تشخیص PMTU black hole و ارسال مجدد TCP در لینوکس

فقط در بازهٔ مجاز و به مقصد مورد توافق probe بفرست. این حداکثر شش درخواست ICMP با دادهٔ مصنوعی هستن، نه دادهٔ مشتری یا تست بار. مقدار -s در ping تعداد بایت بدنهٔ ICMP است؛ برای IPv4 معمولی بدون گزینهٔ IP، ۲۸ بایت هدر IP و ICMP هم اضافه می‌شه. پس 1372 نه MSSِ TCP است و نه PMTU اثبات‌شدهٔ مسیر.

اگر بستهٔ کوچک جواب می‌گیره و بزرگ‌تر به‌طور تکرارشونده شکست می‌خوره، وابستگی به اندازه یا تفاوت سیاست ICMP محتمله؛ هنوز ثابت نشده TCP از همون مسیر می‌ره. خطای محلی message too long یا mtu ممکنه قبل از ارسال و به‌خاطر سقف رابط یا PMTU ذخیره‌شده باشه. بی‌پاسخ‌بودن هر دو اندازه هم شاید فقط از مسدودبودن ICMP باشه؛ از این نتیجه به‌تنهایی MTU رو کم نکن.

date -u +%FT%TZ
ping -4 -n -I '192.0.2.10' -M do -s 56 -c 3 -W 1 -w 5 '198.51.100.20'
ping -4 -n -I '192.0.2.10' -M do -s '1372' -c 3 -W 1 -w 5 '198.51.100.20'

tracepath از UDP استفاده می‌کنه و ممکنه پورت مقصد رو تغییر بده. فقط اگر این ترافیک آزمایشی به همون مقصد مجازه اجراش کن. اندازهٔ اولیهٔ بسته اینجا ۱۵۰۰ بایت و سقف hop دوازده است؛ timeout هم مدت مشاهده رو محدود می‌کنه. با این کار فقط سرنخی از مسیر UDP می‌گیریم؛ پورت TCP برنامه رو آزمایش نکردیم.

گزارش pmtu فقط سرنخ همین تبادل UDP و پیام خطاست. در این پنل، آدرس مبدأ و رابطی که در فرم انتخاب کردی به tracepath داده نمی‌شن؛ کرنل ممکنه مبدأ یا مسیر دیگری انتخاب کنه. تفاوت مسیر ECMP، فیلتر ICMP و مسیر برگشت هم می‌تونه نتیجه رو با TCP یا ping متفاوت کنه. ناتمام‌موندن trace یا timeout یک hop الزاماً به معنی افت بستهٔ برنامه نیست؛ روتر ممکنه جواب تشخیصی رو محدود کنه ولی ترافیک رو درست عبور بده.

timeout --signal=INT 15s tracepath -4 -n -l 1500 -m 12 '198.51.100.20'

این مشاهدهٔ محدود فقط با مجوز ضبط، روی رابط تأییدشدهٔ کلاینت و هنگام تلاش TCPِ از قبل مجاز در ترمینال دیگر انجام می‌شه. فیلتر، پیام IPv4 از نوع ICMP شمارهٔ ۳ و کد ۴ رو می‌گیره که به 192.0.2.10 رسیده و پروتکل بستهٔ نقل‌شده داخلش TCP بوده. بسته‌های عادیِ دادهٔ TCP وارد این ضبط نمی‌شن.

اندازهٔ ثابت ۶۸ بایت عمداً به دادهٔ برنامه در یک بستهٔ معمولی و معتبر IPv4/TCP که داخل پیام نقل شده نمی‌رسه، حتی قبل از حساب‌کردن هدر لایهٔ لینک. ممکنه جزئیات TCP نقل‌شده ناقص چاپ بشن؛ اینجا طبیعی است. فایل packet، نمایش متن یا hexِ محتوا و حالت promiscuous نداریم. حتی آدرس و پورت‌ها رو خصوصی نگه دار و برای بررسی ترافیک خصوصی این اندازه رو زیاد نکن.

دیدن پیام need to frag و MTU یعنی اون پیام به نقطهٔ مشاهده رسیده؛ هنوز پذیرش پیام توسط کرنل یا سلامت هر دو جهت ثابت نشده. سکوت هم می‌تونه از نبود بستهٔ بزرگ، رابط یا فضای نام اشتباه، افت در ضبط، فیلتر یا black hole باشه؛ علتش رو به‌تنهایی مشخص نمی‌کنه. اگر پیامی نیاد، timeout معمولاً مشاهده رو با کد خروج مربوط به پایان مهلت متوقف می‌کنه.

sudo timeout --signal=INT 15s tcpdump -i 'eth0' -p -nn -v -s 68 -c 5 'icmp and dst host 192.0.2.10 and icmp[0] = 3 and icmp[1] = 4 and icmp[17] = 6'

این بررسی فقط برای endpoint عمومی و بی‌خطریه که از قبل وجود داره، HEAD رو می‌پذیره و دسترسی مستقیم بهش مجازه. یک درخواست به probe.example.net روی پورت 443 می‌ره؛ مقصد به 198.51.100.20 و آدرس مبدأ به 192.0.2.10 ثابت می‌شه، ولی نام دامنه برای SNI و بررسی گواهی حفظ می‌شه. رمز و cookie نمی‌فرستیم و هدر یا بدنهٔ پاسخ رو چاپ نمی‌کنیم. پورت موقت مبدأ، انتخاب ECMP و mark بسته‌ها هنوز الزاماً با جریان واقعی برنامه یکی نیستن. اگر سیاست سازمان پراکسی رو الزامی می‌دونه، این probe مستقیم رو رد کن؛ سیاست رو دور نزن.

گزینهٔ -q در اول فرمان، فایل تنظیم شخصی curl رو کنار می‌گذاره و مقدار خالی proxy مسیر مستقیم موردنظر رو روشن می‌کنه. بررسی گواهی روشن می‌مونه. زمان‌های چاپ‌شده از ابتدای کار حساب می‌شن، نه مدت مستقل هر مرحله. پاسخ HEAD تبادل کوچکیه و سلامت انتقال حجیم رو ثابت نمی‌کنه. خطای اعتبارسنجی گواهی به بررسی TLS نیاز داره؛ timeout هنگام handshake هنوز می‌تونه علت شبکه‌ای داشته باشه. خطای خروج curl رو کنار زمان‌ها نگه دار؛ http=000 به‌تنهایی تشخیص نیست.

curl -q --proxy '' --interface '192.0.2.10' --http1.1 --head --silent --show-error \
  --resolve 'probe.example.net:443:198.51.100.20' \
  --connect-timeout 5 --max-time 15 --output /dev/null \
  --write-out 'local=%{local_ip} local_port=%{local_port} remote=%{remote_ip} http=%{http_code} connect=%{time_connect} tls=%{time_appconnect} first_byte=%{time_starttransfer} total=%{time_total}\n' \
  'https://probe.example.net:443/'