обично е прашање на политика или рутирање и изгледа како истек на време, а не како одбивање.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Запишете кој од тие три случаи го забележавте пред да ги допрете поставките за MTU. Менувањето на големината на тунелот за да се поправи одбиена врска ја троши таа промена и извесно време ја крие вистинската причина.

Измерете ја големината со наведен број

Кога заглавувањето се појавува под оптоварување, тестирајте една големина на пакет со поставен бит за забрана на фрагментација и наведете ја аритметиката за резултатот да значи нешто. На Linux со iputils, корисен товар од 1392 бајти плус ICMP заглавие од 8 бајти и IPv4 заглавие од 20 бајти дава внатрешен пакет од точно 1420 бајти. Наведете ја таа аритметика во тикетот, бидејќи гол ping што стигнува до портата не докажува ништо за апликација.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Двете проверки се мерни точки, а не препораки за големината на тунелот. Ако ICMP се филтрира некаде на патот, истекот на време не кажува ништо за големината, бидејќи филтрирањето и преголемиот пакет изгледаат исто од страната на клиентот. Успехот исто така не кажува ништо за спротивната насока или за друга цел.

Сметајте на надворешниот пат

Инкапсулацијата додава свои заглавија, така што пакетот на жицата е поголем од пакетот што го измеривте внатре во тунелот. Токму разликата меѓу двете овозможува истовремено постоење на мало барање што работи и големо што не успева.

Откривањето на MTU на патот во IPv4 зависи од повратни информации за пакети што не можат да се препратат без фрагментација, а IPv6 користи пораки Packet Too Big. Спецификацијата на IPv4 го опишува тој механизам. Филтрирањето на повратните информации ја крши способноста на испраќачот да учи и го остава повторно да испраќа пакети што никогаш нема да се вклопат. Затоа мало барање што работи и големо што не успева толку удобно коегзистираат.

Променете еден број и повторно тестирајте ја апликацијата

Намалете го MTU на тунелот или ограничете ја максималната големина на сегмент за TCP, потоа повторете го оригиналниот тест на апликацијата наместо проверката. Проверка што успева по промената и апликација што и понатаму заглавува се различен проблем со слична форма, и само тестот на апликацијата ги разликува.

Чувајте ја аритметиката во записот за промената: измерената големина, претпоставениот дополнителен трошок и поставената вредност. Секој што ќе го прегледа тоа подоцна може да ја провери претпоставката наместо повторно да ја изведе од слика од екранот на ping.

Ако апликацијата работи при секоја големина што ја пробавте, престанете да ги прилагодувате броевите и погледнете ја политиката што ја одвојува услугата што работи од онаа што не успева.