DNS-fel eller MTU-problem? Var tar begäran egentligen stopp

Två fel ger samma mening från användaren: sidan fungerar inte. De inträffar på olika lager, och skillnaden avgör vad du ändrar. Ett fel i namnmatchningen stoppar innan någon anslutning finns. Ett fel i paketstorleken inträffar efter att namnet är upplöst och efter att handskakningen är klar, därför börjar sidan laddas och hänger sig sedan. Hitta fasen innan du hittar inställningen.

Två fel på olika lager

Upplösning gör ett namn till en adress, och ingenting annat i anslutningen kan börja förrän det lyckas. Problem med MTU:n på vägen uppstår senare, när ett paket som är större än gränsen för någon länk slängs och avsändaren aldrig får veta det. Det ena är en uppslagning; det andra är ett leveransfel som bara syns över en viss storlek.

Symtomen skiljer sig på ett sätt som du kan observera utan verktyg. Ett DNS-fel är omedelbart och konsekvent: webbläsaren säger att servern inte kan hittas. Ett MTU-fel är delvis: sidan börjar, vissa resurser kommer in, och ett stort svar eller en uppladdning stoppar.

Om ditt symtom är delvis, sluta titta på DNS.

Fas 1: löses namnet alls upp

Använd plattformens uppslagsverktyg med exakt det värdnamn som programmet använder. Ett privat namn på kontoret kan kräva en intern resolver, och webbläsarens egen säkra DNS kan bete sig annorlunda än operativsystemets resolver, så de två kan vara oense om samma namn.

Fråga resolvern som operativsystemet skulle använda och jämför sedan:

dig +short vpn.example.com
dig +short vpn.example.com @10.0.0.53

Om upplösningen misslyckas ligger problemet i den policyn och dess nåbarhet. Skicka inte privata namn till godtyckliga offentliga resolvrar bara för att få en jämförelse, för jämförelsen läcker själv de namn du ville hålla interna.

Fas 2: var överföringen stoppar

Om namnet löses upp och anslutningen börjar, notera var åtgärden stoppar. En sida som visas och sedan hänger på en resurs, en uppladdning som dör vid en fast punkt, eller en stor nedladdning som aldrig blir klar medan små begäranden fungerar är alla symtom med formen av storlek. Ett svar som inte börjar alls har en annan form.

Håll slutpunkten och programmets mål fasta medan du jämför, annars mäter du två variabler samtidigt. Andra orsaker är fortfarande möjliga i den här fasen: tjänstefel, förlust, filterbeteende och återanslutningar av tunneln ger alla stopp.

Ett upprepningsbart stopp är värt mer än tio anekdotiska.

Varför MTU bara skadar efter handskakningen

En TCP-handskakning använder små paket, så den lyckas på en väg som inte kan bära ett segment i full storlek. Felet visas när avsändaren skickar ett stort paket med biten som förbjuder fragmentering, en länk slänger det, och ICMP-meddelandet som skulle ha rapporterat gränsen aldrig kommer fram eftersom ett filter åt upp det. Avsändaren försöker då samma storlek igen och överföringen stoppar.

Därför är symtomet storleksberoende och upprepningsbart i stället för slumpmässigt. Det förklarar också varför ping mot värden inte bevisar något, eftersom ett litet ICMP-eko kan korsa en väg som inte bär en nyttolast i full storlek. Mät storleken från båda ändar av vägen om du kan. En gräns som bara syns i en riktning är en routningsasymmetri och inte en tunnel-MTU.

Mät storleken uttryckligen i stället för att härleda den:

ping -M do -s 1472 203.0.113.20
tracepath 203.0.113.20

Ändra ett lager och bevisa det

För namn, ändra resolverpolicyn och kör samma uppslagning igen. För storlek, använd MTU-proceduren med de ursprungliga värdena noterade och en återställning redo, för att begränsa MSS utan att känna till tunnelns verkliga MTU byter ett stopp mot ett annat.

En sida som laddas en gång efter att flera inställningar ändrats pekar inte ut reparationen. Ändra en sak, kör samma test igen och håll resultatet bredvid den första noterade misslyckade fasen.

Det är den registreringen som hindrar DNS, paketstorlek och autentisering från att bli en hög permanenta omvägar som ingen kan förklara. Att testa med rå IP är ett bra exempel på en genväg som ändrar TLS-identiteten, och att stänga av certifikatverifiering så att en jämförelse lyckas är inte en diagnos.