Windows L2TP ചില സൈറ്റുകൾ മാത്രം ലോഡ് ചെയ്യുന്നു: pfSense-ൽ DF ബിറ്റ് മായ്ക്കുക

ലാപ്ടോപ്പ് കണക്ട് ചെയ്യുന്നു, ഇൻട്രാനെറ്റ് ലോഡ് ചെയ്യുന്നു, എന്നാൽ കുറച്ച് പൊതു സൈറ്റുകൾ നിൽക്കുന്നു. ഓതന്റിക്കേഷനും റൂട്ടിംഗും വ്യക്തമായി പ്രവർത്തിക്കുന്നു, അതിനാൽ വിശദീകരണമായി പാക്കറ്റ് വലിപ്പം അവശേഷിക്കുന്നു. L2TP/IPsec ടണലിൽ ഉപയോഗയോഗ്യമായ MTU അഡാപ്റ്റർ ഇപ്പോഴും പ്രഖ്യാപിക്കുന്നതിനേക്കാൾ ചെറുതാണ്, ഒപ്പം ക്ലയന്റ് «വിഭജിക്കരുത്» ബിറ്റ് സെറ്റ് ചെയ്ത് പൂർണ്ണ വലിപ്പത്തിലുള്ള പാക്കറ്റുകൾ അയയ്ക്കുന്നത് തുടരുന്നു. pfSense ഗേറ്റ്വേയോട് ആ ബിറ്റ് മായ്ക്കാൻ ആജ്ഞാപിക്കാം, ശരിയായി പരിഹരിക്കുന്നതിന് മുമ്പ് രോഗനിർണ്ണയം സ്ഥിരീകരിക്കാനുള്ള വേഗതയേറിയ വഴി അതാണ്.

പരാജയപ്പെടുന്ന പേജുകളിൽ നിന്ന് തുടങ്ങുക

ഏതെങ്കിലും ക്രമീകരണം തൊടുന്നതിന് മുമ്പ് ഏത് ലക്ഷ്യസ്ഥാനങ്ങൾ പരാജയപ്പെടുന്നു, ഏതൊക്കെ വിജയിക്കുന്നു എന്ന് എഴുതിവയ്ക്കുക. ടണൽ പരിധിക്ക് താഴെ തുടരുന്ന ഹാൻഡ്ഷേക്കുകൾ സാധാരണയായി പൂർത്തിയാകുന്നു, എന്നാൽ പൂർണ്ണ വലിപ്പത്തിലുള്ള സെഗ്മെന്റ് ആവശ്യമുള്ള കൈമാറ്റങ്ങൾ പകുതി വഴിയിൽ നിൽക്കുന്നു. ആ വിഭജനം ഫിൽട്ടറിന്റെയല്ല, വലിപ്പ പ്രശ്നത്തിന്റെ ലക്ഷണമാണ്, കാരണം തടയപ്പെട്ട ലക്ഷ്യസ്ഥാനം പേജിന്റെ നടുവിലല്ല, കണക്ഷൻ സ്ഥാപിക്കുമ്പോൾ പരാജയപ്പെടുന്നു. രണ്ട് നിരീക്ഷണങ്ങളും ഒന്നും ചെലവാക്കുന്നില്ല, തിരയൽ ഉടൻ ചുരുക്കുന്നു.

ബിറ്റ് സെറ്റ് ചെയ്ത് പേലോഡ് വലിപ്പം നിയന്ത്രിക്കുന്ന ping ഉപയോഗിച്ച് പരിശോധിക്കുക. കടന്നുപോകുന്ന ഏറ്റവും വലിയ പേലോഡ് യഥാർത്ഥ പാത MTU നൽകുന്നു, അഡാപ്റ്ററിന്റെ പ്രഖ്യാപിത മൂല്യം രണ്ടും എത്ര അകലെയാണെന്ന് കാണിക്കുന്നു.

രണ്ട് സംഖ്യകളും എഴുതിവയ്ക്കുക. ഏതാണ് തെറ്റ് എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു പരിഹാരം, ആ ജോടിയാണ് പിന്നീട് ക്യാപ്ചർ സ്ഥിരീകരിക്കുന്നത്.

