Windows L2TP зарим сайтыг л ачаална: pfSense дээр DF битийг цэвэрлэнэ үү

Зөөврийн компьютер холбогдож, дотоод сүлжээ ачаалагдаж, хэдэн нийтийн сайт гацдаг. Баталгаажуулалт ба чиглүүлэлт тодорхой ажиллаж байгаа тул тайлбар болгон пакетийн хэмжээ үлддэг. L2TP/IPsec туннельд ашиглах боломжтой MTU нь адаптер одоо хүртэл зарлаж байгаагаас бага бөгөөд клиент «бутлахгүй» битийг асаалттай бүтэн хэмжээтэй пакетуудыг үргэлжлүүлэн илгээдэг. pfSense гарцанд тэр битийг арилгахыг тушааж болох бөгөөд энэ нь оношилгоог зөв засахаас өмнө баталгаажуулах хамгийн хурдан арга юм.

Амжилтгүй болдог хуудсуудаас эхэл

Аливаа тохиргоог хөндөхөөс өмнө аль очих газар амжилтгүй, аль нь амжилттай болохыг тэмдэглэ. Туннелийн хязгаараас доогуур үлдэх гар барилт хэвийн дуусдаг бол бүтэн хэмжээтэй сегмент шаарддаг дамжуулалт зам дундаа зогсдог. Энэ хуваагдал нь шүүлтүүрийн бус, хэмжээний асуудлын шинж, учир нь хаагдсан очих газар хуудасны дунд биш, холболт тогтоох үед амжилтгүй болдог. Хоёр ажиглалт юу ч зарцуулдаггүй бөгөөд хайлтыг тэр даруй нарийсгадаг.

Битийг тавьж, ачааны хэмжээг удирддаг ping-ээр шалга. Дамжих хамгийн том ачаа нь замын бодит MTU-г хэлж, адаптерын зарласан утга нь хоёр нь хэр хол байгааг харуулна.

Хоёр тоог бичиж ав. Засвар нь аль нь буруу байгаагаас хамаардаг бөгөөд яг тэр хосыг дараа нь бичлэг баталгаажуулна.

Гарах замд DF бит юу хийдэг вэ

Тоонуудын ялгааны шалтгаан нь инкапсуляци. IPsec ESP нэмдэг, L2TP өөр нэг толгой нэмдэг тул туннель физик холбоосоос бага ачаа зөөдөг. Windows адаптер дээр одоо хүртэл 1500 байт гэж мэдээлж, илгээж буй зүйлдээ «бутлахгүй» гэж тавьдаг. Ийм пакет багтахгүй үед гарцын зөв хариулт нь илгээгчийг жижигрэхийг хүссэн ICMP мэдээ юм. Тиймээс жижиг ping дамжуулдаг туннель ч файл татахад амжилтгүй болж болно.

Тэр мэдээ ихэвчлэн хэзээ ч ирдэггүй. Зарим үсрэлт ICMP-г шүүж болох, эсвэл юу ч үүсгэдэггүй, илгээгч дамжуулалт бууж өгөх хүртэл ижил хэмжээг давтана.

Энд чимээгүй байдал нь ердийн илрэл тул шинж тэмдэг сонгомол хаалт гэж уншигддаг. Клиентийн лог дээр дутуу ICMP мэдээг юу ч бүртгэдэггүй.

pfSense сонголт ба түүний хийдэггүй зүйл

Сонголт нь Систем, Нарийвчилсан, Галт хана ба NAT хуудсанд «Пакетыг хаяхын оронд хүчингүй DF битүүдийг арилга» гэсэн шошготой байдаг. Тугийг зөөж буй хэт том пакетыг хаяхын оронд шүүлтүүр тугийг авч, пакетыг доош нь хуваахыг зөвшөөрдөг. Пакет гарах интерфейсийг нэг хэсгээр давж чадахгүй үед хүчингүйд тооцогдоно.

Сонголт клиентэд хүрэлгүйгээр холболтыг сэргээдэг тул алдартай. Энэ нь мөн тойрч гарах арга: хуваалт CPU зарцуулж, алдагдсан хэсэг бүрийг илүү үнэтэй болгодог.

Энэ нь зөвхөн дамжуулсан урсгалд хамаарна, галт хана өөрөө үүсгэдэг урсгалд биш. Мөн хуудас нь «Галт ханын цэвэрлэгээг идэвхгүй болго» санал болгодог бөгөөд энэ нь хэвийн болгохыг бүрэн унтраадаг, тэгээд энэ асуудалд хэрэгтэйгээс хамаагүй өргөн өөрчлөлт юм.

TCP-г хуваахгүй байлгах илүү нарийн засвар

Гацсан урсгалууд бараг бүгд TCP бөгөөд TCP нь хуваалтад найдахын оронд жижиг сегментийн талаар тохиролцож чадна. Туннелийн интерфейс дээр MSS-ийг хязгаарлах нь гар барилтын үеэр зарласан утгыг дахин бичдэг тул тал бүр үнэхээр багтахыг илгээдэг. Дараа нь зам урьдчилан таамаглахуйц ажиллаж, ямар ч пакетыг хуваах шаардлагагүй.

Энэ нь UDP-г илрүүлэлт эсвэл DF сонголтод үлдээдэг. Амжилтгүй болж буй сайтууд энгийн вэб хуудас бол хязгаарлалт нь илүүд үзэх өөрчлөлт юм.

Клиент өөрийн адаптерын MTU-г netsh interface ipv4 show subinterfaces-ээр мэдээлж болно. Тэр тоог сервер тохирсон гэж бодож буй утгатай харьцуул, учир нь хоёр нь үргэлж ижил биш. Хэлэлцээр юу мэдээлсэн ч үйлдлийн систем үнэндээ ашиглах утга нь тэр.

Бичлэгээр баталгаажуулж, дараа нь төлөвийг дахин тохируулна уу

Шийдэхээс өмнө хоёр тал дээр бич: нэг нь туннель явдаг газар, нөгөө нь WAN интерфейс явдаг газар. Бүтэн хэмжээгээр гарч, ICMP буцаж ирэхгүй байгаа пакетууд хязгаарлалтыг зөв давхарга гэж заана. Ирээд буцах замд үхдэг хариултууд нь оронд нь туннелийн MTU-г заана.

Дахин оролдохын өмнө төлөвийн хүснэгтийг цэвэрлэ, учир нь одоо байгаа урсгалууд хуучин сегментийн хэмжээгээ хадгалдаг. Дараа нь амжилтгүй болсон хуудсыг ачаалж, нэг талын тоолуурын оронд хоёр талын урсгалын төлөвийн харагдацыг унш. Хэрэв энэ нь зогсолт хийсээр байвал өөр чагтлалын хайрцаг туршихын оронд дахин бич.