IPIP taobh istigh de WireGuard: an 20 beart breise nár bhuiséadáil aon duine

Téann pianta beaga tríd an tollán an lá ar fad, tagann an mheirge SSH, agus ansin reoitheann an seisiún an nóiméad a thosaíonn aistriú comhaid. Cuireann an patrún sin in iúl go bhfuil buiséad beart á chomhaireamh ag an tsraith mhícheart, áit ar tomhaiseadh an tollán seachtrach dá fhorchostas féin agus nár bhain éinne an ceann inmheánach. Níl i bpacáid IPIP neadaithe ach pacáid IP eile chomh fada le WireGuard, agus sin go díreach an fáth a ídíonn sé bearta nár chuir tú i leataobh riamh. Is uimhríocht an ceartú, agus tagann sé isteach i dtrí ordú agus i dtábla amháin.

An siomptóm a nochtann é

Fógraíonn fadhbanna ilroinnte iad féin tríd an méid, riamh trí sheoltaí. Freagraíonn do phiaraí pacáid ping 56 beart ar feadh uair an chloig agus ansin éiríonn sé ina thost ag 1400 beart agus an tollán ina sheasamh agus gan aon ród athraithe. Oireann an lámhchroitheadh, ní oireann an chéad fhuinneog TCP iomlán, agus stopann an t-aistriú soicindí tar éis dó breathnú sláintiúil.

Tomhais an tsíleáil sula ndéanann tú aon rud a chur in eagar, mar is í an tsíleáil neamhthomhaiste an ceann a leanfaidh tú faoi dhó. Seol probe amháin faoi bhun an mhéid amhrasach leis an mbeart do-not-fragment socraithe, ping -M do -s 1000 10.9.0.2, agus ansin déan é a athrá ag méid a bhfuil a fhios agat cheana féin atá rómhór. Nuair a leanann an t-iompa méid an ualaigh agus an cuspóir gan athrú, tá an ródú ag déanamh a chuid oibre agus tá ceanntásc ar iarraidh ón mbuiséad.

Comhair gach ceanntásc uair amháin, ag an tsraith cheart

Tosaigh ón MTU is lú ar an gcúrsa seachas ó chomhéadan an tolláin, mar tá an balla lastuas den dá cheann. Caitheann WireGuard 60 beart ar iompar seachtrach IPv4: 20 le haghaidh IP, 8 le haghaidh UDP agus 32 dá cheanntásc féin, agus 80 beart nuair is IPv6 an t-iompar sin. Coimeádann wg0 1420 beart 20 beart de chluasóg faoin 1440 ar féidir le cúrsa 1500 beart a sheachadadh go fírinneach, agus sin an fáth a n-oireann an figiúr a cóipeáladh ó vicí anseo fós. Tarraing an carn iomlán ar an léaráid, mar mura ndéanfaidh tú, roghnóidh an chéad duine a athróidh an MTU uimhir chruinn nua agus faighidh sé do bhug mar oidhreacht.

Is í an chúigiú ró an áit a dtéann buiséid amú, mar tá 40 beart ceanntásc an phacáid bhunaidh cheana féin san áireamh sna 1400 beart a iompraíonn comhéadan neadaithe. Ní shroicheann ach 1360 de na bearta sin an próiseas a léann an comhad. Caitheamh le 1400 mar ualach feidhmchláir, mar a thugann gach léaráid gan an colún sin cuireadh duit a dhéanamh, agus críochnaíonn an gléas istigh 40 beart ró-fhlaithiúil in aghaidh balla nár bhog.

