Bakit Nag-hang ang SSH sa OpenVPN? Sukatin Muna ang MTU ng Daan

Kumokonekta ang SSH, lumilitaw ang prompt, at namamatay ang sesyon sa sandaling may command na magbalik ng malaking bagay. Gumagana pa nang saglit ang echo, tapos nauubos ang oras ng koneksyon habang ipinapakita pa rin ng kliyente na nakataas ang tunnel. Ang sesyong malusog hanggang dumating ang data ay kadalasang bumabangga sa hangganan ng laki at hindi sa depekto ng SSH. Ang mga pagsusuri sa ibaba ay inayos upang maalis muna ang pinakamurang paliwanag.

Basahin ang hugis ng pagkabigo bago hawakan ang profile

Dumadaan ang maliliit na packet at hindi ang puno. Ang prompt, banner o isang pagpindot ng key ay kasya nang madali; ang listahan ng folder, download o nakadikit na bloke ay hindi. Ang laki kung saan nagbabago ang ugali ang palatandaan, hindi ang katotohanang SSH ang programang sangkot.

Ang mekanismo ay pagtuklas ng MTU ng daan, na nakadepende sa tugon. Pumipili ang TCP ng laki ng segment, at kapag hindi maipadala ng router sa daan ang nagawang packet, dapat itong magpahayag ng ganoon sa mensaheng ICMP. Ginagawang mas malaki ng encapsulation ang panlabas na packet kaysa panloob, kaya ang magagamit na laki sa loob ng tunnel ay laging mas mababa sa pisikal na link. Salain ang mga mensaheng ICMP na iyon kahit saan at hindi kailanman matatanggap ng nagpadala ang pagwawasto, magpapatuloy ito sa pagpapadala ng buong segment, at itatapon ang panlabas na packet nang walang abiso.

Sukatin ang kisame mula sa dalawang panig

Ihambing ang MTU ng tunnel sa pisikal na link bago baguhin ang alinman sa dalawa. Ang tunnel na kumopya ng pisikal na halaga ay nagsabi na kung saan ang pagkakaiba.

Subukan mula sa loob ng tunnel gamit ang kahilingang nagbabawal sa paghati, ibaba ang payload hanggang may mga sagot na bumalik. Ang argumento ng laki ay binibilang lamang ang payload, kaya ang numerong gumagana ay laging mas mababa sa MTU ng interface. Idagdag muli ang laki ng mga header kung kailangan mo ang numero ng interface.

ip link show tun0
ping -M do -s 1380 10.9.0.1

Ulitin ang pagsubok laban sa pampublikong address ng server mula sa labas ng tunnel. Kung nabigo rin doon ang malalaking pagsubok, nasa daan patungo sa server ang hangganan at walang opsyon ng tunnel ang makakagalaw nito. Ang paghahambing na iyon ay nagliligtas sa iyo mula sa pag-tune ng kliyenteng hindi naman ang problema. Isulat ang dalawang resulta bago buksan ang file ng configuration.

Magkaiba ang ginagawa ng mssfix at fragment

mssfix ay nililimitahan ang laki ng segment na inaanunsyo ng mga koneksyong TCP sa loob ng tunnel sa kanilang handshake. Ito ang tamang lever para sa SSH, HTTPS at pagkopya ng file, kaya madalas mawala ang pag-hang kapag naitakda na. Hindi nito ginagalaw ang mga payload ng UDP.

Ang tunnel na nagdadala rin ng serbisyong UDP ay maaaring patuloy na mabigo pagkatapos maayos ang SSH, at ang resulta ay nakakalito sa sinumang nag-aakalang isang opsyon ang sumasakop sa lahat.

fragment ang kabilang mekanismo at ibang kasangkapan. Hinahati nito ang sobrang laking packet bago ang encapsulation, para lamang sa transporteng UDP, nagdaragdag ng gastos kada datagram at nakadokumento bilang huling paraan para sa sirang pagtuklas. Dapat magtugma ang dalawang setting sa mga peer na nagtatapos ng tunnel. Kapag ang isang dulo ay naglilimita habang ang isa ay naghahati, lumilitaw ang mga babala sa log at ugaling walang makakapaghula mula sa mga file.

Ang pagbaba ng MTU ng interface ang magaspang na opsyon

Ang pagbaba ng MTU ng interface sa dalawang dulo ay ang magaspang na kasangkapan. Nagsasabi ito ng mas maliit na numero sa bawat panloob na nagpadala, na gumagana, at ipinapasa ang gastos sa lahat ng trapiko sa halip na sa mga daloy ng TCP na nangangailangan.

Piliin ito kapag nagdadala ang tunnel ng trapikong hindi mo kayang limitahan, o kapag ang kliyente ay device na hindi mo kontrolado ang profile. Ilapat ito nang simetriko at itala ang halaga sa tabi ng profile. Ang kalahating inilapat na pagbabago ay mas masama kaysa wala, dahil mukha itong pagwawasto.

Subukan muli gamit ang transfer na nag-hang

Kumonekta muli upang ma-load ang mga setting, magbukas ng bagong koneksyon at ulitin ang command na nagyelo. Ang laki ng segment ay pinag-uusapan sa handshake, kaya ang sesyong nakaligtas sa muling pagkonekta ay dala pa rin ang lumang halaga. Mahinang pagsubok ang ping dito, dahil ang buong pagkabigo ay ang pagdaan ng maliliit na packet. Gamitin ang listahan, download o pagdikit na nasira.

Kung nagpatuloy ang pag-hang sa mas maliit na laki, tumingin sa ibang lugar: firewall na may estado na nagpapaso ng daloy, doble ang address, o rutang gumagalaw sa muling pagkonekta. Itala ang laki ng pagsubok na nabigo at ang setting na binago mo, dahil ang pares na iyon ang nagpapahalaga sa susunod na ulat.