Zakaj se strani OpenConnect ustavijo, dokler ne znižate MTU predora

Prijava uspe, naslovna stran portala se izriše, nato pa pripomoček na nadzorni plošči ali poročilo obtiči na waiting for host, dokler brskalnik ne obupa. Javna spletna mesta se ves čas nalagajo normalno in nobena poverilnica se ni spremenila. To, da majhni odgovori prispejo, medtem ko se veliki ustavijo, je podpis zgornje meje velikosti paketa in ne pravila dostopa. Potrdite to branje, preden v profilu spremenite karkoli drugega.

Ločite težavo z velikostjo od težave s politiko

Začnite z izključitvijo zavrnitve. Če bi vas prehod zavrnil, bi povezava takoj propadla, namesto da bi stran naložila na pol. Predor, ki se dvigne in se nato ustavi le pri večjih prenosih, vam pove, da zunanja pot ne more nositi notranjega paketa.

Mehanizem je inkapsulacija. Vsak notranji paket dobi glave predora, zato koristna obremenitev, ki se je prilegala fizični povezavi, postane zunanji paket, ki se ne prilega več, in vse, kar nosi bit do-not-fragment, se zavrže brez odgovora, ki bi ga brskalnik lahko razložil.

Izmerite zgornjo mejo s sondami do-not-fragment

Izmerite zgornjo mejo, namesto da bi jo ugibali. Pošiljajte sonde, ki zavračajo razdrobljenost, in znižujte obremenitev korak za korakom, dokler se ne vrne odgovor, začnite z ukazom, kot je ping -M do -s 1472 host. Odgovor, ki se pritožuje, da je potrebna razdrobljenost, medtem ko je DF nastavljen, pomeni, da je vrednost še vedno previsoka. Ponovite pri 1462, nato pri 1452, in ustavite se pri prvi velikosti, ki odgovori. Zapišite število skupaj z gostiteljem, ki ste ga preizkusili, ker odgovor pripada tej poti in ne protokolu na splošno.

Preizkusite naslov, na katerega predor dejansko pošilja promet. Zunanja sonda proti javnemu imenu prehoda in notranja sonda proti notranjemu strežniku merita različne skoke, filtriranje ICMP na kateri koli od njiju pa lahko zdravo pot prikaže kot zlomljeno.

Uporabite vrednost na napravi predora

Rezultat uporabite na vmesniku, ki ga je ustvaril odjemalec, ne na vmesniku Wi-Fi. Pri odjemalcu Linux je to ip link set dev tun0 mtu 1300 in nato ip link show tun0 za potrditev, da je bila vrednost prevzeta. Uporabite ime naprave, ki ga poroča odjemalec, ker se razlikuje glede na izvedbo in glede na to, kako je bil predor zgrajen.

Znižanje MTU predora zmanjša obremenitev, ki jo nosi vsak paket, zato se skupna prepustnost nekoliko zmanjša, in to je cena za to, da veliki odgovori ne končajo v črni luknji. Manjše število ni samodejno varnejše. Spreminjanje fizičnega vmesnika namesto tega razdeli škodo na vsako povezavo na tej povezavi, medtem ko preveliki notranji paketi ostanejo enako preveliki.

Najprej uporabite odjemalčeve lastne zahteve MTU

Ko klic nadzirate vi, lahko odjemalec zahteva velikost, namesto da bi bil pozneje popravljen. --mtu zahteva MTU predora od strežnika in --base-mtu razglasi MTU spodnje poti, da lahko prehod izpelje število predora. Oboje so zahteve in priročnik odjemalca ne obljublja, da bo prehod izpolnil katero od njiju.

Ta razlika določa vaš vrstni red dela. Najprej poskusite zahtevo in pregledajte vmesnik, ki ga ustvari, nato pa se vrnite k lokalni nastavitvi naprave, če se vrednost, ki jo je izbral prehod, še vedno ustavi.

Preverite s prenosom, ki ni uspel, in ga nato naredite trajnega

Lokalna sprememba ip link velja, dokler odjemalec predora ne zgradi znova, kar se zgodi ob naslednji ponovni povezavi ali nadaljevanju. Vrednost postavite tja, kjer se povezava začne: ovoj, ki zažene odjemalca in nato prilagodi napravo, enota systemd s korakom ExecStartPost, ali možnost odjemalca, ko jo prehod sprejme. Hranite jo ob profilu v sistemu za nadzor različic, da bo naslednja oseba videla, zakaj je število tam.

Preizkusite z zahtevo, ki ni uspela, ne z naslovno stranjo. Odprite poročilo, prenesite prilogo ali zaženite pridobivanje repozitorija, ki se je ustavilo, in zabeležite natančno, kje se ustavi, če se še vedno ustavlja. Stran, ki se izriše po spremembi, dokaže malo, ker se je izrisala tudi prej.

Če se isti prenos ustavi na istem mestu, teorija o MTU ni dokazana. Zajemite promet na predoru in preverite, katera stran preneha pošiljati, preden znova spremenite število, in prejšnjo vrednost imejte zapisano, da ponovna vzpostavitev ostane en ukaz.