Regula MSS funcționează pe router, dar ratează Squid
Aplicați raționamentul MTU conexiunilor TCP separate deschise de un proxy, în loc să presupuneți că fiecare pachet trece prin FORWARD.
Un administrator adaugă limitarea TCPMSS în FORWARD. Traficul rutat direct se îmbunătățește, dar descărcările prin instanța locală Squid încă se blochează. Conexiunea proxy-ului la site nu este pur și simplu conexiunea TCP a clientului care trece prin acel lanț.
Într-un proxy forward obișnuit care termină conexiunea, conexiunea dinspre client se termină local. Proxy-ul creează o a doua conexiune TCP către origine sau părinte. Pe Linux, pachetele generate pentru acea conexiune urmează calea de ieșire locală.
Prin urmare, o regulă doar pentru FORWARD poate fi perfect funcțională și totuși poate rata strângerea de mână pe care trebuia să o ajusteze. Cartografiați conexiunea reală și direcția SYN înainte de a alege un punct de intervenție. Containerele sau spațiile de nume separate pot adăuga încă un segment rutat, așa că plasarea corectă depinde de locul unde rulează procesul.
Nu puneți numărul PMTU direct în MSS
MTU de cale este o dimensiune de pachet IP. MSS TCP descrie încărcătura utilă TCP și trebuie să țină cont de antetele relevante. La fel, lungimea încărcăturii unui ping nu este lungimea completă a pachetului IP. Cunoscuta adăugare de 28 de octeți este legată de o configurare IPv4 ICMP echo de bază, nu de fiecare familie de adrese sau encapsulare.
Ținta TCPMSS documentează valori explicite și limitarea PMTU. Limitarea se bazează în continuare pe informațiile MTU ale rutei; nu este o dovadă că descoperirea căii este sănătoasă și nu înlocuiește permiterea mesajelor ICMP necesare.
Potriviți și simptomul cu teoria. O strângere de mână finalizată, urmată de blocaje la transferurile mai mari, poate justifica investigarea dimensiunii pachetului. SYN repetate fără răspuns sau un reset imediat cer o explicație mai largă; eșecul pachetelor mici nu demonstrează un segment de date prea mare.
Păstrați separat în consemn o conexiune directă funcțională și o conexiune proxy care eșuează. Ele pot folosi surse, rute și encapsulări diferite, chiar de pe aceeași mașină.