Ping-u i VPN-së funksionon, por faqja ngec: kontrolloni madhësinë

Përgjigjet e eko vijnë, desktopi në distancë funksionon dhe shfletuesi qëndron në një faqe bosh derisa të dorëzohet. Dy shpjegime përshtaten me këtë model dhe nuk janë variante të një problemi: një politikë që nuk e lejoi kurrë shërbimin, ose paketa që nuk hyjnë më kur transferimi rritet. Përgjigja e eko nuk përjashton asnjërën.

Shkoni nga pyetja më e vogël te më e madhja dhe shënoni çfarë vërtetoi në të vërtetë çdo hap.

Një përgjigje eko përgjigjet një pyetjeje shumë më të vogël

Një përgjigje eko thotë se stiva IP e destinacionit iu përgjigj një kërkese ICMP nga burimi juaj. Ajo nuk thotë asgjë për atë nëse ekziston një dëgjues TCP në portën që ju nevojitet, nëse një politikë e lejon atë port, ose nëse hosti i destinacionit filtron trafikun në mënyrë të pavarur nga porta e rrjetit. Një portë rrjeti që lejon një shërbim mund të hedhë poshtë një tjetër, ndërsa të dy objektivat përgjigjen ndaj ping. Lexojeni përgjigjen si një fakt të vetëm për një paketë të vetme dhe një drejtim të vetëm.

Konfirmoni destinacionin dhe portën e shërbimit përpara se të interpretoni çdo gjë tjetër. Adresa që testuat dhe adresa që përdor aplikacioni ndonjëherë janë regjistra të ndryshëm, dhe një emër që zgjidhet në dy adresa e bën këtë të mundshme.

Zbuloni nëse lidhja filloi

Një lidhje e refuzuar menjëherë është përgjigje e dëgjuesit ose e politikës: diçka u përgjigj dhe tha jo. Një lidhje që hapet dhe pastaj ngec kur të dhënat fillojnë të lëvizin tregon madhësinë. Një lidhje që nuk e përfundon kurrë shtrëngimin e duarve zakonisht është çështje politike ose rrugëtimi dhe duket si skadim kohe, jo si refuzim.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Shënoni cilën nga ato tre situata vëzhguat përpara se të prekni cilësimet e MTU-së. Ndryshimi i madhësisë së tunelit për të rregulluar një lidhje të refuzuar e shpërdoron atë ndryshim dhe e fsheh shkakun e vërtetë për një kohë.

Matni madhësinë me një numër të deklaruar

Kur ngecja shfaqet nën ngarkesë, provoni një madhësi pakete me bitin e ndalimit të fragmentimit të vendosur dhe deklaroni aritmetikën që rezultati të ketë kuptim. Në Linux me iputils, një ngarkesë e dobishme prej 1392 bajtësh plus koka ICMP prej 8 bajtësh dhe koka IPv4 prej 20 bajtësh prodhon një paketë të brendshme prej saktësisht 1420 bajtësh. Deklarojeni këtë aritmetikë në tiketë, sepse një ping i zhveshur që arrin portën e rrjetit nuk provon asgjë për një aplikacion.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Të dy provat janë pika matjeje, jo rekomandime për madhësinë e tunelit. Nëse ICMP filtrohet diku në rrugë, skadimi i kohës nuk ju thotë asgjë për madhësinë, sepse filtrimi dhe një paketë tepër e madhe duken njësoj nga ana e klientit. Edhe suksesi nuk thotë asgjë për drejtimin e kundërt ose për një destinacion tjetër.

Merrni parasysh rrugën e jashtme

Inkapsulimi shton kokën e vet, kështu që paketa në tel është më e madhe se paketa që matët brenda tunelit. Pikërisht dallimi midis të dyjave bën të mundur njëkohësisht një kërkesë të vogël që funksionon dhe një të madhe që dështon.

Zbulimi i MTU-së së rrugës në IPv4 varet nga reagimi për paketat që nuk mund të përcillet pa fragmentim, dhe IPv6 përdor mesazhet Packet Too Big. Specifikimi IPv4 përshkruan atë mekanizëm. Filtrimi i reagimit prish aftësinë e dërguesit për të mësuar dhe e lë atë të ridërgojë paketa që nuk do të hyjnë kurrë. Kjo është arsyeja pse një kërkesë e vogël që funksionon dhe një e madhe që dështon bashkëjetojnë kaq rehat.

Ndryshoni një numër dhe ritestoni aplikacionin

Ulni MTU-në e tunelit ose kufizoni madhësinë maksimale të segmentit për TCP, pastaj përsëritni testin origjinal të aplikacionit në vend të provës. Një provë që ka sukses pas ndryshimit dhe një aplikacion që ende ngec janë një problem tjetër me formë të ngjashme, dhe vetëm testi i aplikacionit i dallon.

Mbani aritmetikën në regjistrin e ndryshimit: madhësinë e matur, ngarkesën shtesë që supozuat dhe vlerën që vendosët. Kushdo që e rishikon më vonë mund të kontrollojë supozimin në vend që ta nxjerrë përsëri nga një pamje ekrani e një ping.

Nëse aplikacioni funksionon në çdo madhësi që provuat, ndaloni rregullimin e numrave dhe shikoni politikën që ndan shërbimin që funksionon nga ai që dështon.