Varför OpenConnect-sidor hänger sig tills du sänker tunnelns MTU

Inloggningen lyckas, portalens startsida ritas, och sedan blir en instrumentpanelswidget eller en rapport kvar på waiting for host tills webbläsaren ger upp. Offentliga webbplatser laddas normalt hela tiden, och inga inloggningsuppgifter har ändrats. Att små svar kommer igenom medan stora fastnar är signaturen för ett tak för paketstorlek och inte för en åtkomstregel. Bekräfta den läsningen innan du ändrar något annat i profilen.

Skilj ett storleksproblem från ett policyproblem

Börja med att utesluta ett avslag. Om gatewayen hade avvisat dig skulle anslutningen ha misslyckats direkt i stället för att ladda en sida halvvägs. En tunnel som kommer upp och sedan bara fastnar vid större överföringar säger dig att den yttre vägen inte kan bära det inre paketet.

Mekanismen är inkapsling. Varje inre paket får tunnelrubriker, så en nyttolast som passade i den fysiska länken blir ett yttre paket som inte längre passar, och allt som bär do-not-fragment-biten släpps utan ett svar som webbläsaren kan tolka.

Mät taket med do-not-fragment-prober

Mät taket i stället för att gissa det. Skicka prober som vägrar fragmentering och sänk nyttolasten steg för steg tills ett svar kommer tillbaka, börja med ett kommando som ping -M do -s 1472 host. Ett svar som klagar över att fragmentering behövs medan DF är satt betyder att värdet fortfarande är för högt. Upprepa på 1462, sedan 1452, och stanna vid den första storlek som svarar. Anteckna talet tillsammans med värden du testade, eftersom svaret hör till den vägen och inte till protokollet i allmänhet.

Testa adressen som tunneln faktiskt skickar trafik till. En yttre prob mot gatewayens offentliga namn och en inre prob mot en intern server mäter olika hopp, och ICMP-filtrering på någon av dem kan få en frisk väg att se trasig ut.

Använd värdet på tunnelenheten

Använd resultatet på det gränssnitt som klienten skapade, inte på Wi-Fi-adaptern. På en Linux-klient är det ip link set dev tun0 mtu 1300 följt av ip link show tun0 för att bekräfta att värdet togs emot. Använd det enhetsnamn klienten rapporterar, eftersom det varierar med implementationen och med hur tunneln byggdes.

Att sänka tunnelns MTU krymper den nyttolast varje paket bär, så genomströmningen sjunker lite, och det är priset för att inte skicka stora svar i svarta hålet. Ett mindre tal är inte automatiskt säkrare. Att ändra den fysiska adaptern i stället sprider skadan över varje anslutning på den länken, medan för stora inre paket förblir lika stora.

Använd först klientens egna MTU-förfrågningar

När du styr anropet kan klienten begära en storlek i stället för att lappas efteråt. --mtu begär en tunnel-MTU från servern, och --base-mtu deklarerar MTU:n för den underliggande vägen så att gatewayen kan härleda tunneltalet. Båda är förfrågningar, och klientens handbok lovar inte att gatewayen kommer att hörsamma någon av dem.

Den skillnaden bestämmer din arbetsordning. Prova förfrågan först och granska gränssnittet den ger, och fall sedan tillbaka på att ställa in enheten lokalt om värdet gatewayen valde fortfarande fastnar.

Verifiera med överföringen som misslyckades och gör den sedan beständig

En lokal ip link-ändring håller tills klienten bygger om tunneln, vilket sker vid nästa återanslutning eller återupptagning. Sätt värdet där anslutningen börjar: en wrapper som kör klienten och sedan justerar enheten, en systemd-enhet med ett ExecStartPost-steg, eller klientalternativet när gatewayen accepterar det. Håll det bredvid profilen i versionskontroll så att nästa person ser varför talet står där.

Testa med förfrågan som misslyckades, inte med startsidan. Öppna rapporten, hämta bilagan eller kör den repository-hämtning som hängde sig, och notera exakt var den stannar om den fortfarande stannar. En sida som ritas efter ändringen bevisar lite, eftersom den ritades även före.

Om samma överföring fastnar på samma ställe, är MTU-teorin obevisad. Fånga trafik på tunneln och kontrollera vilken sida som slutar skicka innan du ändrar talet igen, och håll det föregående värdet antecknat så att en återställning förblir ett enda kommando.