Windows L2TP jgħabbi biss xi siti: ħassar il-bit DF fuq pfSense

Il-laptop jikkonnettja, l-intranet jitgħabbi, u xi siti pubbliċi jeħlu. L-awtentikazzjoni u r-rotta jaħdmu b'mod ċar, li jħalli d-daqs tal-pakkett bħala spjegazzjoni. F'tunnel L2TP/IPsec l-MTU użabbli huwa iżgħar minn dak li l-adapter għadu jħabbar, u l-klijent jibqa' jibgħat pakketti ta' daqs sħiħ bil-bit «tifridx» mixgħul. Gateway pfSense jista' jiġi ordnat iħassar dak il-bit, u din hija l-aktar triq mgħaġġla biex tikkonferma d-dijanjosi qabel ma tissewwa kif suppost.

Ibda mill-paġni li jonqsu

Innota liema destinazzjonijiet jonqsu u liema jirnexxu qabel ma tmiss ebda konfigurazzjoni. Il-ħatfiet tal-idejn li jibqgħu taħt il-limitu tat-tunnel jitlestew b'mod normali, filwaqt li t-trasferimenti li jeħtieġu segment ta' daqs sħiħ jeqfu f'nofs triq. Dan ix-xquq huwa l-firma ta' problema ta' daqs u mhux ta' filtru, għax destinazzjoni mblokkata tonqos meta tinbena l-konnessjoni u mhux f'nofs il-paġna. Iż-żewġ osservazzjonijiet ma jiswew xejn u jwessgħu t-tfittxija mill-ewwel.

Ipprova b'ping li jistabbilixxi l-bit u jikkontrolla d-daqs tat-tagħbija utli. L-akbar tagħbija li tgħaddi tgħidlek l-MTU reali tat-triq, u l-valur imħabbar tal-adapter juri kemm huma mbiegħda t-tnejn.

Ikteb iż-żewġ numri. Is-sewwieq jiddependi minn liema huwa ħażin, u l-par huwa dak li qabda tikkonferma aktar tard.

X'jagħmel il-bit DF meta joħroġ

L-inkapsulament huwa r-raġuni għalfejn in-numri jvarjaw. IPsec iżid ESP, L2TP iżid ieħor intestatura, u għalhekk it-tunnel iġorr inqas tagħbija utli mill-ħolqa fiżika. Windows għadu jirrapporta 1500 byte fuq l-adapter u jqiegħed «tifridx» fuq dak li jibgħat. Meta pakkett bħal dan ma jidħolx, it-tweġiba t-tajba mill-gateway hija messaġġ ICMP li jitlob lill-mittent jiċċekken. Għalhekk tunnel li jgħaddi ping żgħar xorta jista' jfalli fit-tniżżil ta' fajl.

Dak il-messaġġ spiss qatt ma jasal. Xi qabża tista' tiffiltra l-ICMP, jew xejn ma jiġġenerah, u l-mittent jirrepeti l-istess daqs sakemm it-trasferiment jċedi.

Is-skiet huwa l-preżentazzjoni normali hawn, għalhekk is-sintomu jinqara bħala blokk selettiv. Xejn fil-log tal-klijent ma jirreġistra messaġġ ICMP nieqes.

L-għażla pfSense, u dak li ma tagħmilx

L-għażla tinsab fil-paġna Sistema, Avvanzat, Firewall u NAT, bit-tikketta «Ħassar il-bits DF invalidi minflok twarrab il-pakketti». Minflok ma tarmi pakkett kbir wisq li jġorr il-bandiera, il-filtru jneħħi l-bandiera u jħalli l-pakkett jinqasam aktar 'l isfel. Pakkett jgħodd bħala invalidu meta ma jistax jaqsam l-interfaċċa tal-ħruġ f'biċċa waħda.

L-għażla terġa' tagħti l-konnettività mingħajr ma tmiss il-klijent, għalhekk hija popolari. Hija wkoll soluzzjoni ta' dawran: il-frammentazzjoni tiswa CPU u tagħmel kull framment mitluf aktar għali.

Tapplika biss għat-traffiku mibgħut 'il quddiem, mhux għat-traffiku li l-firewall innifsu joħloq. L-istess paġna toffri «Iddiżattiva t-Tindif tal-Firewall», li jitfi n-normalizzazzjoni għal kollox, u dak huwa tibdil ferm aktar wiesa' milli teħtieġ din il-problema.

Sewwieq dejjaq li jżomm TCP bla frammentazzjoni

Kważi l-flussi kollha li waqfu huma TCP, u TCP jista' jinnegozja segment iżgħar minflok jiddependi fuq il-frammentazzjoni. L-illimitar tal-MSS fuq l-interfaċċa tat-tunnel jerġa' jikteb il-valur imħabbar waqt il-ħatfa tal-idejn, hekk li kull naħa tibgħat dak li verament jidħol. It-triq imbagħad iġġib ruħha b'mod prevedibbli u l-ebda pakkett ma jeħtieġ jinqasam.

Dan iħalli l-UDP għall-iskoperta jew għall-għażla DF. Meta s-siti li jonqsu huma paġni web ordinarji, il-limitu huwa l-bidla li wieħed għandu jippreferi.

Il-klijent jista' jirrapporta l-MTU tiegħu tal-adapter permezz ta' netsh interface ipv4 show subinterfaces. Qabbel dak in-numru ma' dak li s-server jaħseb li ġie nnegozjat, għax it-tnejn mhumiex dejjem l-istess. Dak il-valur huwa dak li s-sistema operattiva fil-fatt se tuża, tkun xi tkun li rrappurtat in-negozjazzjoni.

Ikkonferma b'qabda, imbagħad reset il-qagħda

Aqbad fuq iż-żewġ naħat qabel tiddeċiedi: traċċa waħda fejn tgħaddi t-tunnel, oħra fejn tgħaddi l-interfaċċa WAN. Pakketti li joħorġu b'daqs sħiħ bla ma jiġi lura ICMP juru l-limitu bħala s-saff it-tajjeb. Tweġibiet li jaslu u mbagħad imutu fit-triq lura juru minflok l-MTU tat-tunnel.

Iffaċċja t-tabella tal-qagħdiet qabel terġa' tipprova, għax il-flussi eżistenti jżommu d-daqsijiet tas-segmenti l-qodma tagħhom. Imbagħad tgħabbi l-paġna li falliet u aqra l-veduta tal-qagħdiet għat-traffiku f'żewġ direzzjonijiet minflok kontaturi b'naħa waħda. Jekk xorta jeħel, aqbad mill-ġdid minflok tipprova kaxxa oħra.