OpenVPN дээгүүр SSH гацаж байна уу? Эхлээд замын MTU-г хэмжээрэй

SSH холбогдож, команд мөр гарч ирээд, ямар нэг команд том зүйл буцаамагц сесс үхдэг. Цуурай бага зэрэг ажиллаад, дараа нь холболтын хугацаа дуусдаг бөгөөд клиент туннелийг боссон хэвээр харуулна. Өгөгдөл ирэх хүртэл эрүүл байдаг сесс ихэвчлэн SSH-ийн алдаанд биш, хэмжээний хязгаарт мөргөлддөг. Доорх шалгалтууд хамгийн хямд тайлбарыг эхлээд хасах дарааллаар байна.

Профайлд хүрэхээс өмнө алдааны хэлбэрийг уншаарай

Жижиг багц нэвтэрч, дүүрэн багц нэвтрэхгүй. Команд мөр, баннер эсвэл нэг товчлуур амархан багтах боловч хавтасны жагсаалт, татаж авалт эсвэл наасан блок багтахгүй. Зан ааш өөрчлөгдөх тэр хэмжээ нь сэжүүр бөгөөд SSH нь холбогдох програм гэдэг нь биш.

Механизм нь замын MTU-г илрүүлэх бөгөөд энэ нь эргэх холбооноос хамаарна. TCP нь сегментийн хэмжээг сонгодог бөгөөд замд байгаа чиглүүлэгч үүссэн багцыг дамжуулж чадахгүй бол ICMP мессежээр мэдэгдэх ёстой. Инкапсуляци нь гаднах багцыг дотоодоос том болгодог тул туннель доторх ашигтай хэмжээ үргэлж физик холбоосоос доогуур байна. Тэдгээр ICMP мессежийг хаана ч шүүж хаявал илгээгч засварыг хэзээ ч авахгүй, дүүрэн сегментийг үргэлжлүүлэн илгээж, гаднах багц мэдэгдэлгүйгээр хаягдана.

Дээд хязгаарыг хоёр талаас хэмжээрэй

Аль нэгийг нь өөрчлөхөөс өмнө туннелийн MTU-г физик холбоостой харьцуул. Физик утгыг хуулсан туннель зөрүү хаана байгааг аль хэдийн хэлсэн.

Туннелийн дотроос хуваалтыг хориглосон хүсэлтээр шалгаж, хариу ирэх хүртэл ачааллыг буулга. Хэмжээний аргумент зөвхөн ачааллыг тоолдог тул ажиллах тоо үргэлж интерфэйсийн MTU-гаас доогуур байна. Интерфэйсийн тоо хэрэгтэй бол толгой хэсгийн хэмжээг дахин нэм.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Шалгалтыг туннелиас гаднаас серверийн нийтийн хаяг руу давтана. Том шалгалтууд тэнд ч бүтэлгүйтвэл хязгаар сервер хүрэх замд байгаа бөгөөд туннелийн ямар ч сонголт үүнийг хөдөлгөхгүй. Энэ харьцуулалт нь хэзээ ч асуудал байгаагүй клиентийг тохируулахаас таныг хамгаална. Тохиргооны файлыг нээхээс өмнө хоёр үр дүнг бичээрэй.

mssfix ба fragment өөр ажил хийдэг

mssfix нь туннель доторх TCP холболтууд гар барилтын үеэр зарладаг сегментийн хэмжээг хязгаарладаг. Энэ нь SSH, HTTPS болон файл хуулахад тохирох хөшүүрэг тул үүнийг тавьмагц гацалт ихэвчлэн алга болдог. Энэ нь UDP ачааллыг огт хүрдэггүй.

UDP үйлчилгээ мөн зөөдөг туннель SSH-ийг зассаны дараа ч бүтэлгүйтэж болох бөгөөд энэ үр дүн нэг сонголт бүгдийг хамардаг гэж боддог хүн бүрийг төөрөгдүүлдэг.

fragment нь нөгөө механизм ба өөр хэрэгсэл юм. Энэ нь хэт том багцыг инкапсуляцийн өмнө хуваадаг, зөвхөн UDP тээвэрт хамаарна, датаграм бүрт нэмэлт зардал нэмж, эвдэрсэн илрүүлэлтийн сүүлчийн арга хэмжээ гэж бичигдсэн. Хоёр тохиргоо туннелийг дуусгадаг түншүүдэд ижил байх ёстой. Нэг тал хязгаарлаж, нөгөө тал хуваахад логт анхааруулга, файлуудаас хэн ч таамаглаж чадахгүй зан ааш үүсдэг.

Интерфэйсийн MTU-г буулгах нь бүдүүлэг сонголт

Хоёр төгсгөлд интерфэйсийн MTU-г багасгах нь бүдүүлэг хэрэгсэл. Энэ нь дотоод илгээгч бүрт бага тоо хэлдэг бөгөөд энэ нь ажилладаг ч зардлыг хэрэгтэй TCP урсгалд биш, бүх трафикт үүрүүлдэг.

Туннель таны хязгаарлаж чадахгүй трафик зөөж байгаа эсвэл клиент нь таны хяналтад байхгүй профайлтай төхөөрөмж байгаа үед үүнийг сонго. Үүнийг тэгш хэмжээр хэрэглэж, утгыг профайлын хажууд бич. Хагас хэрэглэсэн өөрчлөлт нь юу ч хийхгүйгээс дор, учир нь энэ нь засвар мэт харагддаг.

Гацсан дамжуулалтаар дахин шалга

Тохиргоо ачаалагдахын тулд дахин холбогдож, шинэ холболт нээж, хөлдсөн командыг давтана. Сегментийн хэмжээ гар барилтын үеэр тохиролцдог тул дахин холбогдолтыг даван туулсан сесс хуучин утгыг хэвээр зөөнө. Энд ping сул шалгалт, учир нь бүх алдаа нь жижиг багц нэвтрэхэд л байгаа. Эвдэрсэн жагсаалт, татаж авалт эсвэл наалтыг ашигла.

Гацалт бага хэмжээнд үргэлжилбэл өөр газар хар: урсгалыг дуусгадаг төлөвт галт хана, давхардсан хаяг, эсвэл дахин холбогдоход шилжих зам. Бүтэлгүйтсэн шалгалтын хэмжээ болон өөрчилсөн тохиргоог бич, учир нь энэ хос л дараагийн тайланг ашигтай болгодог.