MSS-regeln fungerar på routern men missar Squid

En administratör lägger till TCPMSS-klämning i FORWARD. Direkt dirigerad trafik förbättras, men nedladdningar via den lokala Squid-instansen hänger fortfarande. Proxyns anslutning till webbplatsen är inte bara klientens TCP-anslutning som passerar den kedjan.

I en vanlig avslutande forward-proxy avslutas anslutningen mot klienten lokalt. Proxyn skapar en andra TCP-anslutning mot ursprunget eller föräldern. På Linux följer paket som genereras för den anslutningen den lokala utgående vägen.

En regel enbart för FORWARD kan därför vara helt fungerande och ändå missa den handskakning den skulle justera. Kartlägg den faktiska anslutningen och SYN:ens riktning innan du väljer en krok. Containrar eller separata namnutrymmen kan lägga till ytterligare ett dirigerat segment, så rätt placering beror på var processen körs.

Lägg inte PMTU-talet direkt i MSS

Sökvägens MTU är en IP-paketstorlek. TCP MSS beskriver TCP-nyttolasten och måste ta hänsyn till relevanta huvuden. På samma sätt är en ping-nyttolastlängd inte den fullständiga IP-paketlängden. Det välbekanta tillägget på 28 byte hör till ett enkelt IPv4 ICMP echo-arrangemang, inte till varje adressfamilj eller inkapsling.

TCPMSS-målet dokumenterar explicita värden och PMTU-klämning. Klämningen vilar fortfarande på routens MTU-information; det är inte bevis på att vägupptäckten är frisk och inte en ersättning för att tillåta de nödvändiga ICMP-meddelandena.

Koppla också symtomet till teorin. En slutförd handskakning följd av stopp vid större överföringar kan motivera att undersöka paketstorleken. Upprepade obesvarade SYN eller en omedelbar reset kräver en bredare förklaring; små paket som misslyckas bevisar inte ett för stort datasegment.

Håll en fungerande direktanslutning och en misslyckad proxyanslutning åtskilda i protokollet. De kan använda olika källor, rutter och inkapsling, även från samma maskin.