Windows L2TP naglo-load lang ng ilang site: burahin ang DF bit sa pfSense

Kumokonekta ang laptop, naglo-load ang intranet, at nag-hang ang ilang pampublikong site. Malinaw na gumagana ang authentication at routing, kaya ang laki ng packet ang natitirang paliwanag. Sa isang L2TP/IPsec tunnel, mas maliit ang magagamit na MTU kaysa sa ipinapahayag pa ng adapter, at patuloy na nagpapadala ang client ng full-size na packet na naka-set ang «huwag i-fragment» na bit. Maaaring utusan ang isang pfSense gateway na burahin ang bit na iyon, at iyon ang pinakamabilis na paraan upang kumpirmahin ang diagnosis bago ito ayusin nang tama.

Magsimula sa mga pahinang bumabagsak

Bago hawakan ang anumang setting, itala kung aling destinasyon ang bumabagsak at alin ang nagtatagumpay. Ang mga handshake na nananatili sa ilalim ng limitasyon ng tunnel ay normal na natatapos, habang ang mga transfer na nangangailangan ng full-size na segment ay humihinto sa kalagitnaan. Ang paghahati na iyon ay lagda ng problema sa laki at hindi ng filter, dahil ang na-block na destinasyon ay bumabagsak sa pagtatatag ng koneksyon at hindi sa kalagitnaan ng pahina. Walang gastos ang dalawang obserbasyon at agad nilang pinapaliit ang paghahanap.

Subukan gamit ang ping na nagtatakda ng bit at kumokontrol sa laki ng payload. Ang pinakamalaking payload na nakakalusot ay nagsasabi ng tunay na path MTU, at ang ipinahayag na halaga ng adapter ay nagpapakita kung gaano kalayo ang dalawa.

Isulat ang dalawang numero. Nakadepende ang pagwawasto kung alin ang mali, at ang pares ang kukumpirmahin ng capture mamaya.

Ano ang ginagawa ng DF bit sa paglabas

Ang encapsulation ang dahilan kung bakit magkaiba ang mga numero. Nagdaragdag ang IPsec ng ESP, nagdaragdag ang L2TP ng isa pang header, kaya mas kaunting payload ang dinadala ng tunnel kaysa sa pisikal na link. Nag-uulat pa rin ang Windows ng 1500 byte sa adapter at naglalagay ng «huwag i-fragment» sa ipinapadala nito. Kapag hindi kasya ang gayong packet, ang tamang sagot ng gateway ay isang ICMP message na humihiling sa nagpadala na lumiit. Kaya't ang tunnel na nakakalusot ng maliliit na ping ay maaari pa ring mabigo sa pag-download ng file.

Madalas na hindi dumarating ang mensaheng iyon. Maaaring i-filter ng isang hop ang ICMP, o walang gumagawa nito, at inuulit ng nagpadala ang parehong laki hanggang sumuko ang transfer.

Ang katahimikan ang normal na presentasyon dito, kaya binabasa ang sintomas bilang piling pagharang. Walang itinatala sa log ng client ang kulang na ICMP message.

Ang opsyon sa pfSense, at ang hindi nito ginagawa

Ang opsyon ay nasa pahina ng System, Advanced, Firewall at NAT, may label na «Burahin ang mga di-wastong DF bit sa halip na itapon ang mga packet». Sa halip na itapon ang sobrang laking packet na may dalang flag, inaalis ng filter ang flag at hinahayaang mahati ang packet sa ibaba. Itinuturing na di-wasto ang packet kapag hindi ito makalampas sa palabas na interface sa isang piraso.

Ibinabalik ng opsyon ang konektibidad nang hindi hinahawakan ang client, kaya sikat ito. Isa rin itong paraan ng pag-iwas: ang fragmentation ay kumakain ng CPU at nagpapamahal sa bawat nawalang fragment.

Naaangkop lamang ito sa ipinapasa na trapiko, hindi sa trapikong nililikha mismo ng firewall. Nag-aalok din ang parehong pahina ng «I-disable ang Paglilinis ng Firewall», na ganap na nagpapatay sa normalisasyon, at iyon ay mas malawak na pagbabago kaysa sa kailangan ng problemang ito.

Isang mas makitid na pagwawasto na nagpapanatiling hindi naka-fragment ang TCP

Halos lahat ng naka-stuck na flow ay TCP, at makakapag-usap ang TCP ng mas maliit na segment sa halip na umasa sa fragmentation. Ang paglilimita sa MSS sa interface ng tunnel ay nagsusulat muli ng ipinahayag na halaga habang nagha-handshake, kaya ipinapadala ng bawat panig ang aktuwal na kasya. Pagkatapos ay kumikilos nang mahuhulaan ang path at walang packet na kailangang hatiin.

Iniiwan niyon ang UDP sa pagtuklas o sa DF option. Kapag ang mga bumabagsak na site ay ordinaryong web page, ang limitasyon ang pagbabagong dapat piliin.

Maaaring iulat ng client ang sariling MTU ng adapter sa pamamagitan ng netsh interface ipv4 show subinterfaces. Ihambing ang numerong iyon sa itinuturing ng server na napagkasunduan, dahil hindi laging pareho ang dalawa. Iyon ang halagang aktuwal na gagamitin ng operating system, anuman ang iniulat ng negosasyon.

Kumpirmahin gamit ang capture, pagkatapos i-reset ang estado

Kumuha ng capture sa magkabilang panig bago magpasya: isang trace kung saan dumadaan ang tunnel, at isa pa kung saan dumadaan ang WAN interface. Ang mga packet na lumalabas nang full size na walang ICMP na bumabalik ay nagtuturo sa limitasyon bilang tamang layer. Ang mga sagot na dumarating at pagkatapos namamatay sa pagbabalik ay nagtuturo sa MTU ng tunnel.

Walang laman ang talahanayan ng estado bago subukang muli, dahil pinapanatili ng mga umiiral na flow ang kanilang lumang laki ng segment. Pagkatapos ay i-load ang pahinang nabigo at basahin ang view ng estado para sa dalawang-daan na trapiko sa halip na isang-panig na counter. Kung nag-hang pa rin, kumuha muli ng capture sa halip na subukan ang isa pang checkbox.