Windows L2TP சில தளங்களை மட்டும் ஏற்றுகிறது: pfSense இல் DF பிட்டை அழிக்கவும்

மடிக்கணினி இணைகிறது, இன்ட்ராநெட் ஏற்றப்படுகிறது, சில பொதுத் தளங்கள் நிற்கின்றன. அங்கீகாரமும் வழித்தடமும் தெளிவாக வேலை செய்கின்றன, அதனால் விளக்கமாகப் பாக்கெட் அளவே எஞ்சுகிறது. L2TP/IPsec சுரங்கப்பாதையில் பயன்படுத்தக்கூடிய MTU, அடாப்டர் இன்னும் அறிவிப்பதை விடச் சிறியது, மேலும் கிளையண்ட் «பிரிக்க வேண்டாம்» பிட்டை அமைத்து முழு அளவுப் பாக்கெட்டுகளைத் தொடர்ந்து அனுப்புகிறது. pfSense நுழைவாயிலுக்கு அந்த பிட்டை அழிக்கக் கட்டளையிடலாம், சரியாகச் சரிசெய்வதற்கு முன் கண்டறிதலை உறுதிப்படுத்த இதுவே வேகமான வழி.

தோல்வியடையும் பக்கங்களில் தொடங்குங்கள்

எந்த அமைப்பையும் தொடுவதற்கு முன் எந்த இலக்குகள் தோல்வியடைகின்றன, எவை வெற்றிபெறுகின்றன என்று எழுதுங்கள். சுரங்கப்பாதை வரம்புக்குக் கீழ் இருக்கும் கைக்குலுக்கல்கள் இயல்பாக முடிகின்றன, ஆனால் முழு அளவுப் பிரிவு தேவைப்படும் பரிமாற்றங்கள் பாதி வழியில் நிற்கின்றன. அந்தப் பிரிவு வடிகட்டியின் அல்ல, அளவுச் சிக்கலின் அடையாளம், ஏனெனில் தடுக்கப்பட்ட இலக்கு பக்கத்தின் நடுவில் அல்ல, இணைப்பு உருவாக்கப்படும்போது தோல்வியடைகிறது. இரண்டு கவனிப்புகளும் எதையும் செலவாக்குவதில்லை, தேடலை உடனே சுருக்குகின்றன.

பிட்டை அமைத்து பேலோடின் அளவைக் கட்டுப்படுத்தும் ping மூலம் சோதியுங்கள். கடந்து செல்லும் மிகப்பெரிய பேலோட் உண்மையான பாதை MTU-ஐச் சொல்கிறது, அடாப்டரின் அறிவிக்கப்பட்ட மதிப்பு இரண்டும் எவ்வளவு தூரம் என்பதைக் காட்டுகிறது.

இரண்டு எண்களையும் எழுதுங்கள். எது தவறு என்பதைப் பொறுத்தது சரிசெய்தல், அந்த இணையைத்தான் பின்னர் பதிவு உறுதிப்படுத்தும்.

வெளியே செல்லும்போது DF பிட் என்ன செய்கிறது

எண்கள் வேறுபடுவதற்குக் காரணம் மூடுதல். IPsec ESP-ஐச் சேர்க்கிறது, L2TP மற்றொரு தலைப்பைச் சேர்க்கிறது, எனவே சுரங்கப்பாதை இயற்பியல் இணைப்பை விடக் குறைவான பேலோட்டைச் சுமக்கிறது. Windows இன்னும் அடாப்டரில் 1500 பைட்டுகளைத் தெரிவிக்கிறது, அனுப்புவதில் «பிரிக்க வேண்டாம்» என்பதை அமைக்கிறது. அத்தகைய பாக்கெட் பொருந்தாதபோது, நுழைவாயிலின் சரியான பதில் அனுப்புநரைச் சுருங்கச் சொல்லும் ICMP செய்தி. அதனால்தான் சிறிய ping-களைக் கடக்கும் சுரங்கப்பாதையும் கோப்புப் பதிவிறக்கத்தில் தோல்வியடையலாம்.

அந்தச் செய்தி பெரும்பாலும் ஒருபோதும் வருவதில்லை. ஏதோ ஒரு ஹாப் ICMP-ஐ வடிகட்டலாம், அல்லது எதுவும் அதை உருவாக்காது, அனுப்புநர் பரிமாற்றம் விட்டுக்கொடுக்கும் வரை அதே அளவைத் திரும்பத் திரும்பச் செய்கிறார்.

