TCP MSS doitzea Linux IPsec atebide: zer konpontzen duen

Ping-ak funtzionatzen du, SSH-k funtzionatzen du, orrialde txiki bat kargatzen da, eta gero erantzun handi bakoitza trabatu egiten da denbora agortu arte. Eredu klasikoak paketearen tamainari seinalatzen dio, ez irisgarritasunari: bideak eskuko keinuak eta lehen kilobyteak eramaten ditu, eta gero tamaina osoko segmentu bat desagertu egiten da. Linux IPsec atebide batean, TCP MSS araua askotan da konponbidea, baina soilik ulertzen baduzu zer aldatzen duen eta ukitzen duen paketea benetan non dagoen. Beheko ordenak paketea jarraitzen du sintomtik arauaren kokapenera arte, azalpena bat etortzeari uzten dionean gelditu ahal izateko.

MSS iradokitzen duen sintoma

TCP-k segmentu tamaina maximoa negoziatzen du eskuko keinuan. Balio hori bideak enkapsulazioaren ondoren eraman dezakeena baino handiagoa bada, bidaltzaileak inoiz iristen ez diren segmentuak sortzen jarraitzen du, eta konexioa lehen itzuliaren ondoren trabatzen da. Erantzun txikiak sartzen dira; handiak ez.

ICMP atzeraelikadurak konexioa salba dezake bidearen MTU-aren aurkikuntzaren bidez, eta mezu horiek botatzen dituen suebaki batek trabatzea zulo beltz isil bihurtzen du. Horregatik tunel berak aplikazio batentzat funtzionatzen du eta beste batentzat huts egiten du konfigurazioan alde nabarmenik gabe.

TCPMSS arauak egiten duena eta ez duena

Arauak MSS aukera berridazten du TCP eskuko keinu paketeetan, haiek pasatzean. Ez du tunel interfazearen MTU-a ezartzen, ez du IPsec politika aldatzen, eta egungo nukleoetan iragarritako balio bat jaisten du soilik, dagoeneko txikiagoa den bat igotzearen ordez. Gainera TCP ukitzen du soilik; UDP kargak, DNS jokabidea eta negoziatutako trafiko hautatzaileak haren irismenetik kanpo daude.

Aldaketa eskuko keinuan gertatzen denez, araua baino lehen ezarritako konexio batek bere balio zaharra mantentzen du. Probatu konexio berri batekin, eta espero aldaketaren ondorengo lehen saiakera izatea zerbait esaten dizuna. Arauaren ezerk ez dio dagoeneko irekita dagoen konexio bati heltzen. Horregatik, gertakari baten erdian aplikatutako konponketa bat dirudi ezer egin ez balu bezala.

Jarri araua barneko TCP bidean

Politiketan oinarritutako Linux atebide batean, birbidalitako paketea TCP arrunta dirudi oraindik suebakiak ikusten duenean. IPsec politikak erabakitzen du paketea babestuta egongo dela; suebakiak ez du ESP goibururik ikusten barneko fluxuarentzat, beraz, hemen ESP-rekin bat etortzeak erabat bestelako pakete bat deskribatzen du. Desadostasun hori da arau batzuk zuzenak diruditen eta inoiz bat ez etortzearen arrazoia.

iptables terminoetan, araua birbidaltze bideko mangle taulari dagokio, eskuko keinu paketeetara mugatuta: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Zenbakia adibide bat da, ez konstante unibertsal bat; eratorri enkapsulazioaren kostutik eta bidearen benetako MTU-tik. nftables baliokide batek segmentu tamaina maximoa ezartzen du forward edo postrouting katean.

Eduki IKE eta ESP-rako kanpoko entzute arauak barneko birbidaltze arauetatik bereizita. Aplikazioaren fluxua eta kanpoko protokoloa batera baimendu nahi dituen arau bakar batek ez du azkenean inongoarekin fidagarri bat egiten.

Errespetatu suebakiaren jabea eta NAT ordena

UFW-k ostalariaren suebakiaren jabea bada, gehitu mangle eta birbidaltze aldaketak berak onartzen duen konfigurazio iraunkorraren bidez, hurrengo birkargan desagertzen den komando bat idatzi beharrean. Taula okerrean edo amaierako arau baten ondoren sartutako arauak ez du eraginik, eta taula biziak hori ezkutatzen dizu.

Iturburuaren itzulpena beste erabaki bat da, askotan honekin elkar eragiten duena. Masquerade arau orokor baten aurretik jarritako salbuespen batek babestutako trafikoak bere politikak eskatzen duen iturburua galtzea eragozten du; ez du tamaina arazo bat konpontzen, eta tamaina arau batek ez du itzulpen arazo bat konpontzen.

Egiaztatu estu, eta gero gelditu

Ireki konexio berri bat huts egiten duen zerbitzura eta behatu bai aplikazioa bai arauaren kontagailuak. Trabazioa desagertzen bada, bide TCP horri buruzko froga daukazu enkapsulazio horrekin. Ez daukazu frogarik VPN protokolo guztiak sartzen direnik, UDP aplikazio guztiak konponduta daudenik edo goiko zerbitzu jakin bat jatorrizko arrazoia izan zenik.

Utzi ICMP tamaina atzeraelikadura lan egiten politikak uzten duen tokian, eta tratatu arretaz bidearen MTU-an oinarritutako doitze automatikoa kanpoko IPsec bidea barneko bideak irudikatzen ez duenean. Ondorioa zenbat eta estuagoa, orduan eta errazagoa da hurrengo gertakaria diagnostikatzea.