Eșec DNS sau problemă MTU? Unde se oprește de fapt cererea

Două eșecuri produc aceeași frază de la utilizator: site-ul nu funcționează. Se întâmplă pe straturi diferite, iar diferența decide ce schimbați. Un eșec de rezolvare a numelui se oprește înainte să existe vreo conexiune. Un eșec de dimensiune a pachetului apare după ce numele a fost rezolvat și după ce handshake-ul s-a încheiat, de aceea pagina începe să se încarce și apoi se blochează. Găsiți etapa înainte de a găsi setarea.

Două eșecuri pe straturi diferite

Rezolvarea transformă un nume într-o adresă, și nimic altceva din conexiune nu poate începe până nu reușește. Problemele de MTU ale traseului apar mai târziu, când un pachet mai mare decât limita unei legături este aruncat și expeditorul nu află niciodată. Una este o căutare; cealaltă este un eșec de livrare care apare doar peste o anumită dimensiune.

Simptomele diferă într-un mod pe care îl puteți observa fără niciun instrument. Un eșec DNS este imediat și constant: browserul spune că serverul nu poate fi găsit. Un eșec MTU este parțial: pagina începe, unele resurse sosesc, iar un răspuns mare sau o încărcare se blochează.

Dacă simptomul dumneavoastră este parțial, opriți-vă din a privi DNS.

Etapa 1: se rezolvă numele măcar

Folosiți instrumentele de căutare ale platformei cu exact numele de gazdă pe care îl folosește aplicația. Un nume privat din birou poate necesita un rezolvator intern, iar DNS-ul sigur propriu al browserului se poate comporta diferit față de rezolvatorul sistemului de operare, așa că cele două pot să nu fie de acord asupra aceluiași nume.

Întrebați rezolvatorul pe care l-ar folosi sistemul de operare, apoi comparați:

dig +short vpn.example.com
dig +short vpn.example.com @10.0.0.53

Dacă rezolvarea eșuează, problema este în acea politică și în accesibilitatea ei. Nu trimiteți nume private către rezolvatori publici arbitrari doar pentru a obține o comparație, pentru că însăși comparația divulgă numele pe care voiați să le păstrați interne.

Etapa 2: unde se oprește transferul

Dacă numele se rezolvă și conexiunea începe, notați unde se oprește operația. O pagină care se afișează și apoi se blochează pe o resursă, o încărcare care moare într-un punct constant sau o descărcare mare care nu se termină niciodată în timp ce cererile mici funcționează sunt toate simptome cu formă de dimensiune. Un răspuns care nu începe deloc are altă formă.

Țineți fixe punctul final și destinația aplicației în timp ce comparați, altfel măsurați două variabile deodată. Alte cauze rămân posibile în această etapă: erori ale serviciului, pierderi, comportamentul filtrului și reconectările tunelului produc toate blocaje.

Un blocaj repetabil valorează mai mult decât zece anecdotice.

De ce MTU dăunează doar după handshake

Handshake-ul TCP folosește pachete mici, așa că reușește pe un traseu care nu poate duce un segment de dimensiune completă. Eșecul apare când expeditorul trimite un pachet mare cu bitul de interzicere a fragmentării, o legătură îl aruncă, iar mesajul ICMP care ar fi raportat limita nu ajunge niciodată pentru că un filtru l-a mâncat. Expeditorul încearcă apoi aceeași dimensiune și transferul se blochează.

De aceea simptomul depinde de dimensiune și este repetabil, nu aleatoriu. Explică și de ce ping către gazdă nu dovedește nimic, pentru că un ecou ICMP mic poate traversa un traseu care nu va duce o încărcătură de dimensiune completă. Măsurați dimensiunea de la ambele capete ale traseului dacă puteți. O limită care apare doar într-o direcție este o asimetrie de rutare și nu un MTU de tunel.

Măsurați dimensiunea explicit în loc să o deduceți:

ping -M do -s 1472 203.0.113.20
tracepath 203.0.113.20

Schimbați un strat, apoi demonstrați

Pentru nume, schimbați politica rezolvatorului și rulați din nou aceeași căutare. Pentru dimensiune, folosiți procedura MTU cu valorile originale notate și o revenire pregătită, pentru că limitarea MSS fără a cunoaște MTU-ul real al tunelului schimbă un blocaj cu altul.

O pagină care se încarcă o dată după ce se schimbă mai multe setări nu identifică reparația. Schimbați un singur lucru, rulați din nou același test și păstrați rezultatul lângă prima etapă eșuată pe care ați notat-o.

Această înregistrare este ce împiedică DNS-ul, dimensiunea pachetelor și autentificarea să devină o grămadă de ocolișuri permanente pe care nimeni nu le poate explica. Testarea cu un IP brut este un bun exemplu de scurtătură care schimbă identitatea TLS, iar dezactivarea verificării certificatului ca o comparație să reușească nu este un diagnostic.