இங்கே மௌனம் சாதாரண வெளிப்பாடு, அதனால்தான் அறிகுறி தேர்ந்தெடுத்த தடையாகப் படிக்கப்படுகிறது. கிளையண்ட் பதிவில் காணாமற்போன ICMP செய்தியை எதுவும் பதிவு செய்யவில்லை.

pfSense விருப்பம், அது செய்யாத விஷயம்

விருப்பம் சிஸ்டம், மேம்பட்டது, ஃபயர்வால் மற்றும் NAT பக்கத்தில் «பாக்கெட்டுகளை வீசுவதற்குப் பதிலாக செல்லாத DF பிட்டுகளை அழிக்கவும்» என்ற லேபிளுடன் உள்ளது. கொடியைச் சுமக்கும் மிகப் பெரிய பாக்கெட்டை வீசுவதற்குப் பதிலாக வடிகட்டி கொடியை நீக்கி, பாக்கெட் கீழே பிரிய அனுமதிக்கிறது. பாக்கெட் வெளிச்செல்லும் இடைமுகத்தை ஒரே துண்டில் கடக்க முடியாதபோது செல்லாததாகக் கணக்கிடப்படுகிறது.

விருப்பம் கிளையண்டைத் தொடாமல் இணைப்பை மீட்டெடுக்கிறது, அதனால்தான் பிரபலமானது. இது ஒரு தற்காலிக வழியும் கூட: பிரித்தல் CPU-ஐச் செலவாக்கி, இழந்த ஒவ்வொரு துண்டையும் விலை அதிகமாக்குகிறது.

இது முன்னனுப்பப்பட்ட போக்குவரத்துக்கு மட்டுமே பொருந்தும், ஃபயர்வால் தானே உருவாக்கும் போக்குவரத்துக்கு அல்ல. அதே பக்கம் «ஃபயர்வால் சுத்தம் செய்வதை முடக்கு» வழங்குகிறது, அது இயல்பாக்கத்தை முழுவதுமாக நிறுத்துகிறது, அது இந்தச் சிக்கலுக்குத் தேவையானதை விட மிகவும் பரந்த மாற்றம்.

TCP-ஐப் பிரிக்காமல் வைக்கும் குறுகிய திருத்தம்

நிற்கும் ஓட்டங்கள் கிட்டத்தட்ட அனைத்தும் TCP, TCP பிரித்தலை நம்புவதற்குப் பதிலாகச் சிறிய பிரிவில் பேச்சுவார்த்தை நடத்தலாம். சுரங்கப்பாதை இடைமுகத்தில் MSS-ஐ வரம்பிடுவது கைக்குலுக்கலின்போது அறிவிக்கப்பட்ட மதிப்பை மீண்டும் எழுதுகிறது, எனவே ஒவ்வொரு பக்கமும் உண்மையில் பொருந்துவதை அனுப்புகிறது. பின்னர் பாதை முன்கணிக்கத்தக்க வகையில் நடந்துகொள்ளும், எந்தப் பாக்கெட்டையும் பிரிக்கத் தேவையில்லை.

இது UDP-ஐக் கண்டறிதலுக்கோ DF விருப்பத்திற்கோ விட்டுவிடுகிறது. தோல்வியடையும் தளங்கள் சாதாரண வலைப் பக்கங்கள் என்றால், வரம்பே விரும்பத்தக்க மாற்றம்.

கிளையண்ட் netsh interface ipv4 show subinterfaces மூலம் தன் அடாப்டர் MTU-ஐத் தெரிவிக்கலாம். அந்த எண்ணை சர்வர் ஒப்புக்கொள்ளப்பட்டதாகக் கருதும் மதிப்புடன் ஒப்பிடுங்கள், ஏனெனில் இரண்டும் எப்போதும் ஒன்றல்ல. பேச்சுவார்த்தை என்ன தெரிவித்தாலும் இயக்க முறைமை உண்மையில் பயன்படுத்துவது அந்த மதிப்பே.

பதிவின் மூலம் உறுதிப்படுத்தி, பின்னர் நிலையை மீட்டமைக்கவும்

முடிவெடுக்கும் முன் இரு பக்கங்களிலும் பதிவு செய்யுங்கள்: சுரங்கப்பாதை செல்லும் இடத்தில் ஒரு தடம், WAN இடைமுகம் செல்லும் இடத்தில் மற்றொன்று. முழு அளவில் வெளியேறி ICMP திரும்பி வராத பாக்கெட்டுகள் வரம்பைச் சரியான அடுக்காகக் காட்டுகின்றன. வந்து பின்னர் திரும்பும் வழியில் இறக்கும் பதில்கள் அதற்குப் பதிலாகச் சுரங்கப்பாதையின் MTU-ஐக் காட்டுகின்றன.

மீண்டும் முயல்வதற்கு முன் நிலை அட்டவணையைக் காலி செய்யுங்கள், ஏனெனில் ஏற்கனவே உள்ள ஓட்டங்கள் தம் பழைய பிரிவு அளவுகளை வைத்திருக்கின்றன. பின்னர் தோல்வியடைந்த பக்கத்தை ஏற்றி, ஒரு பக்க கவுண்டர்களுக்குப் பதிலாக இரு வழிப் போக்குவரத்துக்கான நிலைக் காட்சியைப் படியுங்கள். இன்னும் நின்றால், மற்றொரு தேர்வுப்பெட்டியை முயல்வதற்குப் பதிலாக மீண்டும் பதிவு செய்யுங்கள்.