Windows L2TP lastar berre nokre nettsider: fjern DF-biten på pfSense

Den berbare maskina koplar til, intranettet lastar, og ein handfull offentlege nettsider heng. Autentisering og ruting fungerer tydeleg, noko som lèt pakkestorleiken stå att som forklaring. I ein L2TP/IPsec-tunnel er den brukbare MTU-en mindre enn det adapteret framleis annonserer, og klienten held fram med å senda pakkar i full storleik med «ikkje fragmenter»-biten sett. Ein pfSense-gateway kan få beskjed om å fjerna den biten, og det er den snøggaste måten å stadfesta diagnosen på før han vert retta ordentleg.

Byrj med sidene som feilar

Noter kva destinasjonar som feilar og kva som lukkast, før du rører noka innstilling. Handtrykk som held seg under tunnelgrensa, vert fullførte normalt, medan overføringar som treng eit segment i full storleik, stoppar halvvegs. Den delinga er signaturen på eit storleiksproblem og ikkje eit filter, fordi ein blokkert destinasjon feilar ved oppkoplinga og ikkje midt på sida. Begge observasjonane kostar ingenting og snevrar inn søket med ein gong.

Test med ein ping som set biten og styrer storleiken på nyttelasta. Den største nyttelasta som kjem gjennom, fortel deg den reelle rute-MTU-en, og den annonserte verdien til adapteret viser kor langt dei to er frå kvarandre.

Skriv ned båe tala. Rettelsen avheng av kva som er gale, og paret er det eit opptak seinare stadfestar.

Kva DF-biten gjer på veg ut

Innkapsling er grunnen til at tala er ulike. IPsec legg til ESP, L2TP legg til endå ein header, og tunnelen ber derfor mindre nyttelast enn den fysiske lenkja. Windows rapporterer framleis 1500 byte på adapteret og set «ikkje fragmenter» på det han sender. Når ein slik pakke ikkje får plass, er det rette svaret frå gatewayen ei ICMP-melding som ber avsendaren krympa seg. Derfor kan ein tunnel som slepp gjennom små ping, framleis feila på ei filnedlasting.

Den meldinga kjem ofte aldri fram. Eit hopp kan filtrera ICMP, eller ingenting genererer henne, og avsendaren gientar same storleik til overføringa gir opp.

Stilla er den normale presentasjonen her, og derfor vert symptomet lese som selektiv blokkering. Ingenting i klientloggen registrerer ei manglande ICMP-melding.

pfSense-alternativet, og kva det ikkje gjer

Alternativet ligg på sida System, Avansert, Brannmur og NAT, merkt «Fjern ugyldige DF-bitar i staden for å forkasta pakkane». I staden for å kasta ein for stor pakke som ber flagget, fjernar filteret flagget og lèt pakken verta delt lenger nede. Ein pakke vert rekna som ugyldig når han ikkje kan krysse det utgåande grensesnittet i eitt stykke.

Alternativet gjenopprettar tilkoplinga utan å røra klienten, og derfor er det populært. Det er også ein omveg: fragmentering kostar CPU og gjer kvar tapt fragment dyrare.

Det gjeld berre vidaresend trafikk, ikkje trafikk som brannmuren sjølv startar. Same sida tilbyr «Slå av brannmur-skrubbing», som slår av normalisering heilt, og det er ei mykje breiare endring enn dette problemet treng.

Ein smalare rettelse som held TCP ufragmentert

Nesten alle dei fastlåste straumane er TCP, og TCP kan forhandla om eit mindre segment i staden for å stola på fragmentering. Avgrensing av MSS på tunnelgrensesnittet skriv om den annonserte verdien under handtrykket, slik at kvar side sender det som faktisk får plass. Ruta oppfører seg då føreseieleg, og ingen pakke treng å delast.

Det overlèt UDP til oppdaging eller til DF-alternativet. Når nettsidene som feilar er vanlege nettsider, er avgrensinga den endringa ein bør føretrekka.

Klienten kan rapportera sin eigen adapter-MTU via netsh interface ipv4 show subinterfaces. Samanlikn talet med det serveren trur er forhandla, for dei to er ikkje alltid like. Den verdien er den operativsystemet faktisk brukar, uansett kva forhandlinga rapporterte.

Stadfest med eit opptak, og nullstill deretter tilstanden

Tak opp på båe sider før du bestemmer deg: eitt spor der tunnelen går, og eitt der WAN-grensesnittet går. Pakkar som forlèt i full storleik utan at ICMP kjem tilbake, peikar på avgrensinga som rett lag. Svar som kjem og deretter døyr på veg tilbake, peikar i staden på MTU-en til tunnelen.

Tøm tilstandstabellen før du prøver igjen, fordi eksisterande straumar held på dei gamle segmentstorleikane sine. Last deretter sida som feila, og les tilstandsvisninga for tovegstrafikk i staden for einsidige teljarar. Viss ho framleis stoppar, tak opp igjen i staden for å prøva ein annan avkryssingsboks.