MSS-reglen virker på routeren, men rammer ikke Squid

En administrator tilføjer TCPMSS-clamping i FORWARD. Direkte routet trafik bliver bedre, men downloads gennem den lokale Squid-instans hænger stadig. Proxyens forbindelse til webstedet er ikke blot klientens TCP-forbindelse, der passerer den kæde.

I en almindelig terminerende forward-proxy slutter forbindelsen mod klienten lokalt. Proxyen opretter en anden TCP-forbindelse mod oprindelsen eller forælderen. På Linux følger pakker, der genereres til den forbindelse, den lokale outputvej.

En regel, der kun gælder FORWARD, kan derfor være helt funktionsdygtig og alligevel misse det handshake, den skulle justere. Kortlæg den faktiske forbindelse og SYN'ens retning, før du vælger et hook. Containere eller adskilte navnerum kan tilføje endnu et routet segment, så den korrekte placering afhænger af, hvor processen kører.

Læg ikke PMTU-tallet direkte i MSS

Path MTU er en IP-pakkestørrelse. TCP MSS beskriver TCP-nyttelasten og skal tage højde for de relevante headers. Tilsvarende er en ping-nyttelastlængde ikke den fulde IP-pakkelængde. Den velkendte tilføjelse på 28 byte hører til et grundlæggende IPv4 ICMP echo-arrangement, ikke til enhver adressefamilie eller indkapsling.

TCPMSS-målet dokumenterer eksplicitte værdier og PMTU-clamping. Clamping hviler stadig på rutens MTU-information; det er ikke bevis for, at stiopdagelse er sund, og ikke en erstatning for at tillade de nødvendige ICMP-beskeder.

Match også symptomet med teorien. Et fuldført handshake efterfulgt af stop ved større overførsler kan begrunde at undersøge pakkestørrelse. Gentagne ubesvarede SYN'er eller et øjeblikkeligt reset kræver en bredere forklaring; små pakker, der fejler, beviser ikke et for stort datasegment.

Hold en fungerende direkte forbindelse og en fejlende proxyforbindelse adskilt i journalen. De kan bruge forskellige kilder, ruter og indkapsling, selv fra samme maskine.