La règle MSS fonctionne sur le routeur, mais rate Squid
Appliquez le raisonnement MTU aux connexions TCP distinctes ouvertes par un proxy, au lieu de supposer que chaque paquet traverse FORWARD.
Un administrateur ajoute un clampage TCPMSS dans FORWARD. Le trafic routé directement s'améliore, mais les téléchargements via l'instance Squid locale restent bloqués. La connexion du proxy au site n'est pas simplement la connexion TCP du client qui traverse cette chaîne.
Dans un proxy direct terminant ordinaire, la connexion côté client se termine localement. Le proxy crée une seconde connexion TCP vers l'origine ou le parent. Sous Linux, les paquets générés pour cette connexion suivent le chemin de sortie local.
Une règle portant uniquement sur FORWARD peut donc être parfaitement fonctionnelle et manquer malgré tout la poignée de main qu'elle devait ajuster. Cartographiez la connexion réelle et le sens du SYN avant de choisir un point d'accroche. Les conteneurs ou les espaces de noms séparés peuvent ajouter un autre segment routé, donc le bon emplacement dépend de l'endroit où le processus s'exécute.
Ne mettez pas le nombre PMTU directement dans MSS
Le MTU de chemin est une taille de paquet IP. Le MSS TCP décrit la charge utile TCP et doit tenir compte des en-têtes concernés. De même, la longueur de charge d'un ping n'est pas la longueur complète du paquet IP. Le fameux ajout de 28 octets est lié à un agencement IPv4 ICMP echo de base, pas à toutes les familles d'adresses ni à tous les encapsulages.
La cible TCPMSS documente des valeurs explicites et le clampage PMTU. Le clampage repose toujours sur les informations MTU de la route ; ce n'est pas une preuve que la découverte de chemin est saine, ni un remplacement de l'autorisation des messages ICMP nécessaires.
Faites aussi correspondre le symptôme à la théorie. Une poignée de main terminée suivie de blocages sur les transferts plus gros peut justifier d'examiner la taille des paquets. Des SYN répétés sans réponse ou un reset immédiat demandent une explication plus large ; l'échec de petits paquets ne prouve pas un segment de données trop grand.
Gardez distincts dans le compte rendu une connexion directe qui fonctionne et une connexion proxy qui échoue. Elles peuvent utiliser des sources, des routes et un encapsulage différents, même depuis la même machine.