പുറത്തേക്ക് പോകുമ്പോൾ DF ബിറ്റ് എന്ത് ചെയ്യുന്നു

സംഖ്യകൾ വ്യത്യാസപ്പെടാനുള്ള കാരണം എൻക്യാപ്സുലേഷനാണ്. IPsec ESP ചേർക്കുന്നു, L2TP മറ്റൊരു ഹെഡർ ചേർക്കുന്നു, അതിനാൽ ടണൽ ഭൗതിക ലിങ്കിനേക്കാൾ കുറഞ്ഞ പേലോഡ് വഹിക്കുന്നു. Windows ഇപ്പോഴും അഡാപ്റ്ററിൽ 1500 ബൈറ്റ് റിപ്പോർട്ട് ചെയ്യുന്നു, അയയ്ക്കുന്നതിൽ «വിഭജിക്കരുത്» സെറ്റ് ചെയ്യുന്നു. അത്തരം പാക്കറ്റ് ഇടം കിട്ടാതെ വരുമ്പോൾ, ഗേറ്റ്വേയുടെ ശരിയായ മറുപടി അയച്ചയാളോട് ചെറുതാകാൻ ആവശ്യപ്പെടുന്ന ICMP സന്ദേശമാണ്. അതുകൊണ്ടാണ് ചെറിയ ping കടക്കുന്ന ടണലിനും ഫയൽ ഡൗൺലോഡ് പരാജയപ്പെടാനാകുന്നത്.

ആ സന്ദേശം പലപ്പോഴും ഒരിക്കലും എത്തുന്നില്ല. ഏതെങ്കിലും ഹോപ്പ് ICMP ഫിൽട്ടർ ചെയ്യാം, അല്ലെങ്കിൽ ഒന്നും അത് ഉൽപ്പാദിപ്പിക്കുന്നില്ല, കൈമാറ്റം വിട്ടുകളയുന്നത് വരെ അയച്ചയാൾ അതേ വലിപ്പം ആവർത്തിക്കുന്നു.

ഇവിടെ മൗനം സാധാരണ അവതരണമാണ്, അതുകൊണ്ടാണ് ലക്ഷണം തിരഞ്ഞെടുത്ത തടയലായി വായിക്കുന്നത്. ക്ലയന്റ് ലോഗിൽ കാണാത്ത ICMP സന്ദേശം ഒന്നും രേഖപ്പെടുത്തുന്നില്ല.

pfSense ഓപ്ഷൻ, അത് ചെയ്യാത്ത കാര്യം

ഓപ്ഷൻ സിസ്റ്റം, വിപുലീകൃതം, ഫയർവാൾ, NAT പേജിലുണ്ട്, «പാക്കറ്റുകൾ വലിച്ചെറിയുന്നതിന് പകരം അസാധുവായ DF ബിറ്റുകൾ മായ്ക്കുക» എന്ന ലേബലോടെ. ഫ്ലാഗ് വഹിക്കുന്ന വലിപ്പമേറിയ പാക്കറ്റ് എറിയുന്നതിന് പകരം ഫിൽട്ടർ ഫ്ലാഗ് നീക്കി പാക്കറ്റ് താഴെ വിഭജിക്കാൻ അനുവദിക്കുന്നു. ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസ് ഒരു കഷണത്തിൽ കടക്കാനാകാത്തപ്പോൾ പാക്കറ്റ് അസാധുവായി കണക്കാക്കുന്നു.

ഓപ്ഷൻ ക്ലയന്റിനെ തൊടാതെ കണക്ടിവിറ്റി പുനഃസ്ഥാപിക്കുന്നു, അതുകൊണ്ടാണ് ജനപ്രിയമായത്. ഇത് ഒരു താൽക്കാലിക പോംവഴിയുമാണ്: വിഭജനം CPU ചെലവാക്കുന്നു, നഷ്ടപ്പെട്ട ഓരോ കഷണത്തെയും കൂടുതൽ ചെലവേറിയതാക്കുന്നു.

ഇത് ഫോർവേഡ് ചെയ്ത ട്രാഫിക്കിൽ മാത്രം ബാധകമാണ്, ഫയർവാൾ സ്വയം ഉണ്ടാക്കുന്ന ട്രാഫിക്കിൽ അല്ല. അതേ പേജ് «ഫയർവാൾ സ്ക്രബ് പ്രവർത്തനരഹിതമാക്കുക» വാഗ്ദാനം ചെയ്യുന്നു, അത് സാധാരണവത്കരണം പൂർണ്ണമായി ഓഫ് ചെയ്യുന്നു, ഈ പ്രശ്നത്തിന് ആവശ്യമുള്ളതിനേക്കാൾ വളരെ വിശാലമായ മാറ്റമാണത്.

