SSH se obesi prek OpenVPN? Najprej izmerite MTU poti

SSH se poveže, poziv se pojavi in seja umre takoj, ko ukaz vrne nekaj obsežnega. Odmev še nekaj časa deluje, nato povezava poteče, medtem ko odjemalec še vedno prikazuje predor kot dvignjen. Seja, ki je zdrava do prihoda podatkov, običajno zadene ob omejitev velikosti in ne ob napako v SSH. Spodnje preverbe so razvrščene tako, da se najcenejša razlaga izloči prva.

Preberite obliko okvare, preden se dotaknete profila

Majhni paketi gredo skozi, polni ne. Poziv, pasica ali en pritisk tipke se zlahka prilegajo; seznam mape, prenos ali prilepljen blok ne. Velikost, pri kateri se vedenje spremeni, je sled, ne pa dejstvo, da je SSH vpleten program.

Mehanizem je odkrivanje MTU poti, ki je odvisno od povratne informacije. TCP izbere velikost segmenta, in ko usmerjevalnik na poti ne more poslati naprej nastalega paketa, bi moral to sporočiti s sporočilom ICMP. Kapsuliranje naredi zunanji paket večji od notranjega, zato je uporabna velikost znotraj predora vedno pod fizično povezavo. Filtrirajte ta sporočila ICMP kjer koli in pošiljatelj nikoli ne prejme popravka, še naprej pošilja polne segmente, zunanji paket pa se zavrže brez obvestila.

Izmerite zgornjo mejo z obeh strani

Primerjajte MTU predora s fizično povezavo, preden spremenite katero od njiju. Predor, ki je kopiral fizično vrednost, vam je že povedal, kje je neskladje.

Preizkusite od znotraj predora z zahtevo, ki prepoveduje razdrobljevanje, in znižujte koristni tovor, dokler se odgovori ne vrnejo. Argument velikosti šteje le tovor, zato je delujoče število vedno pod MTU vmesnika. Dodajte nazaj velikosti glav, če potrebujete številko vmesnika.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ponovite preizkus zoper javni naslov strežnika od zunaj predora. Če veliki preizkusi spodletijo tudi tam, meja sedi na poti do strežnika in nobena možnost predora je ne bo premaknila. Ta primerjava vas reši pred nastavljanjem odjemalca, ki nikoli ni bil problem. Zapišite oba rezultata, preden odprete konfiguracijsko datoteko.

mssfix in fragment opravljata različno delo

mssfix omejuje velikost segmenta, ki jo TCP povezave znotraj predora oglašujejo med svojim rokovanjem. To je prava ročica za SSH, HTTPS in kopiranje datotek, zato se zataknitev pogosto izgubi takoj, ko je nastavljena. UDP tovorov se sploh ne dotika.

Predor, ki prenaša tudi storitev UDP, lahko po popravku SSH še naprej odpove, in ta izid zmede vsakogar, ki predpostavlja, da ena možnost pokrije vse.

fragment je drugi mehanizem in drugo orodje. Razdeli prevelike pakete pred kapsuliranjem, velja samo za transport UDP, doda stroške na vsak datagram in je dokumentiran kot zadnja možnost pri pokvarjenem odkrivanju. Obe nastavitvi se morata ujemati pri partnerjih, ki predor zaključijo. Ko en konec omejuje, drugi pa razdroblja, nastanejo opozorila v dnevniku in vedenje, ki ga nihče ne more predvideti iz datotek.

Znižanje MTU vmesnika je groba možnost

Znižanje MTU vmesnika na obeh koncih je grobo orodje. Vsakemu notranjemu pošiljatelju pove manjšo številko, kar deluje, in ta strošek naloži vsemu prometu namesto tokovom TCP, ki ga potrebujejo.

Izberite ga, ko predor prenaša promet, ki ga ne morete omejiti, ali ko je odjemalec naprava, katere profil ne nadzorujete. Uporabite ga simetrično in zapišite vrednost poleg profila. Napol uporabljena sprememba je slabša od nobene, ker je videti kot popravek.

Znova preizkusite s prenosom, ki se je zataknil

Znova se povežite, da se nastavitve naložijo, odprite novo povezavo in ponovite ukaz, ki je zamrznil. Velikost segmenta se dogovori pri rokovanju, zato seja, ki je preživela ponovno povezavo, še vedno nosi staro vrednost. Ping je tukaj slab preizkus, ker je celotna okvara v tem, da majhni paketi gredo skozi. Uporabite tisti seznam, prenos ali prilepljanje, ki se je pokvarilo.

Če zataknitev vztraja pri manjši velikosti, poglejte drugje: požarni zid s stanjem, ki tok poteče, podvojen naslov ali pot, ki se pri ponovnem povezovanju premakne. Zapišite velikost neuspešnega preizkusa in nastavitev, ki ste jo spremenili, ker prav ta par naredi naslednje poročilo uporabno.