Problemas de conexão SSH através do túnel OpenVPN (“segmento anterior TCP perdido”)

1
divB 2020-03-17 06:42.

Eu tenho um túnel VPN para um servidor OpenVPN. A VPN é uma VPN Sophos que usa OpenVPN sob o capô. Não sei a configuração do servidor nem posso alterar a configuração do servidor. Meu endpoint de túnel é tun no Win 10 (OpenVPN 2.4.8) e sua configuração se parece com:

ip-win32 dynamic
client
dev tun
proto tcp
verify-x509-name "[...]"
route remote_host 255.255.255.255 net_gateway
resolv-retry infinite
nobind
persist-key
persist-tun
dev-node "OpenVPN"
pull-filter ignore redirect-gateway
route 192.168.20.0 255.255.255.0 vpn_gateway 3
<ca>
[...]
</ca>
<cert>
[...]
</cert>
<key>
[...]
</key>
auth-user-pass
cipher AES-128-CBC
auth SHA256
comp-lzo no
route-delay 4
verb 3
reneg-sec 0
remote [...] 8443

Agora eu tenho o problema de que uma conexão SSH através do túnel trava debug1: SSH2_MSG_KEXINIT sent(este é WSL ssh):

$ ssh -vvvv 192.168.20.147
OpenSSH_7.6p1 Ubuntu-4ubuntu0.3, OpenSSL 1.0.2n  7 Dec 2017
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 19: Applying options for *
debug2: resolving "192.168.20.147" port 22
debug2: ssh_connect_direct: needpriv 0
debug1: Connecting to 192.168.20.147 [192.168.20.147] port 22.
debug1: Connection established.
[...]
debug1: Local version string SSH-2.0-OpenSSH_7.6p1 Ubuntu-4ubuntu0.3
debug1: Remote protocol version 2.0, remote software version OpenSSH_7.6p1 Ubuntu-4ubuntu0.3
debug1: match: OpenSSH_7.6p1 Ubuntu-4ubuntu0.3 pat OpenSSH* compat 0x04000000
debug2: fd 3 setting O_NONBLOCK
[...]
debug3: send packet: type 20
debug1: SSH2_MSG_KEXINIT sent

Capturo a sessão com WireShark e vejo "TCP Previous segment lost":

No.     Time        Source                Destination           Protocol Info
      4 2.933875    10.81.234.15          192.168.20.147        TCP      54013 > ssh [SYN] Seq=0 Win=64240 Len=0 MSS=1460 WS=8
      5 3.305435    192.168.20.147        10.81.234.15          TCP      ssh > 54013 [SYN, ACK] Seq=0 Ack=1 Win=64480 Len=0 MSS=1240 WS=9
      6 3.305511    10.81.234.15          192.168.20.147        TCP      54013 > ssh [ACK] Seq=1 Ack=1 Win=65536 Len=0
      7 3.317162    10.81.234.15          192.168.20.147        SSHv2    Client Protocol: SSH-2.0-OpenSSH_7.6p1 Ubuntu-4ubuntu0.3\r
      8 3.335238    192.168.20.147        10.81.234.15          SSHv2    Server Protocol: SSH-2.0-OpenSSH_7.6p1 Ubuntu-4ubuntu0.3\r
      9 3.339937    10.81.234.15          192.168.20.147        TCP      [TCP segment of a reassembled PDU]
     10 3.339948    10.81.234.15          192.168.20.147        SSHv2    Client: Key Exchange Init
     11 3.635978    192.168.20.147        10.81.234.15          TCP      ssh > 54013 [ACK] Seq=42 Ack=42 Win=64512 Len=0
     12 3.947955    192.168.20.147        10.81.234.15          TCP      [TCP Previous segment lost] ssh > 54013 [ACK] Seq=1122 Ack=1402 Win=64512 Len=0

Acho que isso pode estar relacionado ao MTU, então brinquei de configurar o MTU no servidor SSH e no endpoint do cliente OpenVPN (vários valores do padrão 1500 até <1000). Sem alterações.

