Linux IPsec şlüzündə TCP MSS sıxılması: nəyi həll edir

Ping işləyir, SSH işləyir, kiçik səhifə yüklənir, sonra hər böyük cavab vaxt aşımına qədər donur. Klassik nümunə əlçatanlığa deyil, paket ölçüsünə işarə edir: yol əl sıxışmanı və ilk bir neçə kilobaytı daşıyır, sonra tam ölçülü seqment yox olur. Linux IPsec şlüzündə TCP MSS qaydası çox vaxt həll yoludur, ancaq onun nəyi dəyişdiyini və toxunduğu paketin həqiqətən harada olduğunu başa düşsəniz. Aşağıdakı ardıcıllıq paketi simptomdan qaydanın yerləşdirilməsinə qədər izləyir, beləliklə izahat uyğun gəlməyən kimi dayana bilərsiniz.

MSS-i düşündürən simptom

TCP əl sıxışmada maksimum seqment ölçüsünü razılaşdırır. Əgər bu dəyər yolun inkapsulyasiyadan sonra daşıya biləcəyindən böyükdürsə, göndərən heç vaxt çatmayan seqmentlər istehsal etməyə davam edir və bağlantı ilk gediş-dönüşdən sonra dayanır. Kiçik cavablar sığır; böyüklər yox.

ICMP rəyi yolun MTU kəşfi vasitəsilə bağlantını xilas edə bilər, bu mesajları atan firewall isə donmanı səssiz qara dəliyə çevirir. Buna görə də eyni tunel bir tətbiq üçün işləyir, konfiqurasiyada heç bir aydın fərq olmadan digəri üçün uğursuz olur.

TCPMSS qaydası nə edir və nə etmir

Qayda keçərkən TCP əl sıxışma paketlərindəki MSS seçimini yenidən yazır. O, tunel interfeysinin MTU-sunu təyin etmir, IPsec siyasətini dəyişmir və mövcud nüvələrdə yalnız elan olunmuş dəyəri aşağı salır, artıq kiçik olanı qaldırmır. O, həmçinin yalnız TCP-yə toxunur; UDP yükləri, DNS davranışı və razılaşdırılmış trafik seçiciləri onun əhatəsindən kənardadır.

Dəyişiklik əl sıxışma zamanı baş verdiyi üçün qaydadan əvvəl qurulmuş mövcud bağlantı köhnə dəyərini saxlayır. Yeni bağlantı ilə sınaqdan keçirin və gözləyin ki, dəyişiklikdən sonrakı ilk cəhd sizə nəyisə deyən olsun. Qaydadakı heç nə artıq açıq olan bağlantıya çatmır. Buna görə hadisənin ortasında tətbiq edilən düzəliş heç nə etməmiş kimi görünə bilər.

Qaydayı daxili TCP yoluna qoyun

Siyasət əsaslı Linux şlüzündə yönləndirilən paket firewall onu gördükdə hələ də adi TCP kimi görünür. IPsec siyasəti paketin qorunacağını qərarlaşdırır; firewall daxili axın üçün ESP başlığı görmür, ona görə də burada ESP ilə uyğunlaşdırma tamamilə başqa bir paketi təsvir edir. Bu uyğunsuzluq bəzi qaydaların düzgün görünüb heç vaxt uyğun gəlməməsinin səbəbidir.

iptables baxımından qayda yönləndirmə yolundakı mangle cədvəlinə aiddir və əl sıxışma paketləri ilə məhdudlaşır: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Rəqəm nümunədir, universal sabit deyil; onu inkapsulyasiya yükündən və yolun real MTU-sundan çıxarın. nftables ekvivalenti maksimum seqment ölçüsünü forward və ya postrouting zəncirində təyin edir.

IKE və ESP üçün xarici dinləyici qaydalarını daxili yönləndirmə qaydalarından ayrı saxlayın. Həm tətbiq axınını, həm də xarici protokolu icazələndirməyə çalışan tək qayda sonda heç birinə etibarlı uyğun gəlmir.

Firewall sahibinə və NAT sırasına hörmət edin

Əgər UFW host firewall-una sahibdirsə, mangle və yönləndirmə dəyişikliklərini növbəti yenidən yükləmədə yox olan əmr yazmaq əvəzinə onun dəstəklədiyi davamlı konfiqurasiya vasitəsilə əlavə edin. Səhv cədvələ və ya terminal qaydadan sonra daxil edilən qaydanın təsiri olmur və canlı cədvəl bunu sizdən gizlədir.

Mənbə tərcüməsi bu qərarla tez-tez qarşılıqlı təsirdə olan ayrı bir qərardır. Ümumi masquerade qaydasından əvvəl qoyulan istisna qorunan trafikin siyasətinin tələb etdiyi mənbəni itirməsinin qarşısını alır; o, ölçü problemini həll etmir və ölçü qaydası tərcümə problemini həll etmir.

Dar yoxlayın, sonra dayanın

Uğursuz xidmətə təzə bağlantı açın və həm tətbiqi, həm də qayda sayğaclarını izləyin. Əgər donma keçərsə, o inkapsulyasiya ilə həmin TCP yolu haqqında sübutunuz var. Hər VPN protokolunun uyğun olduğuna, hər UDP tətbiqinin düzəldildiyinə və ya konkret yuxarı axın xidmətinin ilkin səbəb olduğuna dair sübutunuz yoxdur.

Siyasətin icazə verdiyi yerdə ICMP ölçü rəyini işlək saxlayın və xarici IPsec yolu daxili marşrutla təmsil olunmadıqda marşrut MTU-suna əsaslanan avtomatik sıxılmaya ehtiyatla yanaşın. Nəticə nə qədər dar olsa, növbəti hadisəni diaqnoz etmək bir o qədər asan olar.