Windows L2TP ngarkon vetëm disa sajte: fshini bitin DF në pfSense

Laptopi lidhet, intraneti ngarkohet dhe disa sajte publike ngecin. Vërtetimi dhe rrugëtimi punojnë qartë, çka lë madhësinë e paketës si shpjegim. Në një tunel L2TP/IPsec MTU-ja e përdorshme është më e vogël sesa ajo që adapteri ende shpall, dhe klienti vazhdon të dërgojë paketa me madhësi të plotë me bitin «mos fragmento» të aktivizuar. Një portë pfSense mund të urdhërohet ta fshijë atë bit, dhe kjo është mënyra më e shpejtë për të konfirmuar diagnozën përpara se ta rregulloni si duhet.

Filloni me faqet që dështojnë

Shënoni cilat destinacione dështojnë dhe cilat funksionojnë përpara se të prekni çdo cilësim. Shtrëngimet e duarve që mbeten nën kufirin e tunelit përfundojnë normalisht, ndërsa transferimet që kërkojnë një segment me madhësi të plotë ndalen në mes të rrugës. Kjo ndarje është nënshkrimi i një problemi madhësie dhe jo i një filtri, sepse një destinacion i bllokuar dështon kur vendoset lidhja dhe jo në mes të faqes. Të dyja vëzhgimet nuk kushtojnë asgjë dhe e ngushtojnë menjëherë kërkimin.

Provoni me një ping që vendos bitin dhe kontrollon madhësinë e ngarkesës së dobishme. Ngarkesa më e madhe që kalon ju tregon MTU-në reale të rrugës, dhe vlera e shpallur e adapterit tregon sa larg janë të dyja.

Shkruani të dy numrat. Rregullimi varet nga cili është i gabuar, dhe çifti është ai që një regjistrim do të konfirmojë më vonë.

Çfarë bën biti DF në dalje

Enkapsulimi është arsyeja pse numrat ndryshojnë. IPsec shton ESP, L2TP shton një tjetër titull, dhe për këtë arsye tuneli mbart më pak ngarkesë sesa lidhja fizike. Windows ende raporton 1500 bajt në adapter dhe vendos «mos fragmento» mbi atë që dërgon. Kur një paketë e tillë nuk futet, përgjigjja e saktë nga porta është një mesazh ICMP që i kërkon dërguesit të tkurret. Prandaj një tunel që kalon ping-e të vegjël mund të dështojë përsëri në shkarkimin e një skedari.

Ai mesazh shpesh nuk arrin kurrë. Ndonjë hop mund të filtrojë ICMP, ose asgjë nuk e gjeneron atë, dhe dërguesi përsërit të njëjtën madhësi derisa transferimi të dorëzohet.

Heshtja është paraqitja normale këtu, prandaj simptoma lexohet si bllokim selektiv. Asgjë në regjistrin e klientit nuk shënon një mesazh ICMP që mungon.

Opsioni i pfSense, dhe çfarë nuk bën

Opsioni ndodhet në faqen Sistemi, Avancuar, Firewall dhe NAT, me etiketën «Fshi bitet DF të pavlefshme në vend që të hidhni paketat». Në vend që të hedhë një paketë shumë të madhe që mbart flamurin, filtri e heq flamurin dhe lejon që paketa të ndahet më tej. Një paketë llogaritet e pavlefshme kur nuk mund të kalojë ndërfaqen dalëse në një copë.

Opsioni rikthen lidhshmërinë pa prekur klientin, prandaj është i popullarizuar. Është gjithashtu një zgjidhje e tërthortë: fragmentimi kushton CPU dhe e bën çdo fragment të humbur më të shtrenjtë.

Zbatohet vetëm për trafikun e përcjellë, jo për trafikun që gjeneron vetë firewalls. E njëjta faqe ofron «Çaktivizo pastrimin e firewall-it», që e fik normalizimin plotësisht, dhe ky është një ndryshim shumë më i gjerë sesa i duhet këtij problemi.

Një rregullim më i ngushtë që e mban TCP të pafragmentuar

Pothuajse të gjitha rrjedhat e ngecura janë TCP, dhe TCP mund të negociojë një segment më të vogël në vend që të mbështetet te fragmentimi. Kufizimi i MSS në ndërfaqen e tunelit rishkruan vlerën e shpallur gjatë shtrëngimit të duarve, kështu që secila anë dërgon atë që futet vërtet. Rruga pastaj sillet në mënyrë të parashikueshme dhe asnjë paketë nuk duhet të ndahet.

Kjo e lë UDP-në te zbulimi ose te opsioni DF. Kur sajtet që dështojnë janë faqe web të zakonshme, kufizimi është ndryshimi që duhet preferuar.

Klienti mund të raportojë MTU-në e vetë adapterit përmes netsh interface ipv4 show subinterfaces. Krahasoni atë shifër me atë që serveri mendon se është negociuar, sepse të dyja nuk përputhen gjithmonë. Është pikërisht ajo vlerë që sistemi operativ do të përdorë në të vërtetë, çfarëdo që raportoi negociata.

Konfirmojeni me një regjistrim dhe pastaj rivendosni gjendjen

Regjistroni në të dyja anët përpara se të vendosni: një gjurmë aty ku kalon tuneli dhe një tjetër aty ku kalon ndërfaqja WAN. Paketat që dalin me madhësi të plotë pa ICMP që kthehet tregojnë kufizimin si shtresën e duhur. Përgjigjet që mbërrijnë dhe pastaj vdesin në kthim tregojnë në vend të kësaj MTU-në e tunelit.

Zbrazni tabelën e gjendjeve përpara se të riprovoni, sepse rrjedhat ekzistuese mbajnë madhësitë e tyre të vjetra të segmenteve. Pastaj ngarkoni faqen që dështoi dhe lexoni pamjen e gjendjeve për trafikun dykahësh në vend të numëruesve njëkahësh. Nëse ende ngec, regjistroni përsëri në vend që të provoni një kuti tjetër.