VPN ping ishlaydi, lekin sayt qotib qoladi: hajmini tekshiring

Aks-sado javoblari keladi, masofaviy ish stoli ishlaydi, brauzer esa taslim bo'lguncha bo'sh sahifada o'tiradi. Bu naqshga ikkita izoh mos keladi va ular bir muammoning variantlari emas: xizmatga hech qachon ruxsat bermagan siyosat yoki uzatish o'sganda sig'may qoladigan paketlar. Aks-sado javobi hech birini istisno qilmaydi.

Eng kichik savoldan eng kattasiga qarab boring va har bir qadam aslida nimani isbotlaganini yozib qo'ying.

Aks-sado javobi ancha kichik savolga javob beradi

Aks-sado javobi manzilning IP steksi sizning manbangizdan kelgan ICMP so'roviga javob berganini aytadi. U sizga kerak bo'lgan portda TCP tinglovchi bor-yo'qligi, siyosat bu portga ruxsat berishi yoki manzil hosti trafikni shlyuzdan mustaqil filtrlashi haqida hech narsa demaydi. Bitta xizmatga ruxsat bergan shlyuz boshqasini tashlab yuborishi mumkin, ikkala nishon ham pingga javob berayotgan bo'lsa ham. Javobni bitta paket va bitta yo'nalish haqidagi bitta fakt sifatida o'qing.

Boshqa narsani talqin qilishdan oldin manzil va xizmat portini tasdiqlang. Siz sinagan manzil va ilova ishlatadigan manzil ba'zan boshqa yozuvlardir, ikki manzilga hal bo'ladigan nom esa buni ehtimoliy qiladi.

Ulanish boshlanganini aniqlang

Darhol rad etilgan ulanish tinglovchi yoki siyosatning javobidir: nima bo'lsa ham javob berdi va yo'q dedi. Ochilib, keyin ma'lumot harakatlana boshlaganda tiqilib qoladigan ulanish hajmga ishora qiladi. Qo'l berib ko'rishishni umuman tugatmaydigan ulanish odatda siyosat yoki marshrutlashga bog'liq va rad etishga emas, vaqt tugashiga o'xshaydi.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

MTU sozlamalariga tegishdan oldin o'sha uchtadan qaysi holatni kuzatganingizni yozing. Rad etilgan ulanishni tuzatish uchun tunnel hajmini o'zgartirish bu o'zgarishni behuda o'tkazadi va haqiqiy sababni bir muddat yashiradi.

Hajmni aytilgan raqam bilan o'lchang

Yuk ostida tiqilish paydo bo'lganda, bo'laklashni taqiqlovchi bitni qo'yib bitta paket hajmini sinab ko'ring va natija ma'noga ega bo'lishi uchun arifmetikani ayting. iputils bor Linux-da 1392 bayt yuk va 8 baytli ICMP sarlavhasi hamda 20 baytli IPv4 sarlavhasi qo'shilib, aynan 1420 bayt ichki paket hosil qiladi. Bu arifmetikani chiptada yozing, chunki shlyuzga yetib boradigan yalang'och ping ilova haqida hech narsani isbotlamaydi.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

Ikkala sinov ham o'lchov nuqtasi, tunnel hajmi bo'yicha tavsiya emas. Agar ICMP yo'lda biror joyda filtrlansa, vaqt tugashi hajm haqida hech narsa demaydi, chunki filtrlash va haddan tashqari katta paket mijoz tomondan bir xil ko'rinadi. Muvaffaqiyat ham teskari yo'nalish yoki boshqa manzil haqida hech narsa demaydi.

Tashqi yo'lni hisobga oling

Enkapsulyatsiya o'z sarlavhalarini qo'shadi, shuning uchun simdagi paket tunnel ichida o'lchagan paketdan katta. Aynan ikkisi orasidagi farq bir vaqtning o'zida ishlaydigan kichik so'rov va muvaffaqiyatsiz bo'ladigan katta so'rovga imkon beradi.

IPv4 da yo'l MTU aniqlash bo'laklashsiz uzatib bo'lmaydigan paketlar haqidagi qayta aloqaga bog'liq, IPv6 esa Packet Too Big xabarlarini ishlatadi. IPv4 spetsifikatsiyasi bu mexanizmni tavsiflaydi. Qayta aloqani filtrlash jo'natuvchining o'rganish qobiliyatini buzadi va uni hech qachon sig'maydigan paketlarni qayta yuborishga qoldiradi. Shuning uchun ishlaydigan kichik so'rov va muvaffaqiyatsiz katta so'rov shunchalik bemalol birga yashaydi.

Bitta raqamni o'zgartiring va ilovani qayta sinang

Tunnel MTU-sini tushiring yoki TCP uchun eng katta segment hajmini cheklang, so'ng sinov o'rniga ilovaning asl sinovini takrorlang. O'zgarishdan keyin muvaffaqiyatli bo'lgan sinov va hali ham tiqilib turgan ilova o'xshash shakldagi boshqa muammo, va faqat ilova sinovi ularni ajratadi.

Arifmetikani o'zgarish yozuvida saqlang: o'lchangan hajm, siz taxmin qilgan qo'shimcha yuk va siz belgilagan qiymat. Keyin buni ko'zdan kechiradigan har kim ping skrinshotidan taxminni qaytadan chiqarish o'rniga uni tekshirishi mumkin.

Agar ilova siz sinagan har bir hajmda ishlasa, raqamlarni sozlashni to'xtating va ishlaydigan xizmatni muvaffaqiyatsiz xizmatdan ajratadigan siyosatga qarang.