SSH Tersangkut melalui OpenVPN? Ukur MTU Laluan Dahulu

SSH bersambung, gesaan muncul, dan sesi mati sebaik sahaja sesuatu arahan memulangkan perkara yang besar. Gema masih berfungsi sebentar, kemudian sambungan tamat tempoh sementara klien masih menunjukkan terowong sebagai aktif. Sesi yang sihat sehingga data tiba biasanya terhenti pada had saiz, bukan pada kecacatan SSH. Semakan di bawah disusun supaya penjelasan paling murah disingkirkan dahulu.

Baca bentuk kegagalan sebelum menyentuh profil

Paket kecil lepas dan paket penuh tidak. Gesaan, sepanduk atau satu tekanan kekunci mudah masuk; penyenaraian direktori, muat turun atau blok yang ditampal tidak. Saiz di mana tingkah laku berubah itulah petunjuk, bukan hakikat bahawa SSH ialah program yang terlibat.

Mekanismenya ialah penemuan MTU laluan, yang bergantung pada maklum balas. TCP memilih saiz segmen, dan apabila penghala di laluan tidak dapat menyalurkan paket yang terhasil, ia sepatutnya menyatakan perkara itu dengan mesej ICMP. Pengekapsulan menjadikan paket luar lebih besar daripada paket dalam, jadi saiz yang boleh digunakan dalam terowong sentiasa di bawah pautan fizikal. Tapis mesej ICMP itu di mana-mana dan penghantar tidak pernah menerima pembetulan, terus menghantar segmen penuh, dan paket luar dibuang tanpa pemberitahuan.

Ukur had atas dari kedua-dua belah

Bandingkan MTU terowong dengan pautan fizikal sebelum mengubah mana-mana satu daripadanya. Terowong yang menyalin nilai fizikal sudah memberitahu anda di mana ketidakpadanan itu berada.

Uji dari dalam terowong dengan permintaan yang melarang pemecahan, rendahkan muatan sehingga balasan kembali. Argumen saiz hanya mengira muatan, jadi angka yang berfungsi sentiasa di bawah MTU antara muka. Tambah semula saiz pengepala jika anda memerlukan angka antara muka.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ulang ujian terhadap alamat awam pelayan dari luar terowong. Jika ujian besar juga gagal di sana, had itu terletak di laluan ke pelayan dan tiada pilihan terowong akan mengalihkannya. Perbandingan itu menyelamatkan anda daripada menala klien yang tidak pernah menjadi masalah. Catat kedua-dua keputusan sebelum membuka fail konfigurasi.

mssfix dan fragment melakukan kerja berbeza

mssfix mengehadkan saiz segmen yang diumumkan oleh sambungan TCP dalam terowong semasa jabat tangan mereka. Itulah tuas yang betul untuk SSH, HTTPS dan salinan fail, sebab itulah penyekatan sering hilang sebaik sahaja ia ditetapkan. Ia tidak menyentuh muatan UDP sama sekali.

Terowong yang juga membawa perkhidmatan UDP boleh terus gagal selepas SSH dibaiki, dan hasil itu mengelirukan sesiapa yang menganggap satu pilihan meliputi segalanya.

fragment ialah mekanisme lain dan alat yang berbeza. Ia memecahkan paket yang terlalu besar sebelum pengekapsulan, hanya terpakai pada pengangkutan UDP, menambah overhed setiap datagram dan didokumenkan sebagai jalan terakhir untuk penemuan yang rosak. Kedua-dua tetapan mesti sepadan di rakan sebaya yang menamatkan terowong. Apabila satu hujung mengehadkan manakala yang lain memecah, amaran log dan tingkah laku yang tidak dapat diramalkan oleh sesiapa daripada fail akan timbul.

Menurunkan MTU antara muka ialah pilihan kasar

Mengurangkan MTU antara muka di kedua-dua hujung ialah alat kasar. Ia memberitahu setiap penghantar dalam nombor yang lebih kecil, yang berkesan, dan ia membebankan kos itu kepada semua trafik dan bukan kepada aliran TCP yang memerlukannya.

Pilihnya apabila terowong membawa trafik yang tidak dapat anda hadkan, atau apabila klien ialah peranti yang profilnya tidak anda kawal. Gunakannya secara simetri dan catat nilai di sebelah profil. Perubahan yang digunakan separuh lebih buruk daripada tiada, kerana ia kelihatan seperti pembaikan.

Uji semula dengan pemindahan yang tersangkut

Sambung semula supaya tetapan dimuatkan, buka sambungan baharu dan ulang arahan yang membeku. Saiz segmen dirundingkan semasa jabat tangan, jadi sesi yang bertahan melalui sambungan semula masih membawa nilai lama. Ping ialah ujian lemah di sini, kerana seluruh kegagalan ialah paket kecil lepas. Gunakan penyenaraian, muat turun atau tampalan yang rosak.

Jika penyekatan berterusan pada saiz yang lebih kecil, lihat di tempat lain: tembok api berkeadaan yang menamatkan aliran, alamat berganda, atau laluan yang beralih semasa sambungan semula. Catat saiz ujian yang gagal dan tetapan yang anda ubah, kerana pasangan itulah yang menjadikan laporan seterusnya berguna.