Windows L2TP naloži le nekatere strani: počistite bit DF na pfSense

Prenosnik se poveže, intranet se naloži, nekaj javnih strani pa se ustavi. Preverjanje pristnosti in usmerjanje očitno delujeta, zato kot razlaga ostane velikost paketa. V tunelu L2TP/IPsec je uporabni MTU manjši od tistega, ki ga adapter še vedno oglašuje, odjemalec pa še naprej pošilja pakete polne velikosti z nastavljenim bitom »ne razdrobi«. Prehodu pfSense lahko ukažemo, naj ta bit počisti, in to je najhitrejši način za potrditev diagnoze pred pravilnim popravkom.

Začnite s stranmi, ki ne uspejo

Preden se dotaknete katere koli nastavitve, zapišite, katere cilje ne uspejo in kateri uspejo. Roke, ki ostanejo pod mejo tunela, se zaključijo normalno, medtem ko se prenosi, ki potrebujejo segment polne velikosti, ustavijo na pol poti. Ta delitev je podpis težave z velikostjo, ne s filtrom, ker blokiran cilj ne uspe pri vzpostavitvi povezave in ne sredi strani. Obe opažanji nič ne staneta in iskanje takoj zožita.

Preizkusite s pingom, ki nastavi bit in nadzoruje velikost koristnega tovora. Največji tovor, ki gre skozi, vam pove dejanski MTU poti, oglašena vrednost adapterja pa pokaže, kako daleč sta narazen.

Zapišite obe števili. Popravek je odvisen od tega, katero je napačno, in prav par bo pozneje potrdil posnetek.

Kaj bit DF naredi na izhodu

Vzrok za razliko v številkah je inkapsulacija. IPsec doda ESP, L2TP doda še eno glavo, zato tunel prenaša manj koristnega tovora kot fizična povezava. Windows še vedno poroča 1500 bajtov na adapterju in na to, kar pošilja, nastavi »ne razdrobi«. Ko se tak paket ne ujame, je pravilen odgovor prehoda sporočilo ICMP, ki pošiljatelja prosi, naj se zmanjša. Zato lahko tunel, ki spusti majhne pinge, še vedno ne uspe pri prenosu datoteke.

To sporočilo pogosto nikoli ne prispe. Kakšen skok lahko filtrira ICMP ali pa ga nič ne ustvari, in pošiljatelj ponavlja isto velikost, dokler se prenos ne vda.

Tišina je tu običajna pojavnost, zato se simptom bere kot selektivna blokada. Nič v dnevniku odjemalca ne zabeleži manjkajočega sporočila ICMP.

Možnost pfSense in česa ne počne

Možnost je na strani Sistem, Napredno, Požarni zid in NAT z oznako »Počisti neveljavne bite DF, namesto da pakete zavržeš«. Namesto da bi zavrgel prevelik paket z zastavico, filter zastavico odstrani in paketu dovoli, da se razdeli naprej. Paket se šteje za neveljavnega, ko ne more prečkati izhodnega vmesnika v enem kosu.

Možnost obnovi povezljivost, ne da bi se dotaknila odjemalca, zato je priljubljena. Je pa tudi obhod: razdrobljenost stane CPU in vsak izgubljeni fragment naredi dražji.

Velja le za posredovan promet, ne za promet, ki ga ustvari požarni zid sam. Ista stran ponuja »Onemogoči čiščenje požarnega zidu«, kar normalizacijo popolnoma izklopi, in to je veliko širša sprememba, kot jo ta težava potrebuje.

Ožji popravek, ki ohrani TCP nerazdrobljen

Skoraj vsi zataknjeni tokovi so TCP, TCP pa se lahko dogovori za manjši segment, namesto da bi se zanašal na razdrobljenost. Omejitev MSS na vmesniku tunela prepiše oglašeno vrednost med rokovanjem, tako da vsaka stran pošlje tisto, kar se res ujame. Pot se nato obnaša predvidljivo in nobenega paketa ni treba razdeliti.

To prepusti UDP odkrivanju ali možnosti DF. Ko so neuspešne strani običajne spletne strani, je omejitev tista sprememba, ki ji je treba dati prednost.

Odjemalec lahko sporoči lastni MTU adapterja prek netsh interface ipv4 show subinterfaces. Primerjajte to številko s tisto, za katero strežnik meni, da je bila dogovorjena, ker se obe ne ujemata vedno. Prav to vrednost bo operacijski sistem dejansko uporabil, karkoli je sporočilo pogajanje.

Potrdite s posnetkom in nato ponastavite stanje

Pred odločitvijo posnemite na obeh straneh: ena sled tam, kjer teče tunel, in druga tam, kjer deluje vmesnik WAN. Paketi, ki odidejo v polni velikosti brez vračajočega se ICMP, kažejo na omejitev kot pravo plast. Odgovori, ki prispejo in nato umrejo na poti nazaj, kažejo namesto tega na MTU tunela.

Pred ponovnim poskusom izpraznite tabelo stanj, ker obstoječi tokovi obdržijo stare velikosti segmentov. Nato naložite stran, ki ni uspela, in berite pogled stanj za dvosmerni promet namesto enostranskih števcev. Če se še vedno ustavi, posnemite znova, namesto da bi preizkusili drugo potrditveno polje.