Mengapa halaman OpenConnect tergantung sehingga anda menurunkan MTU tunel

Log masuk berjaya, halaman depan portal dilukis, dan kemudian widget papan pemuka atau laporan terhenti pada waiting for host sehingga pelayar menyerah. Laman awam dimuatkan seperti biasa sepanjang masa, dan tiada kelayakan berubah. Balasan kecil tiba manakala yang besar tersekat ialah tanda siling saiz paket, bukan peraturan akses. Sahkan bacaan itu sebelum anda mengubah apa-apa lagi dalam profil.

Asingkan masalah saiz daripada masalah dasar

Mulakan dengan menolak kemungkinan penolakan. Jika gateway menolak anda, sambungan akan gagal serta-merta dan bukan memuatkan halaman separuh. Tunel yang naik dan kemudian tersekat hanya pada pemindahan lebih besar memberitahu anda laluan luar tidak dapat membawa paket dalam.

Mekanismenya ialah enkapsulasi. Setiap paket dalam memperoleh pengepala tunel, jadi muatan yang muat dalam pautan fizikal menjadi paket luar yang tidak lagi muat, dan apa-apa yang membawa bit do-not-fragment dibuang tanpa balasan yang boleh ditafsirkan oleh pelayar.

Ukur siling dengan prob do-not-fragment

Ukur siling itu dan bukannya menekanya. Hantar prob yang menolak pemecahan dan turunkan muatan langkah demi langkah sehingga balasan kembali, bermula dengan arahan seperti ping -M do -s 1472 host. Balasan yang mengadu bahawa pemecahan diperlukan sedangkan DF ditetapkan bermakna nilainya masih terlalu tinggi. Ulangi pada 1462, kemudian 1452, dan berhenti pada saiz pertama yang membalas. Catat nombor itu bersama hos yang anda uji, kerana jawapannya milik laluan itu dan bukan protokol secara umum.

Uji alamat yang sebenarnya dituju oleh tunel. Prob luar terhadap nama awam gateway dan prob dalam terhadap pelayan dalaman mengukur hop yang berbeza, dan penapisan ICMP pada mana-mana satu boleh membuat laluan sihat kelihatan rosak.

Gunakan nilai itu pada peranti tunel

Gunakan hasilnya pada antara muka yang dicipta oleh klien, bukan pada penyesuai Wi-Fi. Pada klien Linux ia ialah ip link set dev tun0 mtu 1300 diikuti oleh ip link show tun0 untuk mengesahkan nilai itu diambil. Gunakan nama peranti yang dilaporkan oleh klien, kerana ia berbeza mengikut pelaksanaan dan cara tunel dibina.

Menurunkan MTU tunel mengecilkan muatan yang dibawa setiap paket, jadi daya pengeluaran pukal menurun sedikit, dan itulah harga untuk tidak membuang balasan besar ke dalam lubang hitam. Nombor yang lebih kecil tidak semestinya lebih selamat. Menukar penyesuai fizikal sebaliknya menyebarkan kerosakan kepada setiap sambungan pada pautan itu sementara paket dalam yang terlalu besar kekal terlalu besar.

Gunakan permintaan MTU klien sendiri dahulu

Apabila anda mengawal seruan itu, klien boleh meminta saiz dan bukannya ditampal kemudian. --mtu meminta MTU tunel daripada pelayan, dan --base-mtu mengisytiharkan MTU laluan di bawahnya supaya gateway boleh menerbitkan angka tunel. Kedua-duanya permintaan, dan manual klien tidak menjanjikan gateway akan mematuhi mana-mana satu.

Perbezaan itulah yang menentukan urutan kerja anda. Cuba permintaan itu dahulu dan periksa antara muka yang dihasilkannya, kemudian kembali kepada penetapan peranti secara setempat jika nilai yang dipilih gateway masih tersekat.

Sahkan dengan pemindahan yang gagal, kemudian jadikannya kekal

Perubahan ip link setempat bertahan sehingga klien membina semula tunel, yang berlaku pada sambung semula berikutnya. Letakkan nilai itu di tempat sambungan bermula: pembalut yang menjalankan klien dan kemudian melaras peranti, unit systemd dengan langkah ExecStartPost, atau pilihan klien apabila gateway menerimanya. Simpan di sebelah profil dalam kawalan versi supaya orang seterusnya dapat melihat mengapa nombor itu ada.

Uji dengan permintaan yang gagal, bukan dengan halaman depan. Buka laporan itu, tarik lampiran, atau jalankan pengambilan repositori yang tersekat, dan catat dengan tepat di mana ia berhenti jika ia masih berhenti. Halaman yang dilukis selepas perubahan membuktikan sedikit, kerana ia juga dilukis sebelum ini.

Jika pemindahan yang sama tersekat pada titik yang sama, teori MTU belum terbukti. Tangkap trafik pada tunel dan periksa pihak mana yang berhenti menghantar sebelum anda mengubah nombor itu lagi, dan simpan nilai sebelumnya tercatat supaya pengunduran kekal satu arahan.