IPsec yüklənməsi: rejim, NAT-T və alqoritmlər hamısı onu dəyişir
Dərc edilmiş bir yüklənmə rəqəmi bir yol üzərində bir inkapsulyasiyanı təsvir edir. Tunelinizin həqiqətən razılaşdırdığı başlıqları toplayın, sonra yolu ölçün.
Bir təlimatın hansısa yerində, adətən altmışla səksən bayt arasında olan bir rəqəm var və kimsə onu 1500-dən çıxaraq interfeys MTU-su alıb. O rəqəm bir konkret yol üzərində bir konkret inkapsulyasiyanı təsvir edir. Rejimi, xarici ünvan ailəsini, şifrə alqoritmini və ya NAT-ın olub-olmadığını dəyişin və hesab artıq tunelinizə aid olmayacaq.
Rəqəm başqa bir tuneldən gəlib
Yüklənmə IPsec-in mücərrəd xassəsi deyil. O, həqiqətən qurulan paketin xassəsidir: razılaşdırılmış rejim, xarici başlıq, mühafizə başlığı, doldurma, bütövlük sahəsi və bəlkə də əlavə UDP qatı.
IPv4 və NAT-sız nəqliyyat rejimi üçün göstərilən rəqəm, NAT keçidi altında IPv6 ilə tunel rejimindən daha kiçik paketi təsvir edir. Hər ikisi öz halı üçün doğrudur. Onlardan birini başqa bir yerləşdirməyə köçürmək insanların böyük ötürmələri pozan MTU ilə nəticələnməsinin yoludur. Nasazlıq səssizdir, çünki kiçik sorğular işləməyə davam edir.
Həqiqətən mövcud olan qatları toplayın
Xarici IP başlığından başlayın və içəriyə doğru gedin. Tunel rejimində ilkin paket içəridədir, yəni xarici başlıq əvəzləmə deyil, əlavədir. RFC 4303 ESP başlığını, doldurmanı və ondan sonra gələn bütövlük məlumatlarını təsvir edir.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
O sətirlərin heç biri yerləşdirmələr arasında sabit deyil, doldurma sətri isə bir yerləşdirmənin daxilində belə sabit deyil. Bir dərc edilmiş yüklənmə rəqəminin insanları məyus etməsinin bütün səbəbi budur.
İki sayt eyni tunel barədə fərqli fikirdə ola bilər
Qorunan paket yenə də xarici yoldan keçməlidir, xarici yol isə hər yerdə eyni deyil. PPPoE giriş xətti təmiz Ethernet seqmentindən az daşıyır. Mobil şəbəkə daha da kiçilə bilər, öz trafikini tunelləşdirən provayder isə heç kimin qeyd etmədiyi daha bir inkapsulyasiya əlavə edir. Bir xətdə işləyib digərində uğursuz olan tunel ikinci xətti təsvir edir, protokolu yox.
Hər iki istiqamət də fərqlənə bilər. Asimmetrik marşrut sizə işləyən yükləmə və dayanmış endirmə verə bilər, bu isə paket ölçülərinə deyil, əlçatanlığa baxana qədər tətbiq problemi kimi görünür. Kiçik ping-in uğurlu olması tam ölçülü cavab barədə çox az şey sübut edir.
Çıxmaq əvəzinə ölçün
Yoldan keçən ən böyük veriqramı tapın. Sonra onu interfeysin bildirdiyi dəyərlə müqayisə edin:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Cavablar gələnə qədər ping ölçüsünü aşağı salın və işləyən ən böyük dəyəri həmin yol üçün büdcə sayın. xfrm çıxışı hansı rejimin və hansı alqoritmlərin razılaşdırıldığını deyir, hər hansı dürüst hesablamanın girişi də budur. Çəkiliş ESP-nin, yoxsa UDP ilə qablaşdırılmış ESP-nin naqildə olduğunu təsdiqləyir və NAT sualını təxmin etmədən həll edir.
İdarəetmə müstəvisi üçün də bir dəyər ayırın. IKE əl sıxma paketlərinin strukturu məlumat paketlərindən fərqlidir, yəni əl sıxma çəkilişindən çıxarılan ölçü məlumat müstəvisinin MTU-su deyil.
Rəqəmi lazım olan yerə qoyun
Tuneldən keçən TCP üçün MSS sıxacı çox vaxt ən az müdaxiləçi nəzarətdir, çünki tunelin özünü dəyişmədən ucların göndərdiyini azaldır. Marşrut əsaslı tunel üçün tunel interfeysinin MTU-sunu qəsdən təyin edin və səbəbini sənədləşdirin. İkisini eyni vaxtda edib sonra ölçmək hansının kömək etdiyi barədə sizə heç bir məlumat vermir.
Razılaşdırılmış rejimi, xarici ailəni, NAT vəziyyətini və təkrarlana bilən simptomu biletdə birlikdə saxlayın. Qeydə alınmış dörd fakt yadda saxlanılan sabitdən üstündür və bu işin növbəti müştəri yeniləməsindən sağ çıxan yeganə versiyası odur.