Também tentei usar ping -f -l PKTSIZE 192.168.20.147e a parte interessante é que o ping é bem-sucedido até PKTSIZE = 71 e para PKTSIZE> 71 recebo "Tempo limite de solicitação esgotado".

Nota: Em um computador diferente com o cliente Sophos VPN Endpoint, mas na mesma rede, tudo funciona conforme o esperado.

1 answers

2
divB 2020-03-17 11:37.

Uma longa sessão de depuração corrigiu o problema. Este é um tanto intrincado.

Acontece que o cliente também relatou Bad compression stub decompression header byte: 102aqui e ali.

Meu cliente é OpenVPN 2.4.8, mas o servidor é OpenVPN 2.3.8. Parece que há um bug na compressão. A configuração do cliente foi comp-lzo no(como pode ser visto acima), mas precisa ser alterada para comp-lzo yes.

MORE COOL STUFF

Cate Blanchett dormiu com o marido depois de 3 dias juntos e ainda está casada com ele 25 anos depois

Cate Blanchett dormiu com o marido depois de 3 dias juntos e ainda está casada com ele 25 anos depois

Cate Blanchett desafiou os conselhos típicos de namoro quando conheceu o marido.

Por que Michael Sheen é um ator sem fins lucrativos

Por que Michael Sheen é um ator sem fins lucrativos

Michael Sheen é um ator sem fins lucrativos, mas o que exatamente isso significa?

Hallmark Star Colin Egglesfield Pratos Emocionantes Encontros de Fãs no RomaDrama Live! [Exclusivo]

Hallmark Star Colin Egglesfield Pratos Emocionantes Encontros de Fãs no RomaDrama Live! [Exclusivo]

A estrela da Hallmark Colin Egglesfield falou sobre emocionantes encontros com fãs no RomaDrama Live! além de seu programa INSPIRE na convenção.

Por que você não pode transmitir 'Exposição do Norte' online

Por que você não pode transmitir 'Exposição do Norte' online

Você terá que tirar o pó de um Blu-ray ou DVD player para ver por que Northern Exposure se tornou um dos programas mais populares dos anos 90.

Where in the World Are You? Take our GeoGuesser Quiz

Where in the World Are You? Take our GeoGuesser Quiz

The world is a huge place, yet some GeoGuessr players know locations in mere seconds. Are you one of GeoGuessr's gifted elite? Take our quiz to find out!

Como a matéria branca ajuda a função da matéria cinzenta do cérebro

Como a matéria branca ajuda a função da matéria cinzenta do cérebro

Todos nós já ouvimos falar da massa cinzenta do cérebro, mas e a massa branca? O que isso faz?

Doe seu cabelo para ajudar a manter nossa água limpa

Doe seu cabelo para ajudar a manter nossa água limpa

Aparas de cabelo de salões e doações pessoais podem ser reaproveitadas como tapetes que absorvem derramamentos de óleo e ajudam a proteger o meio ambiente.

Um olhar sobre os casamentos mais memoráveis ​​da Casa Branca

Um olhar sobre os casamentos mais memoráveis ​​da Casa Branca

Apenas algumas pessoas se casaram na Casa Branca nos últimos 200 anos. Quem eram eles e o que é necessário para marcar um casamento lá?

26 anos depois, filmagens de Sonic The Hedgehog's Infamous Macy's Parade Disaster

26 anos depois, filmagens de Sonic The Hedgehog's Infamous Macy's Parade Disaster

Qualquer um que seja um fã sério de Sonic, ou da Macy's Thanksgiving Day Parade, provavelmente está ciente do evento de 1993, no qual um carro alegórico do Sonic the Hedgehog foi pego por ventos fortes, atingiu um poste e feriu duas pessoas. A questão é que, apesar de saber que isso aconteceu, não tínhamos nenhum vídeo sobrevivente do incidente.

