Windows L2TP faqat ba’zi saytlarni yuklaydi: pfSense’da DF bitini tozalang

Noutbuk ulanadi, intranet yuklanadi, bir nechta ochiq sayt esa qotib qoladi. Autentifikatsiya va marshrutlash aniq ishlayapti, shu sababli tushuntirish sifatida paket hajmi qoladi. L2TP/IPsec tunnelida foydalanish mumkin bo’lgan MTU adapter hali e’lon qilayotganidan kichik, mijoz esa «bo’laklamang» biti yoqilgan holda to’liq hajmdagi paketlarni yuborishda davom etadi. pfSense shlyuziga o’sha bitni tozalash buyurilishi mumkin, va bu muammoni to’g’ri tuzatishdan oldin tashxisni tasdiqlashning eng tez yo’li.

Muvaffaqiyatsiz bo’lgan sahifalardan boshlang

Har qanday sozlamaga tegishdan oldin qaysi manzillar muvaffaqiyatsiz bo’lishini va qaysilari ishlashini yozib oling. Tunnel chegarasidan pastda qoladigan qo’l berishlar odatdagidek tugaydi, to’liq hajmdagi segment talab qiladigan uzatishlar esa yo’l o’rtasida to’xtaydi. Bu bo’linish filtr emas, hajm muammosining belgisi, chunki bloklangan manzil sahifa o’rtasida emas, ulanish o’rnatilayotganda muvaffaqiyatsiz bo’ladi. Ikkala kuzatuv ham hech narsaga turmaydi va qidiruvni darhol toraytiradi.

Bitni o’rnatadigan va foydali yuk hajmini boshqaradigan ping bilan sinab ko’ring. O’tadigan eng katta yuk sizga yo’lning haqiqiy MTUsini aytadi, adapterning e’lon qilingan qiymati esa ikkisi qanchalik uzoqligini ko’rsatadi.

Ikkala raqamni yozib oling. Tuzatish qaysi biri xato ekaniga bog’liq, va juftlikni keyinroq yozuv tasdiqlaydi.

Chiqishda DF biti nima qiladi

Raqamlar farqining sababi inkapsulyatsiya. IPsec ESP qo’shadi, L2TP yana bir sarlavha qo’shadi, shuning uchun tunnel jismoniy bog’lanishdan kamroq yuk tashiydi. Windows hali ham adapterda 1500 bayt deb xabar beradi va yuborilganiga «bo’laklamang» qo’yadi. Bunday paket sig’masa, shlyuzning to’g’ri javobi yuboruvchini kichrayishga so’ragan ICMP xabari. Shu sababli kichik pinglarni o’tkazadigan tunnel ham fayl yuklab olishda muvaffaqiyatsiz bo’lishi mumkin.

Bu xabar ko’pincha hech qachon yetib kelmaydi. Qaysidir sakrash ICMPni filtrashi mumkin, yoki hech narsa uni yaratmaydi, yuboruvchi esa uzatish taslim bo’lguncha o’sha hajmni takrorlaydi.

Bu yerda sukunat odatiy ko’rinish, shuning uchun alomat tanlab bloklash deb o’qiladi. Mijoz jurnalida yo’qolgan ICMP xabari hech narsa qayd etmaydi.

pfSense parametri va u nima qilmaydi

Parametr Tizim, Kengaytirilgan, Fayervol va NAT sahifasida «Paketlarni tashlash o’rniga yaroqsiz DF bitlarini tozala» yorlig’i bilan joylashgan. Bayroq ko’targan haddan tashqari katta paketni tashlash o’rniga filtr bayroqni olib tashlaydi va paketning pastda bo’linishiga ruxsat beradi. Paket chiquvchi interfeysdan bir bo’lakda o’ta olmasa, yaroqsiz hisoblanadi.

Parametr mijozga tegmasdan ulanishni tiklaydi, shuning uchun mashhur. Bu aylanib o’tish yo’li ham: bo’laklash CPU sarflaydi va har bir yo’qolgan bo’lakni qimmatroq qiladi.

U faqat uzatilgan trafikka tegishli, fayervol o’zi yaratadigan trafikka emas. Xuddi shu sahifa «Fayervol tozalashni o’chir»ni taklif qiladi, bu normallashtirishni butunlay o’chiradi, va bu bu muammoga kerak bo’lganidan ancha keng o’zgarish.

TCPni bo’laklanmagan holda saqlaydigan torroq tuzatish

Qotib qolgan oqimlarning deyarli barchasi TCP, TCP esa bo’laklashga tayanish o’rniga kichikroq segment bo’yicha kelishishi mumkin. Tunnel interfeysida MSSni cheklash qo’l berish paytida e’lon qilingan qiymatni qayta yozadi, shuning uchun har bir tomon haqiqatan sig’adiganini yuboradi. Keyin yo’l oldindan aytib bo’ladigan tarzda tutadi va hech bir paketni bo’lish kerak emas.

Bu UDPni topish yoki DF parametriga qoldiradi. Muvaffaqiyatsiz saytlar oddiy veb-sahifalar bo’lsa, cheklov afzal ko’riladigan o’zgarish.

Mijoz netsh interface ipv4 show subinterfaces orqali o’z adapter MTUsini xabar qilishi mumkin. Bu raqamni server kelishilgan deb hisoblagan qiymat bilan solishtiring, chunki ikkisi har doim bir xil emas. Aynan shu qiymatni operatsion tizim amalda ishlatadi, muzokara nima xabar bergan bo’lsa ham.

Yozuv bilan tasdiqlang, so’ng holatni tiklang

Qaror qabul qilishdan oldin ikkala tomonda yozib oling: biri tunnel o’tadigan joyda, ikkinchisi WAN interfeysi o’tadigan joyda. To’liq hajmda chiqib, ICMP qaytmaydigan paketlar cheklovni to’g’ri qatlam sifatida ko’rsatadi. Kelib, keyin qaytish yo’lida o’ladigan javoblar esa buning o’rniga tunnel MTUsiga ishora qiladi.

Qayta urinishdan oldin holat jadvalini tozalang, chunki mavjud oqimlar eski segment hajmlarini saqlaydi. So’ng muvaffaqiyatsiz sahifani yuklang va bir tomonlama hisoblagichlar o’rniga ikki tomonlama trafik uchun holat ko’rinishini o’qing. Agar u hali ham qotib qolsa, boshqa katakchani sinash o’rniga qayta yozib oling.