La regla MSS funciona en el router, pero no llega a Squid
Aplique la lógica de MTU a las conexiones TCP separadas que abre un proxy, en lugar de suponer que cada paquete cruza FORWARD.
Un administrador añade el clamping TCPMSS a FORWARD. El tráfico enrutado directamente mejora, pero las descargas a través de la instancia local de Squid siguen colgándose. La conexión del proxy al sitio web no es simplemente la conexión TCP del cliente que atraviesa esa cadena.
En un proxy directo terminante habitual, la conexión hacia el cliente termina localmente. El proxy crea una segunda conexión TCP hacia el origen o el padre. En Linux, los paquetes generados para esa conexión siguen la ruta de salida local.
Una regla solo para FORWARD puede, por tanto, ser perfectamente funcional y aun así perder el handshake que debía ajustar. Trazar la conexión real y la dirección del SYN antes de elegir un punto de enganche. Los contenedores o los espacios de nombres separados pueden añadir otro segmento enrutado, así que la ubicación correcta depende de dónde se ejecute el proceso.
No ponga el número PMTU directamente en MSS
La MTU de ruta es un tamaño de paquete IP. El MSS de TCP describe la carga útil de TCP y debe tener en cuenta las cabeceras correspondientes. Del mismo modo, la longitud de la carga de un ping no es la longitud completa del paquete IP. La conocida suma de 28 bytes está ligada a una disposición básica de IPv4 ICMP echo, no a todas las familias de direcciones ni a todos los encapsulamientos.
El objetivo TCPMSS documenta valores explícitos y el clamping de PMTU. El clamping sigue dependiendo de la información de MTU de la ruta; no demuestra que el descubrimiento de ruta esté sano ni sustituye a permitir los mensajes ICMP necesarios.
También hay que casar el síntoma con la teoría. Un handshake completado seguido de bloqueos en transferencias grandes puede justificar investigar el tamaño de paquete. Los SYN repetidos sin respuesta o un reset inmediato exigen una explicación más amplia; el fallo de paquetes pequeños no demuestra un segmento de datos demasiado grande.
Mantenga separadas en el registro una conexión directa que funciona y una conexión de proxy que falla. Pueden usar fuentes, rutas y encapsulamiento distintos, incluso desde la misma máquina.