La regla MSS funciona al router, però falla a Squid
Apliqueu la lògica MTU a les connexions TCP separades que obre un proxy, en lloc de suposar que cada paquet travessa FORWARD.
Un administrador afegeix el clampat TCPMSS a FORWARD. El trànsit encaminat directament millora, però les descàrregues a través de la instància local de Squid encara s'encallen. La connexió del proxy al lloc web no és simplement la connexió TCP del client que passa per aquesta cadena.
En un proxy directe que acaba la connexió, la connexió cara al client acaba localment. El proxy crea una segona connexió TCP cap a l'origen o el pare. A Linux, els paquets generats per a aquesta connexió segueixen la via de sortida local.
Per tant, una regla només per a FORWARD pot ser perfectament funcional i, tot i així, perdre l'apretada de mans que havia d'ajustar. Dibuixeu la connexió real i la direcció del SYN abans de triar un punt d'enganxament. Els contenidors o els espais de noms separats poden afegir un altre segment encaminat, així que la ubicació correcta depèn d'on s'executa el procés.
No poseu el número PMTU directament a MSS
L'MTU de camí és una mida de paquet IP. El TCP MSS descriu la càrrega TCP i ha de tenir en compte les capçaleres corresponents. Igualment, la longitud de la càrrega d'un ping no és la longitud completa del paquet IP. L'addició coneguda de 28 bytes està lligada a una disposició bàsica d'IPv4 ICMP echo, no a totes les famílies d'adreces ni a tots els encapsulaments.
L'objectiu TCPMSS documenta valors explícits i el clampat PMTU. El clampat encara depèn de la informació MTU de la ruta; no és una prova que el descobriment de camí estigui sa, ni un substitut de permetre els missatges ICMP necessaris.
Feu també correspondre el símptoma amb la teoria. Una apretada de mans completada seguida de bloquejos en transferències grans pot justificar investigar la mida del paquet. Els SYN repetits sense resposta o un reset immediat necessiten una explicació més àmplia; el fracàs de paquets petits no demostra un segment de dades massa gran.
Manteniu separades al registre una connexió directa que funciona i una connexió de proxy que falla. Poden fer servir fonts, rutes i encapsulaments diferents, fins i tot des del mateix equip.