O prefeito de Miami-Dade ordena que as cadeias do condado cumpram as restrições de Trump's Sanctuary City

O prefeito de Miami-Dade ordena que as cadeias do condado cumpram as restrições de Trump's Sanctuary City

Foto do manifestante preparando uma placa para uma manifestação contra a ordem executiva do presidente Donald Trump sobre a imigração muçulmana em Miami via AP. E agora, começa: à luz da recente ordem executiva do presidente Donald Trump que cortará o financiamento federal das cidades-santuário, o prefeito do condado de Miami-Dade, Carlos Giminez, ordenou que as cadeias do condado cumpram todos os pedidos de detenção federal.

A VW tornou seu dispositivo de derrota mais potente para economizar em reparos de garantia: documentos judiciais

A VW tornou seu dispositivo de derrota mais potente para economizar em reparos de garantia: documentos judiciais

Foto: Brennan Linsley Nos autos que acusam o engenheiro da Volkswagen James Robert Liang de fraude por desenvolver o código de emissão de diesel da VW, existe uma pequena seção sobre uma atualização de software em 2014. Alega que a VW tornou seus carros ainda mais prejudiciais ao meio ambiente apenas para a empresa poderia economizar nos custos de garantia.

Este é o começo do fim da detenção de Brittney Griner?

Este é o começo do fim da detenção de Brittney Griner?

Brittney Griner (r.) Desde o início, o status de Brittney Griner tem sido a situação de refém americana mais singular da história moderna.

Nicky Hilton Forced to Borrow Paris' 'I Love Paris' Sweatshirt After 'Airline Loses All [My] Luggage'

Nicky Hilton Forced to Borrow Paris' 'I Love Paris' Sweatshirt After 'Airline Loses All [My] Luggage'

Nicky Hilton Rothschild's luggage got lost, but luckily she has an incredible closet to shop: Sister Paris Hilton's!

Carne de porco Mapo de Dawn Burrell e homus de Edamame

Carne de porco Mapo de Dawn Burrell e homus de Edamame

"Esta é uma indústria dominada por homens, e estou feliz por ser uma das pessoas que quebrou o molde para ajudar as mulheres de cor", diz Top Chef: finalista de Portland e chef-parceiro do final de agosto em Houston. "Muitas vezes somos ignorados e às vezes não ensinados, mas isso vai mudar."

Kate Middleton passa um dia à beira da água em Londres, além de Jennifer Lopez, Julianne Hough e mais

Kate Middleton passa um dia à beira da água em Londres, além de Jennifer Lopez, Julianne Hough e mais

Kate Middleton passa um dia na água em Londres, além de Jennifer Lopez, Julianne Hough e muito mais. De Hollywood a Nova York e em todos os lugares, veja o que suas estrelas favoritas estão fazendo!

Jovem de 17 anos esfaqueado até a morte enquanto outros 4 ficaram feridos em um ataque de faca no rio Wisconsin

Jovem de 17 anos esfaqueado até a morte enquanto outros 4 ficaram feridos em um ataque de faca no rio Wisconsin

Investigadores estão investigando se o grupo e o suspeito se conheciam antes do ataque

Aterrissagens na pista

Aterrissagens na pista

O final do verão e o outono são estações nostálgicas. Os postes de luz lançam sua luz sobre as ruas escorregadias pela chuva, e as folhas sob os pés – vermelho-alaranjado nas sombras do crepúsculo – são um lembrete de dias passados.

Imagine criar uma estratégia de conteúdo que realmente CONVERTE. É possível.

Imagine criar uma estratégia de conteúdo que realmente CONVERTE. É possível.

Em 2021, encorajo você a repensar tudo o que sabe sobre os clientes que atende e as histórias que conta a eles. Dê um passo para trás.

Uma perda gigantesca abriu meu coração para o amor

Uma perda gigantesca abriu meu coração para o amor

No dia do aniversário de 9 anos de Felix The Cat, lembro-me de uma das maiores perdas da minha vida adulta – minha Sophie em 2013. Escrevi este ensaio e o compartilhei brevemente nesta plataforma em 2013.

Quando você não pode ser a pessoa que a internet quer que você seja

Quando você não pode ser a pessoa que a internet quer que você seja

Odeio a palavra “naufrágio”. As pessoas se confortam em sua própria bússola moral e, ao fazê-lo, encontram-se julgando.

Language