De MSS-regel werkt op de router, maar mist Squid
Pas MTU-redenering toe op de afzonderlijke TCP-verbindingen die een proxy opent, in plaats van aan te nemen dat elk pakket door FORWARD gaat.
Een beheerder voegt TCPMSS-clamping toe aan FORWARD. Direct gerouteerd verkeer verbetert, maar downloads via de lokale Squid-instantie blijven hangen. De verbinding van de proxy met de website is niet simpelweg de TCP-verbinding van de client die door die keten gaat.
Bij een gewone beëindigende forward-proxy eindigt de verbinding naar de client lokaal. De proxy maakt een tweede TCP-verbinding naar de oorsprong of de parent. Op Linux volgen pakketten die voor die verbinding worden gemaakt het lokale uitvoerpad.
Een regel die alleen voor FORWARD geldt, kan dus volledig functioneel zijn en toch de handshake missen die hij moest aanpassen. Breng de werkelijke verbinding en de richting van de SYN in kaart voordat je een haak kiest. Containers of afzonderlijke naamruimten kunnen nog een gerouteerd segment toevoegen, dus de juiste plaats hangt af van waar het proces draait.
Zet het PMTU-getal niet rechtstreeks in MSS
Pad-MTU is een IP-pakketgrootte. TCP MSS beschrijft de TCP-payload en moet rekening houden met de relevante headers. Evenzo is een ping-payloadlengte niet de volledige IP-pakketlengte. De bekende toevoeging van 28 bytes hoort bij een eenvoudige IPv4 ICMP echo-opstelling, niet bij elke adresfamilie of inkapseling.
Het TCPMSS-doel documenteert expliciete waarden en PMTU-clamping. Clamping blijft afhankelijk van de MTU-informatie van de route; het is geen bewijs dat padontdekking gezond is, en geen vervanging voor het toestaan van de benodigde ICMP-berichten.
Koppel ook het symptoom aan de theorie. Een voltooide handshake gevolgd door haperingen bij grotere overboekingen kan onderzoek naar pakketgrootte rechtvaardigen. Herhaalde onbeantwoorde SYN's of een onmiddellijke reset vragen om een bredere verklaring; falende kleine pakketten bewijzen geen te groot datasegment.
Houd een werkende directe verbinding en een falende proxyverbinding gescheiden in het verslag. Ze kunnen verschillende bronnen, routes en inkapseling gebruiken, zelfs vanaf dezelfde machine.