Windows L2TP bazı siteleri yüklüyor: pfSense’te DF bitini temizleyin

Dizüstü bilgisayar bağlanıyor, intranet yükleniyor ve birkaç genel site takılıyor. Kimlik doğrulama ve yönlendirme açıkça çalışıyor, bu da açıklama olarak paket boyutunu bırakıyor. Bir L2TP/IPsec tünelinde kullanılabilir MTU, bağdaştırıcının hâlâ duyurduğundan küçüktür ve istemci «bölme» biti ayarlıyken tam boyutlu paketler göndermeye devam eder. Bir pfSense ağ geçidine o biti temizlemesi emredilebilir ve bu, sorunu düzgün şekilde düzeltmeden önce tanıyı doğrulamanın en hızlı yoludur.

Başarısız olan sayfalardan başlayın

Herhangi bir ayara dokunmadan önce hangi hedeflerin başarısız olduğunu ve hangilerinin çalıştığını not edin. Tünel sınırının altında kalan el sıkışmalar normal şekilde tamamlanırken tam boyutlu segment gerektiren aktarımlar yolun ortasında durur. Bu ayrım bir filtre değil boyut sorununun imzasıdır, çünkü engellenen hedef sayfanın ortasında değil bağlantı kurulurken başarısız olur. Her iki gözlem de hiçbir şeye mal olmaz ve aramayı hemen daraltır.

Biti ayarlayan ve yük boyutunu denetleyen bir ping ile deneyin. Geçen en büyük yük size gerçek yol MTU’sunu söyler ve bağdaştırıcının duyurduğu değer ikisinin ne kadar uzak olduğunu gösterir.

İki sayıyı da yazın. Düzeltme hangisinin yanlış olduğuna bağlıdır ve çifti daha sonra bir yakalama doğrular.

DF biti çıkışta ne yapar

Sayıların farklı olmasının nedeni kapsüllemedir. IPsec ESP ekler, L2TP bir başlık daha ekler ve tünel bu yüzden fiziksel bağlantıdan daha az yük taşır. Windows bağdaştırıcıda hâlâ 1500 bayt bildirir ve gönderdiğine «bölme» koyar. Böyle bir paket sığmadığında ağ geçidinin doğru yanıtı, gönderene küçülmesini söyleyen bir ICMP iletisidir. Bu yüzden küçük pingleri geçiren bir tünel yine de bir dosya indirmeyi başarısız kılabilir.

Bu ileti çoğu zaman hiç ulaşmaz. Bir atlama ICMP’yi süzebilir ya da hiçbir şey onu üretmez ve gönderen aktarım pes edene kadar aynı boyutu yineler.

Burada sessizlik olağan görünümdür, bu yüzden belirti seçici engelleme olarak okunur. İstemci günlüğünde eksik bir ICMP iletisi hiçbir şey kaydetmez.

pfSense seçeneği ve yapmadığı şey

Seçenek Sistem, Gelişmiş, Güvenlik duvarı ve NAT sayfasında «Paketleri düşürmek yerine geçersiz DF bitlerini temizle» etiketiyle bulunur. Bayrağı taşıyan aşırı büyük paketi atmak yerine süzgeç bayrağı kaldırır ve paketin aşağıda bölünmesine izin verir. Bir paket, giden arayüzü tek parçada geçemediğinde geçersiz sayılır.

Seçenek, istemciye dokunmadan bağlantıyı geri getirir, bu yüzden popülerdir. Aynı zamanda bir geçici çözümdür: bölme CPU harcar ve kaybedilen her parçayı daha pahalı yapar.

Yalnızca iletilen trafik için geçerlidir, güvenlik duvarının kendi ürettiği trafik için değil. Aynı sayfa «Güvenlik duvarı temizliğini devre dışı bırak» seçeneğini sunar; bu, normalleştirmeyi tamamen kapatır ve bu sorunun ihtiyacından çok daha geniş bir değişikliktir.

TCP’yi bölünmemiş tutan daha dar bir düzeltme

Takılan akışların neredeyse tamamı TCP’dir ve TCP bölünmeye güvenmek yerine daha küçük bir segment üzerinde anlaşabilir. Tünel arayüzünde MSS’yi sınırlamak, el sıkışma sırasında duyurulan değeri yeniden yazar, böylece her taraf gerçekten sığanı gönderir. Yol sonra öngörülebilir davranır ve hiçbir paketin bölünmesi gerekmez.

Bu, UDP’yi keşfe ya da DF seçeneğine bırakır. Başarısız siteler sıradan web sayfalarıysa tercih edilecek değişiklik sınırdır.

İstemci kendi bağdaştırıcı MTU’sunu netsh interface ipv4 show subinterfaces aracılığıyla bildirebilir. Bu sayıyı sunucunun anlaşıldığını düşündüğü değerle karşılaştırın, çünkü ikisi her zaman aynı değildir. İşletim sisteminin gerçekten kullanacağı değer budur, görüşme ne bildirirse bildirsin.

Bir yakalama ile doğrulayın, sonra durumu sıfırlayın

Karar vermeden önce iki tarafta da yakalayın: tünelin geçtiği yerde bir iz, WAN arayüzünün geçtiği yerde bir diğeri. Tam boyutta çıkıp ICMP geri dönmeyen paketler sınırı doğru katman olarak gösterir. Gelen ve sonra dönüş yolunda ölen yanıtlar ise tünelin MTU’sunu gösterir.

Yeniden denemeden önce durum tablosunu boşaltın, çünkü var olan akışlar eski segment boyutlarını korur. Sonra başarısız olan sayfayı yükleyin ve tek yönlü sayaçlar yerine iki yönlü trafik için durum görünümünü okuyun. Hâlâ takılıyorsa başka bir onay kutusu denemek yerine yeniden yakalayın.