Socraigh an dá MTU ar leith

Is réada ar leith an t-iompróir agus an gléas neadaithe, mar sin tá a luach féin de dhíth ar gach ceann. Cuir i bhfeidhm iad san ord seo, mar ní fhaigheann an gléas neadaithe aon rud le hoidhreacht ón iompróir:

ip link set wg0 mtu 1420
ip tunnel add ipip0 mode ipip remote 203.0.113.9 local 198.51.100.4
ip link set ipip0 mtu 1400

An riail is fiú a mheabhrú: MTU inmheánach = MTU seachtrach - 20 nuair is IPv4 an phacáid a iompraíonn an tollán IPIP, agus - 40 a luaithe is IPv6 aon taobh den phacáid inmheánach, mar fásann an ceanntásc neadaithe ó 20 beart go 40. Ní bhaineann aon rud eile leis an dealú sin. Caitheadh forchostas WireGuard cheana nuair a roghnaigh tú 1420, agus má ghearrtar é faoi dhó cruthaítear tollán a oibríonn go foirfe agus a fhanann mall fad a bhíonn éinne ag tomhas. Is éard atá i ngléasadh ina n-iompraíonn an dá ghléas 1400 cruinn ná méarlorg an earraid sin go díreach.

Déanann IPv6 ar gach taobh den phacáid neadaithe gach figiúr thuas a neamhbhailíochtú, mar sin athríomh in ionad uimhir a chóipeáil ó shuíomh comhchosúil. Is 40 beart an ceann iad na ceanntásca a dhealaítear a luaithe a thagann IPv6 chun solais sa chosán seachtrach nó sa datagram bunaidh, agus titeann figiúr an ualaigh go díreach an méid sin.

An riail balla dóiteáin nach bhfuil uait, is dócha

Idir dhá phiaraí WireGuard is é UDP an t-aon rud atá ar an sreang, mar sin ní chruthaíonn riail isteach le haghaidh prótacal 4, an uimhir a shannann RFC 2003 ar ionchapsúlú IPv4-in-IPv4, an cosán neadaithe ná ní choinníonn sé beo é. Maireann an ceanntásc IPIP taobh istigh den ualach criptithe, áit nach bhfeiceann aon bhalla dóiteáin imeallach é. Ní cheannaíonn oscailt phrótacal 4 mar sin féin aon rud seachas bealach ceadaithe amháin eile isteach sa t-óstach.

Baineann beartas a luann foinsí agus cinn scríbe an phacáid bhunaidh leis tar éis dí-ionchapslaithe, ar chomhéadain an tolláin agus sa tábla ródaithe. Cuir ansin é agus féadfaidh an riail imeallach fanacht dúnta.

Cad a dhéanann WireGuard a bhailíochtú i ndáiríre

Breithníonn AllowedIPs foinse na pacáide a iompraíonn WireGuard, agus is í an phacáid ionchapslaithe le IPIP an rud a iompraíonn sé. Glactar le foinse IPIP cheadaithe fiú nuair a luann an ceanntásc istigh óstach nár mhaith leat a ródú. Ní hé an fhoinse bhunaidh mar sin an rud a sheiceáil an piaraí ar do shon, agus tá a fhorfheidhmiú féin de dhíth ar an bpéire inmheánach seolta sin tar éis dí-ionchapslaithe.

Soláthraíonn an t-imchlúdach struchtúr ródaithe, ní an dara sraith cripteagrafaíochta. Má thugtar cosaint bhreise ar IPIP laistigh de WireGuard, tá dearadh difriúil á chur síos.

Fíoraigh le dréimire, ní le ping amháin

Déan probe ar mhéideanna a chuimsíonn an teorainn a ríomh tú, agus ansin dearbhaigh cad a cheapann an t-eithne faoin dá ghléas. Le 1360 beart d'ualach móide 40 beart ceanntásc a dhéanann 1400, oireann an chéad macalla thíos agus suíonn an dara ceann beart amháin thar an tsíleáil:

ping -M do -s 1372 10.9.0.2
ping -M do -s 1373 10.9.0.2
wg show wg0
ip -d link show ipip0

Ciallaíonn pas glan faoin tsíleáil agus teip ag an gcéad mhéid os a cionn go seasann an uimhríocht ó cheann ceann. Ansin athrith an t-aistriú a stop ar dtús, mar cruthaíonn probe sintéiseach an buiséad agus ní deir sé aon rud faoi mhéideanna scríofa an tseoltóra féin. Má bhriseann an cosán neadaithe fós ag méid a chruthaigh tú a luíonn, scrúdaigh dí-ionchapslú agus róid an chinn fhada sula ngearrfaidh tú deich mbeart eile den MTU.