MSS-limigo en TCP sur Linuksa IPsec-pordego: kion ĝi riparas

Ping funkcias, SSH funkcias, malgranda paĝo ŝargiĝas, kaj poste ĉiu granda respondo haltas ĝis la templimo. La klasika ŝablono montras al la paketa grandeco, ne al atingeblo: la vojo portas la manpremon kaj la unuajn kelkajn kilobajtojn, poste segmento de plena grandeco malaperas. Sur Linuksa IPsec-pordego, regulo pri TCP MSS ofte estas la solvo, sed nur se vi komprenas, kion ĝi ŝanĝas kaj kie la paketo, kiun ĝi tuŝas, efektive troviĝas. La suba ordo sekvas la paketon de la simptomo ĝis la lokigo de la regulo, tiel ke vi povas ĉesi tuj kiam la klarigo ĉesas taŭgi.

La simptomo, kiu sugestas MSS

TCP intertraktas maksimuman segmentan grandecon dum la manpremo. Se tiu valoro estas pli granda ol tio, kion la vojo povas porti post enkapsuligo, la sendinto daŭre produktas segmentojn, kiuj neniam alvenas, kaj la konekto haltas post la unua rondo. Malgrandaj respondoj taŭgas; grandaj ne.

ICMP-reatligo povas savi la konekton per malkovro de la voja MTU, kaj fajroŝirmilo, kiu forĵetas tiujn mesaĝojn, transformas la halton en silentan nigran truon. Tial la sama tunelo funkcias por unu aplikaĵo kaj malsukcesas por alia sen iu ajn evidenta diferenco en la agordoj.

Kion regulo pri TCPMSS faras kaj kion ĝi ne faras

La regulo reskribas la opcion MSS en la manpremaj paketoj de TCP dum ili pasas. Ĝi ne agordas la MTU de la tunela interfaco, ĝi ne ŝanĝas la IPsec-politikon, kaj sur nunaj kernoj ĝi nur malaltigas anoncitan valoron anstataŭ altigi jam pli malgrandan. Ĝi ankaŭ tuŝas nur TCP; UDP-ŝarĝoj, la konduto de DNS kaj la intertraktitaj trafikaj selektiloj estas ekster ĝia atingo.

Ĉar la ŝanĝo okazas dum la manpremo, ekzistanta konekto establita antaŭ la regulo konservas sian malnovan valoron. Testu per nova konekto, kaj atendu, ke la unua provo post la ŝanĝo estos tiu, kiu diros al vi ion. Nenio en la regulo atingas konekton, kiu jam estas malfermita. Tial riparo aplikita meze de okazaĵo povas aspekti kvazaŭ ĝi faris tute nenion.

Metu la regulon sur la internan TCP-vojon

Sur politiko-bazita Linuksa pordego, la plusendita paketo ankoraŭ aspektas kiel ordinara TCP kiam la fajroŝirmilo vidas ĝin. La IPsec-politiko decidas, ke la paketo estos protektita; la fajroŝirmilo ne vidas ESP-kapon por la interna fluo, do kongruigo kun ESP ĉi tie priskribas tute alian paketon. Tiu miskongruo estas kial iuj reguloj aspektas ĝustaj kaj neniam kongruas.

En iptables-terminoj, la regulo apartenas al la tabelo mangle sur la plusenda vojo, limigita al manpremaj paketoj: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. La nombro estas ekzemplo, ne universala konstanto; derivu ĝin el la enkapsuliga superkosto kaj la reala MTU de la vojo. nftables-ekvivalento agordas la maksimuman segmentan grandecon en forward aŭ postrouting-ĉeno.

Tenu la eksterajn aŭskultajn regulojn por IKE kaj ESP aparte de la internaj plusendaj reguloj. Unu sola regulo, kiu provas rajtigi kaj la aplikaĵan fluon kaj la eksteran protokolon, finfine fidinde kongruas kun nek unu nek la alia.

Respektu la posedanton de la fajroŝirmilo kaj la ordon de NAT

Se UFW posedas la gastigan fajroŝirmilon, aldonu la ŝanĝojn de mangle kaj plusendado per ĝia subtenata permanenta agordo anstataŭ tajpi komandon, kiu malaperos ĉe la sekva reŝargo. Regulo enmetita en la malĝustan tabelon aŭ post fina regulo havas neniun efikon, kaj la aktiva tabelo kaŝas tion de vi.

Fonto-tradukado estas aparta decido, kiu ofte interagas kun ĉi tiu. Escepto metita antaŭ ĝenerala masquerade-regulo malhelpas, ke protektita trafiko perdu la fonton, kiun postulas ĝia politiko; ĝi ne riparas grandeccan problemon, kaj grandeca regulo ne riparas tradukan problemon.

Kontrolu mallarĝe, poste ĉesu

Malfermu freŝan konekton al la malsukcesanta servo kaj observu kaj la aplikaĵon kaj la regulajn nombrilojn. Se la halto malaperas, vi havas pruvon pri tiu TCP-vojo kun tiu enkapsuligo. Vi ne havas pruvon, ke ĉiu VPN-protokolo taŭgas, ke ĉiu UDP-aplikaĵo estas riparita, aŭ ke specifa supra servo estis la origina kaŭzo.

Lasu la ICMP-grandecan reatligon funkcii tie, kie politiko permesas, kaj traktu atente la aŭtomatan limigon bazitan sur la voja MTU, kiam la ekstera IPsec-vojo ne estas reprezentata de la interna vojo. Ju pli mallarĝa la konkludo, des pli facile estas diagnozi la sekvan okazaĵon.