Ο κανόνας MSS λειτουργεί στο router, αλλά χάνει το Squid
Εφαρμόστε τη λογική MTU στις ξεχωριστές συνδέσεις TCP που ανοίγει ένα proxy, αντί να υποθέτετε ότι κάθε πακέτο περνά από το FORWARD.
Ένας διαχειριστής προσθέτει περιορισμό TCPMSS στο FORWARD. Η άμεσα δρομολογημένη κίνηση βελτιώνεται, αλλά οι λήψεις μέσω του τοπικού Squid εξακολουθούν να κολλάνε. Η σύνδεση του proxy με τον ιστότοπο δεν είναι απλώς η σύνδεση TCP του πελάτη που περνά από αυτή την αλυσίδα.
Σε ένα συνηθισμένο forward proxy που τερματίζει τη σύνδεση, η σύνδεση προς τον πελάτη τελειώνει τοπικά. Το proxy δημιουργεί μια δεύτερη σύνδεση TCP προς την πηγή ή τον γονέα. Στο Linux, τα πακέτα που παράγονται για αυτή τη σύνδεση ακολουθούν την τοπική διαδρομή εξόδου.
Ένας κανόνας μόνο για FORWARD μπορεί επομένως να είναι απόλυτα λειτουργικός και παρ' όλα αυτά να χάνει τη χειραψία που έπρεπε να προσαρμόσει. Χαρτογραφήστε την πραγματική σύνδεση και την κατεύθυνση του SYN πριν επιλέξετε σημείο παρέμβασης. Τα containers ή οι ξεχωριστοί χώροι ονομάτων μπορούν να προσθέσουν άλλο ένα δρομολογημένο τμήμα, οπότε η σωστή θέση εξαρτάται από το πού εκτελείται η διεργασία.
Μην βάζετε τον αριθμό PMTU απευθείας στο MSS
Το MTU διαδρομής είναι μέγεθος πακέτου IP. Το TCP MSS περιγράφει το φορτίο TCP και πρέπει να λαμβάνει υπόψη τις σχετικές κεφαλίδες. Ομοίως, το μήκος φορτίου ενός ping δεν είναι το πλήρες μήκος του πακέτου IP. Η γνωστή προσθήκη 28 byte συνδέεται με μια βασική διάταξη IPv4 ICMP echo, όχι με κάθε οικογένεια διευθύνσεων ή ενθυλάκωση.
Ο στόχος TCPMSS τεκμηριώνει ρητές τιμές και περιορισμό PMTU. Ο περιορισμός εξακολουθεί να βασίζεται στις πληροφορίες MTU της διαδρομής· δεν αποδεικνύει ότι η ανακάλυψη διαδρομής είναι υγιής, ούτε αντικαθιστά την άδεια των απαραίτητων μηνυμάτων ICMP.
Ταιριάξτε επίσης το σύμπτωμα με τη θεωρία. Μια ολοκληρωμένη χειραψία που ακολουθείται από κολλήματα σε μεγαλύτερες μεταφορές μπορεί να δικαιολογήσει έρευνα του μεγέθους πακέτου. Επαναλαμβανόμενα αναπάντητα SYN ή άμεσο reset απαιτούν ευρύτερη εξήγηση· η αποτυχία μικρών πακέτων δεν αποδεικνύει υπερβολικά μεγάλο τμήμα δεδομένων.
Κρατήστε χωριστά στο αρχείο μια λειτουργική άμεση σύνδεση και μια αποτυχημένη σύνδεση μέσω proxy. Μπορούν να χρησιμοποιούν διαφορετικές πηγές, διαδρομές και ενθυλάκωση, ακόμη και από το ίδιο μηχάνημα.