Оповідь про те, як через одну опцію на серверній Windows у нас сайти гальмували

Багато хто вже чув, що Cloud4Y – це корпоративний хмарний провайдер. Тому не станемо розповідати про себе, а поділимося невеликою історією про те, як у нас виникли проблеми з доступом до деяких сайтів і що спричинило це.

Одного дня відділ маркетингу поскаржився інженерам, що при роботі через термінал у браузерах довго вантажаться деякі сайти. Зокрема, життєво важливим для них є vk.com. Сигнал ми прийняли, почали розуміти, в чому проблема.

Отже, ситуація: інтернет-провайдер "Мегафон", серверна ОС Windows, браузер Firefox. Якщо відкрити "ВКонтакте" зі звичайною Windows 10, сайт завантажиться за 10-100 ms. Якщо ж ми спробуємо відкрити Windows Server 2012/16/19, то затримка становить до 15 секунд, а то й більше.

Взяли піксель ВК, і через нього почали відпрацьовувати можливі версії того, що відбувається.

Перевірка гіпотези №1 – проблема із сервером терміналів.
Чи не підтвердилася. При тестовому відкритті сторінки через інший сервер у тій самій мережі проблема збереглася.

Перевірка гіпотези №2 – проблема у шлюзі.
Чи не підтвердилася. Відзначено, що у локальних ноутбуків все відкривається легко та швидко. Але при цьому термінали (і внутрішні сервери) мають проблему. Погралися з налаштуваннями ICMP на зовнішньому та внутрішньому інтерфейсі – не допомогло.

Дивно якось виходить.

З локального ноутбука сайт не гальмує.
З внутрішньої Scan-машини (термінал для сканування) – не гальмує.
А у маркетингу гальмує. Непорядок!

Поїхали далі.

Перевірка гіпотези №3 — проблема DNS.
Чи не підтвердилася. Запустили піксель через публічний DNS (8.8.8.8) – та сама історія. Проблему явно видно, коли вперше смикаєш цей піксель у режимі інкогніто, наприклад.

Виникає підозра, що проблема сильно залежить від браузера. У FF піксель тупить завжди, у хромі при першому вході. У маркетингу тупить постійно і всіх браузерах.

Перевірка гіпотези №4 — Щось із шаблоном ОС.
Чи не підтвердилася. Розгорнули чисту Windows Server 2016, запустили тест із мережі .0. Отримали проблему. Перевели до мережі .200., проблема збереглася. Тобто, гейт мережі .0. ні при чому. При цьому ноутбуки із цієї мережі не мають цієї проблеми. Тобто, і гейт мережі .200. теж ні до чого.

Тобто справа не в шаблоні ОС виходить. Віртуальна машина гальмує із завантаженням пікселя. Але якщо підняти на ній VPN (окрема мережева карта) і трафік пустити через нього, все відпрацьовує дуже швидко (як і повинно бути). Бачимо, що є два варіанти, які можуть викликати проблему: шлюз в офісі або оператор інтернету в офісі.

Але хіба може Мегафон спеціально обрізати доступ до пікселя ВКонтакт? Ні, нісенітниця якась. Пробуємо покопатися ще.

Перевірка гіпотези №5 - у всьому винні VMware Tools.
Чи не підтвердилося. Жодних шкідливих дій не спостерігається. Спробували налаштування картки міняти, теж ні. TTL змінили - ніякого ефекту. Ну взагалі незрозуміло, у чому різниця між Windows 10 та Windows Server. Але різниця є. Як в історії з ховрахом.

Проблемою ми займалися чимало часу. Звісно ж, гуглили схожі ситуації, але не знаходили нічого. Отже, діяли без підказок, відпрацьовуючи всі можливі версії. Провели тестування з ноутбука Windows 2016, щоб переконатися, що у підгальмовуванні при завантаженні пікселя винна не віртуалізація та інше. Змінювали всі можливі налаштування мережевої картки та IP стека. Перепробували купу всього. Але проблема залишалася, а маркетинг бив копитом і вимагав все відремонтувати.

Через деякий час ми таки знайшли, де собака заритий. Вся справа була в опції
netsh interface tcp setglobal ecncapability=disabled

Ця опція за замовчуванням відключена на десктопних ОС Windows і за замовчуванням увімкнена на серверних. Як тільки ми відключаємо її на серверній, все відкривається миттєво, як і на десктопній. Ми змогли підтвердити цю проблему від провайдера, який надає нам інтернет в офісі (Мегафон), через мобільний інтернет Мегафона (якщо розшарити його з телефону і підключитися через Windows Server), через Yota, пробували в деяких районах Москви і проблема була скрізь присутня. Під час роботи на інших операторах доступ до сайту був миттєвий.

Ось така загогулина, як висловлювався один видний політичний діяч. У принципі, проблема зараз вирішена, але нам дуже цікаво: вона виникала тільки у нас чи це масштабне лихо, яке зачіпає компанії з інших міст? Якщо цей випадок непоодинокий, то Мегафону варто подумати про вирішення цієї проблеми. Адже опція ECN (ecncapability) за замовчуванням увімкнена на серверах, і щоб розібратися, в чому суть, потрібно витратити чимало часу.

Як перевірити? Так само, як і ми. Через браузер Firefox намагаємося відкрити будь-яку сторінку vk.com та повторно через ctrl+f5. Якщо проблема є, буде постійна затримка, якщо проблеми немає, сайт буде відкриватися моментально.

Що ще корисного можна почитати у блозі Cloud4Y

→ Солона сонячна енергія
→ Як «зламався» банк
→ Велика теорія сніжинок
→ Інтернет на повітряних кулях
→ Пентестери на передовій кібербезпеці

Підписуйтесь на наш Telegram-Канал, щоб не пропустити чергову статтю! Пишемо не частіше двох разів на тиждень і лише у справі.

Тільки зареєстровані користувачі можуть брати участь в опитуванні. Увійдіть, будь ласка.

Чи спостерігається затримка із завантаженням через серверну Windows?

• 4,8%Так, довго вантажиться2

• 50,0%Ні, все літає21

• 45,2%Проблема не в налаштуваннях, а в маркетологах19

Проголосували 42 користувачів. Утрималися 35 користувачів.

Джерело: habr.com