HTTPS f'kontenitur fuq VPN korporattiva jieqaf? Iġġarrab ir-riġel DTLS

Ġewwa kontenitur wara VPN korporattiva, DNS jiġi solvut, il-paġna tad-dħul tgħabbi, punt tat-tmiem tas-saħħa jwieġeb, u mbagħad talba HTTPS tieqaf sakemm jiskadi l-ħin. Li terġa' tibni l-immaġni u tibdel il-varjabbli tal-proxy ma jbiddel xejn, għax il-parti li tfalli mhijiex fl-immaġni. Il-klijent jawtentika fuq trasport wieħed u jċaqlaq data tal-massa fuq ieħor, u t-tieni wieħed biss huwa miksur.

Żewġ trasporti, sintomu wieħed konfuż

Klijent korporattiv ibbażat fuq TLS normalment jawtentika fuq konnessjoni TLS ordinarja, imbagħad jinnegozja t-tieni kanal tad-data bbażat fuq UDP għas-sessjoni. Meta dan it-tieni riġel jaħdem, it-throughput u l-latenza jtejbu. Meta jiġi ffiltrat jew ma jidħilx fil-perkors, kollox qabel it-trasferiment tal-massa jirnexxi u t-trasferiment innifsu jieqaf, li huwa eżattament il-mudell ta' fuq.

Kontenitur ma jbiddilx dik in-negozjatura; jibdel il-perkors li jieħdu l-pakketti ta' barra. L-host jittraducxi l-fluss tal-kontenitur, għalhekk id-datagrammi UDP joħorġu minn port sors differenti mis-sokit lokali tal-klijent, u jerġgħu lura permezz ta' entrata tat-traduzzjoni li tiskadi bi timer ferm iqsar minn fluss TCP stabbilit. Jekk it-tunnel jaħdem fuq l-host u jfalli fil-kontenitur, qabbel dawk iż-żewġ flussi qabel ma tagħti t-tort lill-applikazzjoni. Dak it-tqabbil jiddeċiedi aktar minn kwalunkwe bini mill-ġdid tal-immaġni.

Iddeċiedi bl-esperiment, mhux bl-intuwizzjoni

L-irħas esperiment jitfi l-kanal tad-data UDP u jtenni t-talba. Uża l-klijent tal-linja tal-kmand minflok il-wrapper tad-desktop, sabiex il-bandiera tiġi applikata tassew: openconnect vpn.example.net --user=you --interface=tun0 --no-dtls. Jekk it-talba li kienet tieqaf issa titlesta, ir-riġel DTLS kien il-problema u l-bqija kien storbju.

Ikkonferma r-riżultat fiż-żewġ direzzjonijiet mill-istess kontenitur, talba waħda tal-massa bil-bandiera u waħda mingħajrha. Bidla fl-imġiba li ssegwi l-bandiera hija prova; paġna li fl-aħħar tgħabbi mhijiex.

Jekk il-bandiera tissewwi, iddeċiedi għaliex

Tliet kundizzjonijiet jipproduċu l-istess sintomu, u jeħtieġu tweġibiet differenti. Il-perkors jista' jiffiltra UDP għal kollox, li jagħmel il-bandiera t-tweġiba permanenti korretta għal dik in-netwerk. Il-perkors jista' jippermetti UDP iżda jwarrab datagrammi kbar, li jindika lejn l-MTU u mhux lejn il-filtrazzjoni. Jew il-perkors jista' jitlef biżżejjed biex ir-riġel UDP imur agħar mit-TCP, li hija deċiżjoni ta' kapaċità u mhux ta' aċċessibilità.

Iddistingwi bejniethom qabel ma tiddokumenta soluzzjoni temporanja. Il-filtrazzjoni tibqa' f'kull daqs ta' pakkett, il-problemi tal-MTU jidhru biss 'il fuq minn limitu, u t-telf jidher bħala trażmissjoni mill-ġdid u dewmien varjabbli u mhux bħala waqfa nadifa. Kull test jiddejjaq il-kawża mingħajr ma jibdel il-konfigurazzjoni tal-klijent.

Iċċekkja d-daqs tal-pakkett qabel iżżomm is-soluzzjoni temporanja

Jekk id-daqs huwa l-kawża, l-interfaċċja tat-tunnel taċċetta pakketti li l-perkors ma jistax iġorr, u l-problema terġa' lura fuq kwalunkwe trasport malli jikber it-tagħbija. Qabbel l-interfaċċji: ip link show tun0 fuq l-host, imbagħad docker network inspect bridge biex taqra l-MTU rreġistrat fl-għażliet tan-netwerk. Pont tal-kontenitur li għadu f'1500 byte taħt tunnel li jġorr inqas huwa s-sejba tas-soltu.

Ipprova 'l fuq minn daqs magħruf tajjeb b'test ta' nuqqas ta' frammentazzjoni ġewwa t-tunnel, imbagħad naqqas l-MTU tan-netwerk tal-kontenitur jew issikka t-TCP MSS fuq it-tunnel. Kull waħda miż-żewġ korrezzjonijiet spiss terġa' tagħmel il-perkors UDP użabbli u tneħħi l-ħtieġa tal-bandiera, li huwa r-riżultat aħjar meta l-filtrazzjoni mhix il-kawża.

Iddeċiedi x'inhu lest tibdel

Bil-kanal tad-data mitfi, it-tunnel iġorr it-tagħbija tiegħu ġewwa konnessjoni TCP. Fuq perkors nadif dan huwa biss aktar bil-mod; fuq wieħed li jitlef, segment wieħed mitluf idewwem kollox warajh u t-trażmissjoni mill-ġdid ta' barra tikkompeti ma' dik ta' ġewwa. Dan l-iskambju jaddatta għall-iżvilupp interattiv u għal sejħiet API żgħar, u jaddatta ħażin għal trasferimenti tal-massa jew sessjonijiet twal fuq rabtiet mobbli.

Liema għażla tgħażel, innota liema trasport it-tunnel spiċċa uża u għaliex. Kontenitur li jiddependi bil-kwiet fuq bandiera li xi ħadd żied xhur ilu huwa l-ħsara li jmiss, u min jiddebaggja tagħha ma jafx jekk il-bandiera kinitx soluzzjoni temporanja għall-filtrazzjoni jew fdal ta' esperiment tal-MTU.