IPsec gainkarga: moduak, NAT-T-k eta algoritmoek guztia aldatzen dute
Argitaratutako gainkarga-kopuru bakar batek bide bakarreko kapsulatze bat deskribatzen du. Batu zure tunelek benetan negoziatzen dituen goiburuak, eta gero neurtu bidea.
Gida bateko nonbait badago zenbaki bat, normalean hirurogei eta laurogei byte artean, norbaitek 1500etik kendu zuena interfazearen MTU lortzeko. Zenbaki horrek kapsulatze jakin bat deskribatzen du bide jakin batean. Aldatu modua, kanpoko helbide-familia, zifratzea edo NAT-aren presentzia, eta aritmetikak ez dio zure tunelari ezer esaten.
Zenbakia beste tunel batetik etorri zen
Gainkarga ez da IPsec-en propietate abstraktua. Benetan eraikitzen den paketearen propietatea da: negoziatutako modua, kanpoko goiburua, babes-goiburua, betegarria, osotasun-eremua eta agian UDP bilgarri gehigarri bat.
IPv4rekin eta NAT-rik gabe garraio-modurako aipatzen den kopuruak pakete txikiagoa deskribatzen du NAT zeharkaketapean IPv6 duen tunel-moduak baino. Biak zuzenak dira beren kasurako. Horietako bat beste ezarpen batera kopiatzea da jendea transferentzia handiak hausten dituen MTU batekin amaitzeko modua. Hutsegitea isila da, eskaera txikiek lanean jarraitzen dutelako.
Batu benetan dauden geruzak
Hasi kanpoko IP goiburuan eta joan barrurantz. Tunel-moduan jatorrizko paketea barruan dago, beraz kanpoko goiburua gehikuntza da, ez ordezkapena. RFC 4303 ESP goiburua, betegarria eta haren ondoren datozen osotasun-datuak deskribatzen ditu.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Errenkada horietako bat ere ez da konstantea ezarpenen artean, eta betegarriaren errenkada ez da konstantea ezarpen bakar baten barruan ere. Horregatik etsituko zaitu argitaratutako gainkarga-kopuru bakar batek.
Bi gunek tunel berari buruz ez datoz bat
Pakete babestuak kanpoko bidea zeharkatu behar du oraindik, eta kanpoko bidea ez da berbera leku guztietan. PPPoE sarbide-estekak Ethernet segmentu garbi batek baino gutxiago darama. Sare mugikorrak gehiago txikitu daiteke, eta bere trafikoa tuneleztatzen duen hornitzaileak inork aipatu ez zuen kapsulatze bat gehitzen du. Esteka batean funtzionatzen duen eta bestean huts egiten duen tunelak bigarren esteka deskribatzen du, ez protokoloa.
Bi norabideak ere desberdinak izan daitezke. Bide asimetrikoak igoera funtzionala eta jaitsiera gelditua eman diezazkizuke, eta hori aplikazioaren arazoa dirudi paketeen tamainei begiratu arte, irisgarritasunari begiratu ordez. Ping txiki batek ondo funtzionatzeak oso gutxi frogatzen du tamaina osoko erantzun bati buruz.
Neurtu kenketa egin ordez
Aurkitu bidea bizirik irauten duen datagrama handiena. Gero alderatu interfazeak ematen duen balioarekin:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Jaitsi pingaren tamaina erantzunak iritsi arte, eta hartu funtzionatzen duen balio handiena bide horretako aurrekontutzat. xfrm-ren irteerak esaten dizu zein modu eta zein algoritmo negoziatu ziren, eta hori da edozein kalkulu zintzorako sarrera. Harrapaketak ziurtatzen du kablean ESP dagoen edo UDP-n bildutako ESP, eta horrek NAT galdera argitzen du asmatu gabe.
Erreserbatu balio bat kontrol-planoarentzat ere. IKE esku-emateko paketeek egitura desberdina dute datu-paketeekin alderatuta, beraz esku-emateko harrapaketa batetik eratorritako tamaina ez da datu-planoaren MTU.
Jarri zenbakia dagokion lekuan
Tunel batetik doan TCPrako, MSS muga askotan kontrol inbaditzailerik txikiena da, zeren muturrek bidaltzen dutena murrizten baitu tunela bera aldatu gabe. Bideetan oinarritutako tunel baterako, ezarri tunelaren interfazearen MTU nahita eta dokumentatu zergatik. Biak aldi berean egin eta gero neurtzeak ez dizu ezer esaten zeinek lagundu zuen.
Eduki elkarrekin tiketaren barruan negoziatutako modua, kanpoko familia, NAT-aren egoera eta sintoma errepikagarria. Erregistratutako lau gertakarien multzoak gogoratutako konstante bat gainditzen du, eta hau da hurrengo bezeroaren eguneraketa gainditzen duen bertsio bakarra.