DNS-feil eller MTU-problem? Hvor forespørselen faktisk stopper

To feil gir den samme setningen fra en bruker: nettstedet virker ikke. De skjer på forskjellige lag, og forskjellen avgjør hva du endrer. En navneoppløsningsfeil stopper før noen forbindelse eksisterer. En pakkestørrelsesfeil skjer etter at navnet er løst opp og etter at håndtrykket er fullført, derfor begynner siden å laste og henger så. Finn stadiet før du finner innstillingen.

To feil på forskjellige lag

Oppløsning gjør et navn om til en adresse, og ingenting annet i forbindelsen kan starte før det lykkes. Problemer med MTU-en på veien oppstår senere, når en pakke som er større enn grensen til en eller annen lenke blir forkastet, og avsenderen aldri får vite det. Det ene er et oppslag; det andre er en leveringsfeil som bare vises over en viss størrelse.

Symptomene skiller seg på en måte du kan observere uten verktøy. En DNS-feil er umiddelbar og konsistent: nettleseren sier at serveren ikke kan finnes. En MTU-feil er delvis: siden begynner, noen ressurser kommer inn, og et stort svar eller en opplasting stopper.

Hvis symptomet ditt er delvis, slutt å se på DNS.

Fase 1: blir navnet i det hele tatt løst opp

Bruk plattformens oppslagsverktøy med det nøyaktige vertsnavnet programmet bruker. Et privat navn på kontoret kan kreve en intern oppløser, og nettleserens egen sikre DNS kan oppføre seg annerledes enn operativsystemets oppløser, så de to kan være uenige om samme navn.

Spør oppløseren operativsystemet ville brukt, og sammenlign deretter:

dig +short vpn.example.com
dig +short vpn.example.com @10.0.0.53

Hvis oppløsningen feiler, ligger problemet i den policyen og dens tilgjengelighet. Ikke send private navn til tilfeldige offentlige oppløsere bare for å få en sammenligning, for sammenligningen lekker selv navnene du ville holde interne.

Fase 2: hvor overføringen stopper

Hvis navnet løses opp og forbindelsen begynner, noter hvor operasjonen stopper. En side som vises og deretter henger på én ressurs, en opplasting som dør på et fast punkt, eller en stor nedlasting som aldri blir ferdig mens små forespørsler virker, er alle størrelsesformede symptomer. Et svar som ikke begynner i det hele tatt, har en annen form.

Hold endepunktet og programmets mål fast mens du sammenligner, ellers måler du to variabler samtidig. Andre årsaker er fortsatt mulige på dette stadiet: tjenestefeil, tap, filteratferd og gjenoppkoblinger av tunnelen gir alle stans.

Én gjentakbar stans er verdt mer enn ti anekdotiske.

Hvorfor MTU bare skader etter håndtrykket

Et TCP-håndtrykk bruker små pakker, så det lykkes på en vei som ikke kan bære et segment i full størrelse. Feilen vises når avsenderen sender en stor pakke med ikke-fragmenter-biten satt, en lenke forkaster den, og ICMP-meldingen som ville ha rapportert grensen aldri kommer fram fordi et filter spiste den. Avsenderen prøver så samme størrelse igjen, og overføringen stopper.

Derfor er symptomet størrelsesavhengig og gjentakbart i stedet for tilfeldig. Det forklarer også hvorfor ping mot verten ikke beviser noe, fordi et lite ICMP-ekko kan krysse en vei som ikke vil bære en nyttelast i full størrelse. Mål størrelsen fra begge ender av veien hvis du kan. En grense som bare vises i én retning, er en ruteasymmetri og ikke en tunnel-MTU.

Mål størrelsen eksplisitt i stedet for å utlede den:

ping -M do -s 1472 203.0.113.20
tracepath 203.0.113.20

Endre ett lag, og bevis det

For navn, endre oppløserpolicyen og kjør det samme oppslaget på nytt. For størrelse, bruk MTU-prosedyren med de opprinnelige verdiene notert og en tilbakerulling klar, fordi å stramme MSS uten å kjenne tunnelens reelle MTU bytter én stans mot en annen.

En side som laster én gang etter at flere innstillinger er endret, identifiserer ikke reparasjonen. Endre én ting, kjør den samme testen på nytt, og hold resultatet ved siden av det første feilende stadiet du noterte.

Den registreringen er det som hindrer DNS, pakkestørrelse og autentisering i å bli en haug med permanente omveier som ingen kan forklare. Å teste med rå IP er et godt eksempel på en snarvei som endrer TLS-identiteten, og å slå av sertifikatverifisering for å få en sammenligning til å lykkes er ikke en diagnose.