MSS-sääntö toimii reitittimellä mutta ohittaa Squidin

Ylläpitäjä lisää TCPMSS-rajoituksen FORWARDiin. Suoraan reititetty liikenne paranee, mutta paikallisen Squid-instanssin kautta tehtävät lataukset jumiutuvat edelleen. Välityspalvelimen yhteys verkkosivustoon ei ole vain asiakkaan TCP-yhteys, joka kulkee tuon ketjun läpi.

Tavallisessa päättävässä forward-välityspalvelimessa asiakkaan puoleinen yhteys päättyy paikallisesti. Välityspalvelin luo toisen TCP-yhteyden kohti alkuperää tai ylätason palvelinta. Linuxissa kyseiselle yhteydelle luodut paketit noudattavat paikallista lähtöreittiä.

Pelkästään FORWARDiin kohdistuva sääntö voi siis olla täysin toimiva ja silti ohittaa kättelyn, jota sen oli tarkoitus säätää. Kartoita todellinen yhteys ja SYNin suunta ennen koukun valintaa. Kontit tai erilliset nimiavaruudet voivat lisätä vielä yhden reititetyn segmentin, joten oikea sijoitus riippuu siitä, missä prosessi toimii.

Älä laita PMTU-lukua suoraan MSS:ään

Polun MTU on IP-paketin koko. TCP MSS kuvaa TCP:n hyötykuormaa ja sen on huomioitava asiaankuuluvat otsikot. Samoin pingin hyötykuorman pituus ei ole IP-paketin täysi pituus. Tuttu 28 tavun lisäys liittyy yksinkertaiseen IPv4 ICMP echo -järjestelyyn, ei jokaiseen osoiteperheeseen tai kapselointiin.

TCPMSS-kohde dokumentoi eksplisiittiset arvot ja PMTU-rajoituksen. Rajoitus nojaa edelleen reitin MTU-tietoon; se ei todista polun löytämisen olevan kunnossa eikä korvaa tarvittavien ICMP-viestien sallimista.

Sovita myös oire teoriaan. Suoritettu kättely ja sitä seuraava suurempien siirtojen jumiutuminen voi perustella pakettikoon tutkimista. Toistuvat vastaamattomat SYNit tai välitön reset vaativat laajempaa selitystä; pienten pakettien epäonnistuminen ei todista liian suurta datasegmenttiä.

Pidä kirjauksessa erillään toimiva suora yhteys ja epäonnistuva välityspalvelinyhteys. Ne voivat käyttää eri lähteitä, reittejä ja kapselointia, jopa samasta koneesta.