Windows L2TP memuatkan sebahagian laman: padam bit DF pada pfSense

Komputer riba bersambung, intranet dimuatkan, dan beberapa laman awam tergantung. Pengesahan dan penghalaan jelas berfungsi, jadi saiz paket kekal sebagai penjelasan. Dalam terowong L2TP/IPsec MTU yang boleh digunakan lebih kecil daripada yang masih diumumkan oleh penyesuai, dan klien terus menghantar paket bersaiz penuh dengan bit «jangan pecahkan» dihidupkan. Get laluan pfSense boleh diperintahkan untuk memadam bit itu, dan itulah cara terpantas untuk mengesahkan diagnosis sebelum membaikinya dengan betul.

Mulakan dengan halaman yang gagal

Catat destinasi mana yang gagal dan mana yang berjaya sebelum menyentuh sebarang tetapan. Jabat tangan yang kekal di bawah had terowong selesai seperti biasa, manakala pemindahan yang memerlukan segmen bersaiz penuh terhenti di tengah jalan. Perpecahan itu ialah tanda masalah saiz, bukan penapis, kerana destinasi yang disekat gagal semasa sambungan diwujudkan dan bukan di tengah halaman. Kedua-dua pemerhatian tidak memakan kos dan terus menyempitkan carian.

Uji dengan ping yang menetapkan bit dan mengawal saiz muatan. Muatan terbesar yang bertahan memberitahu anda MTU laluan sebenar, dan nilai yang diumumkan oleh penyesuai menunjukkan berapa jauh kedua-duanya.

Tulis kedua-dua nombor. Pembaikan bergantung pada yang mana satu salah, dan pasangan itulah yang akan disahkan oleh tangkapan kemudian.

Apa yang bit DF lakukan semasa keluar

Enkapsulasi ialah sebab nombor berbeza. IPsec menambah ESP, L2TP menambah satu lagi pengepala, jadi terowong membawa muatan yang lebih sedikit daripada pautan fizikal. Windows masih melaporkan 1500 bait pada penyesuai dan menetapkan «jangan pecahkan» pada apa yang dihantar. Apabila paket sebegitu tidak muat, jawapan yang betul daripada get laluan ialah mesej ICMP yang meminta penghantar mengecil. Itulah sebabnya terowong yang melepaskan ping kecil masih boleh menggagalkan muat turun fail.

Mesej itu selalunya tidak pernah tiba. Sesetengah hop mungkin menapis ICMP, atau tiada apa yang menjananya, dan penghantar mengulangi saiz yang sama sehingga pemindahan menyerah.

Senyap ialah persembahan biasa di sini, sebab itulah simptom dibaca sebagai sekatan terpilih. Tiada apa dalam log klien merekodkan mesej ICMP yang hilang.

Pilihan pfSense, dan apa yang tidak dilakukannya

Pilihan itu terletak pada halaman Sistem, Lanjutan, Firewall dan NAT, berlabel «Padam bit DF tidak sah daripada menggugurkan paket». Daripada membuang paket terlalu besar yang membawa bendera, penapis mengeluarkan bendera itu dan membiarkan paket dipecahkan lebih jauh ke bawah. Paket dikira tidak sah apabila ia tidak dapat melintasi antara muka keluar dalam satu bahagian.

Pilihan itu memulihkan sambungan tanpa menyentuh klien, sebab itulah ia popular. Ia juga jalan pintas: pemecahan memakan CPU dan menjadikan setiap serpihan yang hilang lebih mahal.

Ia terpakai hanya pada trafik yang dimajukan, bukan trafik yang dijana oleh firewall itu sendiri. Halaman yang sama menawarkan «Nyahdayakan Pembersihan Firewall», yang mematikan normalisasi sepenuhnya, dan itu perubahan yang jauh lebih luas daripada yang diperlukan oleh masalah ini.

Pembaikan lebih sempit yang mengekalkan TCP tanpa pemecahan

Hampir semua aliran yang tersekat ialah TCP, dan TCP boleh merundingkan segmen yang lebih kecil daripada bergantung pada pemecahan. Menghadkan MSS pada antara muka terowong menulis semula nilai yang diumumkan semasa jabat tangan, jadi setiap pihak menghantar apa yang benar-benar muat. Laluan kemudian berkelakuan secara boleh dijangka dan tiada paket perlu dipecahkan.

Itu membiarkan UDP kepada penemuan atau pilihan DF. Apabila laman yang gagal ialah halaman web biasa, had itulah perubahan yang patut diutamakan.

Klien boleh melaporkan MTU penyesuainya sendiri melalui netsh interface ipv4 show subinterfaces. Bandingkan nombor itu dengan apa yang pelayan fikir telah dirundingkan, kerana kedua-duanya tidak selalu sama. Nilai itulah yang akan digunakan oleh sistem pengendalian, apa pun yang dilaporkan oleh rundingan.

Sahkan dengan tangkapan, kemudian set semula keadaan

Tangkap pada kedua-dua pihak sebelum memutuskan: satu surih di tempat terowong berjalan, satu lagi di tempat antara muka WAN berjalan. Paket yang keluar bersaiz penuh tanpa ICMP kembali menunjukkan had sebagai lapisan yang betul. Balasan yang tiba dan kemudian mati dalam perjalanan pulang menunjukkan MTU terowong pula.

Kosongkan jadual keadaan sebelum mencuba lagi, kerana aliran sedia ada mengekalkan saiz segmen lama mereka. Kemudian muatkan halaman yang gagal dan baca paparan keadaan untuk trafik dua hala dan bukan pembilang sebelah. Jika ia masih tersekat, tangkap semula daripada mencuba kotak semak lain.