TCP വിഭജിക്കാതെ നിർത്തുന്ന കൂടുതൽ ചുരുക്കമായ പരിഹാരം

നിൽക്കുന്ന ഫ്ലോകളിൽ മിക്കവയും TCP ആണ്, TCP വിഭജനത്തെ ആശ്രയിക്കുന്നതിന് പകരം ചെറിയ സെഗ്മെന്റിൽ യോജിക്കാനാകും. ടണൽ ഇന്റർഫേസിൽ MSS പരിമിതപ്പെടുത്തിയാൽ ഹാൻഡ്ഷേക്ക് സമയത്ത് പ്രഖ്യാപിത മൂല്യം വീണ്ടും എഴുതപ്പെടുന്നു, അതിനാൽ ഓരോ വശവും യഥാർത്ഥത്തിൽ ഇടം കിട്ടുന്നത് അയയ്ക്കുന്നു. പിന്നീട് പാത പ്രവചനാത്മകമായി പെരുമാറുന്നു, ഒരു പാക്കറ്റും വിഭജിക്കേണ്ടതില്ല.

അത് UDP-യെ കണ്ടെത്തലിനോ DF ഓപ്ഷനോ വിടുന്നു. പരാജയപ്പെടുന്ന സൈറ്റുകൾ സാധാരണ വെബ് പേജുകളാണെങ്കിൽ, പരിമിതി മുൻഗണന നൽകേണ്ട മാറ്റമാണ്.

ക്ലയന്റിന് netsh interface ipv4 show subinterfaces വഴി സ്വന്തം അഡാപ്റ്റർ MTU റിപ്പോർട്ട് ചെയ്യാം. ആ സംഖ്യ സർവർ യോജിച്ചതായി കരുതുന്ന മൂല്യവുമായി താരതമ്യം ചെയ്യുക, കാരണം രണ്ടും എപ്പോഴും ഒന്നല്ല. ചർച്ച എന്ത് റിപ്പോർട്ട് ചെയ്താലും ഓപ്പറേറ്റിംഗ് സിസ്റ്റം യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന മൂല്യം അതാണ്.

ക്യാപ്ചർ ഉപയോഗിച്ച് സ്ഥിരീകരിക്കുക, തുടർന്ന് അവസ്ഥ പുനഃസജ്ജമാക്കുക

തീരുമാനിക്കുന്നതിന് മുമ്പ് ഇരുവശത്തും ക്യാപ്ചർ ചെയ്യുക: ടണൽ പോകുന്നിടത്ത് ഒരു ട്രെയ്സ്, WAN ഇന്റർഫേസ് പോകുന്നിടത്ത് മറ്റൊന്ന്. പൂർണ്ണ വലിപ്പത്തിൽ പുറത്തുപോകുന്നതും ICMP തിരികെ വരാത്തതുമായ പാക്കറ്റുകൾ പരിമിതിയെ ശരിയായ പാളിയായി കാണിക്കുന്നു. എത്തി പിന്നീട് തിരിച്ചുവരവിൽ മരിക്കുന്ന മറുപടികൾ പകരം ടണലിന്റെ MTU കാണിക്കുന്നു.

വീണ്ടും ശ്രമിക്കുന്നതിന് മുമ്പ് അവസ്ഥ പട്ടിക മായ്ക്കുക, കാരണം നിലവിലുള്ള ഫ്ലോകൾ പഴയ സെഗ്മെന്റ് വലിപ്പങ്ങൾ സൂക്ഷിക്കുന്നു. തുടർന്ന് പരാജയപ്പെട്ട പേജ് ലോഡ് ചെയ്ത് ഒരു വശത്തെ കൗണ്ടറുകൾക്ക് പകരം ഇരുവശ ട്രാഫിക്കിനുള്ള അവസ്ഥ കാഴ്ച വായിക്കുക. ഇപ്പോഴും നിൽക്കുന്നുവെങ്കിൽ, മറ്റൊരു ചെക്ക്ബോക്സ് പരീക്ഷിക്കുന്നതിന് പകരം വീണ്ടും ക്യാപ്ചർ ചെയ്യുക.