Ngec Git pa VPN? OpenSSH shënon paketat me IPQoS

Një klon nga zyra funksionon, i njëjti klon përmes hotspotit të telefonit funksionon, dhe i njëjti klon nga një rrjet hoteli varet derisa të ndizet një VPN. Shtrëngimi i duarve SSH përfundon dhe sesioni hesht në transferimin e parë të vërtetë. Një rresht i shtuar në konfigurimin e klientit shëron git dhe ssh së bashku. Kur një cilësim i vetëm i klientit rregullon disa mjete njëherësh, defekti është në atë që dërgon klienti, jo në lidhjen përmes së cilës e dërgon.

Lexojeni simptomën si një ndryshim rrugëtimi

Një tunel që shëron një problem rrallë është riparim. Ai ndërron rrugën, operatorin dhe pajisjet e ndërmjetme, ndërsa laptopi vazhdon të prodhojë saktësisht të njëjtat paketa. Nëse një rrugë e trajton gabimisht një krye, dhe një tjetër e kalon të paprekur, ndryshimi qëndron në politikën e pajisjes së ndërmjetme, jo në klient. Këtu tuneli është dëshmitar, jo zgjidhje.

Pika ku vdes sesioni e ngushton më tej. Asgjë që dështon në kërkimin e emrit ose në shkëmbimin e çelësave nuk duket kështu. Një sesion që vërteton identitetin, shtyp një baner dhe më pas ngrin në shkrimin e parë të madh e ka provuar tashmë se rrugëtimi, emrat dhe kredencialet funksionojnë të gjitha.

Klienti vulos një bajt QoS në çdo socket SSH

Çdo lidhje OpenSSH nga 7.8 e tutje mbart në kryen IP një vlerë që ruterat mund ta përdorin për t'i dhënë përparësi trafikut. Sesionet e terminalit marrin një vlerë dhe kopjet masive një tjetër, sipas teorisë se njeriu që shtyp meriton trajtim më të mirë sesa një transferim skedari. Shumica e rrjeteve e injorojnë plotësisht sugjerimin, prandaj kalon pa u vënë re për vite. Një pakicë drejtuesish Wi-Fi, operatorësh mobilë dhe koncentratorësh VPN veprojnë sipas tij, dhe disa prej tyre veprojnë keq.

Kur ajo vlerë rishkruhet ose hidhet në mes të rrjedhës, lidhja nuk dështon, ajo ndalon së përparuari. Ritransmetimet rriten, dritarja shembet dhe aplikacioni nuk raporton asgjë sepse asgjë nuk dha gabim. Ky heshtje është arsyeja pse njerëzit e përshkruajnë simptomën si ngecje dhe jo si dështim.

Së pari konfirmoni versionin e klientit me ssh -V. Çdo version në 7.8 ose më i lartë e mbart këtë sjellje si parazgjedhje.

Tre komanda që e ndajnë këtë nga MTU dhe DNS

Dy shkaqe të ngjashme meritojnë të përjashtohen përpara se të redaktoni çdo skedar konfigurimi. Një defekt MTU i lë kalimrethimet e vogla të kalojnë dhe ngrin në paketën e parë të madhe, ndërsa një defekt emrash nuk prodhon kurrë një sesion.

ssh -o IPQoS=none -v [email protected]
ssh -G [email protected] | grep -i ipqos
sudo tcpdump -ni any -vv "tcp port 22"

Komanda e parë përsërit veprimin që dështon me shënimin e fikur, dhe ekzekutimi i saj i suksesshëm është prova e vetme më e fortë që ekziston. E dyta shtyp konfigurimin që klienti do ta zbatojë vërtet në atë destinacion, çka kap një zë të vjetruar në një skedar që e kishit harruar. E treta tregon bajtin TOS në të dy drejtimet ndërsa transferimi është i bllokuar, dhe modeli interesant është një vlerë në rrugën e prishur dhe asnjë në atë që funksionon.

Bëjeni kapjen në laptop dhe jo në server, sepse dërguesi e vendos vlerën dhe secili drejtim mund ta ndryshojë. Krahasoni një rrugë që funksionon dhe një që dështon me të njëjtën kapje, dhe ndryshimi shfaqet pa hamendje.

Vendoseni përjashtimin në një skedar të vetëm, një host në një herë

Një përjashtim i takon pranë hostit të cilit i zbatohet, me një koment që thotë pse ekziston.

Host gitlab.example.internal
    IPQoS none
    # direct route rewrites the marking; the tunnel route passes it

Shtrirja ka më shumë rëndësi sesa vetë vlera. Një zë me karakter universal e fik sjelljen kudo, hedh poshtë një sugjerim që ndihmon në rrjete të sjellshme dhe nuk lë askënd në gjendje të thotë kur u shfaq. Një zë për host është i lexueshëm, i kthyeshëm dhe trivially i lehtë për t'u fshirë pasi rrjeta të jetë riparuar. Përdorni skedarin e përdoruesit për një zgjidhje personale dhe një skedar të menaxhuar kur një flotë e tërë ka nevojë për të njëjtin përjashtim.

Jini të qartë për atë që përjashtimi nuk mbulon. Zbatohet për SSH, prandaj një remote HTTPS, një pasqyrë paketash dhe një shfletues qëndrojnë të gjithë jashtë tij, dhe një dështim në cilindo prej tyre kërkon provën e vet. Në një zinxhir përmes një bastioni, çdo kërcim përdor konfigurimin e klientit, dhe kërcimi që ngec është ai që ia vlen të kufizohet.

Mbyllni rrethin me pronarin e rrjetit

Dorëzojeni gjetjen si katër fakte: versioni i klientit, rruga e provuar, klienti VPN në përdorim dhe cili drejtim mbante shënimin. Këto katër mjaftojnë që pronari i rrjetit të riprodhojë trajtimin dhe të vendosë nëse është i qëllimshëm.

Nëse përjashtimi nuk e shëron ngecjen, hiqeni. Një zgjidhje që i mbijeton një eksperimenti të dështuar bëhet folklor, dhe personi tjetër shpenzon një orë duke provuar se nuk bën asgjë. Nëse e shëron ngecjen, rruga është ende e gabuar për çdo mjet tjetër që e kalon, dhe riparimi i takon atij që operon pajisjen e ndërmjetme.

Ndryshimi në klient është një zgjidhje e përkohshme me datë skadimi. Shkruajeni atë datë në koment.