A regra MSS funciona no router, pero pérdese en Squid
Aplique a lóxica MTU ás conexións TCP separadas que abre un proxy, en lugar de supoñer que cada paquete cruza FORWARD.
Un administrador engade o clamping TCPMSS a FORWARD. O tráfico encamiñado directamente mellora, pero as descargas a través da instancia local de Squid seguen colgándose. A conexión do proxy co sitio web non é simplemente a conexión TCP do cliente que atravesa esa cadea.
Nun proxy directo terminante habitual, a conexión cara ao cliente remata localmente. O proxy crea unha segunda conexión TCP cara á orixe ou ao pai. En Linux, os paquetes xerados para esa conexión seguen a ruta de saída local.
Unha regra só para FORWARD pode, polo tanto, ser perfectamente funcional e aínda así perder o handshake que debía axustar. Trazar a conexión real e a dirección do SYN antes de escoller un punto de enganche. Os contedores ou os espazos de nomes separados poden engadir outro segmento encamiñado, así que a localización correcta depende de onde se executa o proceso.
Non poña o número PMTU directamente en MSS
A MTU de ruta é un tamaño de paquete IP. O MSS de TCP describe a carga útil de TCP e debe ter en conta as cabeceiras correspondentes. Do mesmo xeito, a lonxitude da carga dun ping non é a lonxitude completa do paquete IP. A coñecida suma de 28 bytes está ligada a unha disposición básica de IPv4 ICMP echo, non a todas as familias de enderezos nin a todos os encapsulamentos.
O obxectivo TCPMSS documenta valores explícitos e o clamping de PMTU. O clamping segue dependendo da información MTU da ruta; non demostra que o descubrimento de ruta estea san nin substitúe permitir as mensaxes ICMP necesarias.
Casar tamén o síntoma coa teoría. Un handshake completado seguido de bloqueos en transferencias grandes pode xustificar investigar o tamaño de paquete. Os SYN repetidos sen resposta ou un reset inmediato esixen unha explicación máis ampla; o fallo de paquetes pequenos non demostra un segmento de datos demasiado grande.
Manteña separadas no rexistro unha conexión directa que funciona e unha conexión de proxy que falla. Poden usar fontes, rutas e encapsulamento distintos, mesmo desde a mesma máquina.