SSH bllokohet përmes OpenVPN? Matni fillimisht MTU-në e rrugës

SSH lidhet, prompti shfaqet dhe sesioni vdes sapo një komandë kthen diçka të madhe. Echo vazhdon edhe pak, më pas lidhja skadon ndërsa klienti ende e shfaq tunelin si të ngritur. Një sesion i shëndetshëm derisa të vijnë të dhënat zakonisht përplaset me një kufi madhësie dhe jo me një defekt të SSH. Kontrollet më poshtë janë renditur që shpjegimi më i lirë të përjashtohet i pari.

Lexoni formën e dështimit përpara se të prekni profilin

Paketat e vogla kalojnë dhe ato të plota jo. Një prompt, një baner ose një shtypje tastë përshtaten lehtë; një listë dosjeje, një shkarkim ose një bllok i ngjitur nuk përshtaten. Madhësia në të cilën ndryshon sjellja është indici, jo fakti që SSH është programi i përfshirë.

Mekanizmi është zbulimi i MTU-së së rrugës, i cili varet nga reagimi. TCP zgjedh një madhësi segmenti dhe, kur një ruter gjatë rrugës nuk mund të përcjellë paketën që rezulton, duhet ta njoftojë këtë me një mesazh ICMP. Enkapsulimi e bën paketën e jashtme më të madhe se ajo e brendshme, prandaj madhësia e përdorshme brenda një tuneli është gjithmonë nën lidhjen fizike. Filtroni ato mesazhe ICMP kudo dhe dërguesi nuk e merr kurrë korrigjimin, vazhdon të dërgojë segmente të plota, dhe paketa e jashtme hidhet pa njoftim.

Matni tavanin nga të dyja anët

Krahasoni MTU-në e tunelit me lidhjen fizike përpara se të ndryshoni njërën prej tyre. Një tunel që ka kopjuar vlerën fizike ju ka thënë tashmë ku ndodhet mospërputhja.

Provoni nga brenda tunelit me një kërkesë që ndalon fragmentimin, duke ulur ngarkesën derisa të kthehen përgjigjet. Argumenti i madhësisë numëron vetëm ngarkesën, prandaj numri që funksionon është gjithmonë nën MTU-në e ndërfaqes. Shtoni përsëri madhësitë e kokave nëse ju nevojitet numri i ndërfaqes.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Përsëriteni provën ndaj adresës publike të serverit nga jashtë tunelit. Nëse provat e mëdha dështojnë edhe atje, kufiri qëndron në rrugën drejt serverit dhe asnjë opsion i tunelit nuk do ta lëvizë. Ai krahasim ju shpëton nga rregullimi i një klienti që nuk ishte kurrë problemi. Shkruani të dyja rezultatet përpara se të hapni një skedar konfigurimi.

mssfix dhe fragment bëjnë punë të ndryshme

mssfix kufizon madhësinë e segmentit që lidhjet TCP brenda tunelit shpallin gjatë shtrëngimit të duarve. Është levë e duhur për SSH, HTTPS dhe kopjimin e skedarëve, prandaj bllokimi shpesh zhduket sapo vendoset. Nuk i prek fare ngarkesat UDP.

Një tunel që transporton edhe një shërbim UDP mund të vazhdojë të dështojë pasi SSH është rregulluar, dhe ai rezultat ngatërron këdo që supozon se një opsion mbulon gjithçka.

fragment është mekanizmi tjetër dhe një mjet tjetër. Ndan paketat shumë të mëdha përpara enkapsulimit, zbatohet vetëm për transportin UDP, shton kosto për çdo datagram dhe është dokumentuar si mjeti i fundit për zbulim të prishur. Të dy cilësimet duhet të përputhen te partnerët që përfundojnë tunelin. Kur njëri skaj kufizon dhe tjetri fragmenton, shfaqen paralajmërime në regjistër dhe sjellje që askush nuk mund ta parashikojë nga skedarët.

Ulja e MTU-së së ndërfaqes është opsioni i papërpunuar

Zvogëlimi i MTU-së së ndërfaqes në të dy skajet është mjeti i papërpunuar. I thotë çdo dërguesi të brendshëm një numër më të vogël, gjë që funksionon, dhe e ngarkon atë kosto mbi gjithë trafikun në vend të rrjedhave TCP që e kanë nevojë.

Zgjidheni kur tuneli transporton trafik që nuk mund ta kufizoni, ose kur klienti është një pajisje profilin e së cilës nuk e kontrolloni. Aplikojeni në mënyrë simetrike dhe shkruani vlerën pranë profilit. Një ndryshim i aplikuar gjysmë është më keq se asnjë, sepse duket si rregullim.

Riprovo me transferimin që u bllokua

Rilidhuni që cilësimet të ngarkohen, hapni një lidhje të re dhe përsëritni komandën që u ngrin. Madhësia e segmentit negociohet në shtrëngimin e duarve, prandaj një sesion që mbijetoi rilidhjen ende mban vlerën e vjetër. Ping është provë e dobët këtu, sepse i gjithë dështimi është që paketat e vogla kalojnë. Përdorni listën, shkarkimin ose ngjitjen që u prish.

Nëse bllokimi vazhdon me një madhësi më të vogël, shikoni diku tjetër: një firewall me gjendje që e skadon rrjedhën, një adresë e dyfishuar ose një rrugë që zhvendoset në rilidhje. Shkruani madhësinë e provës që dështoi dhe cilësimin që ndryshuat, sepse ai çift e bën të dobishëm raportin e radhës.