Forualach IPsec: athraíonn an mód, NAT-T agus na halgartaim é ar fad
Cuireann aon fhigiúr forualach foilsithe síos ar aon ionchapsú amháin ar aon chonair amháin. Suimigh na ceanntáisc a ndéanann do thollán idirbheartú orthu i ndáiríre, ansin tomhais an chonair.
Áit éigin i dtreoir tá uimhir, de ghnáth idir seasca agus ochtó beart, a dhealaigh duine éigin ó 1500 chun MTU comhéadain a fháil. Cuireann an uimhir sin síos ar aon ionchapsú amháin ar aon chonair amháin. Athraigh an mód, an teaghlach seoltaí seachtrach, an tsifir nó láithreacht NAT, agus ní bhaineann an uimhríocht le do thollán a thuilleadh.
Tháinig an uimhir ó thollán eile
Ní airí de chuid IPsec go teibí é an forualach. Is airí é den phaicéad a thógtar i ndáiríre: mód idirbheartaithe, ceanntásc seachtrach, ceanntásc cosanta, líonadh, réimse sláine agus b’fhéidir fillteán UDP breise.
Cuireann figiúr a luaitear do mhód iompair le IPv4 agus gan NAT síos ar phaicéad níos lú ná mód tolláin le IPv6 faoi thrasnú NAT. Tá an dá cheann ceart dá gcás féin. Is é cóipeáil ceachtar acu isteach in imscaradh eile an bealach a gcríochnaíonn daoine le MTU a bhriseann aistrithe móra. Bíonn an teip ciúin mar go leanann iarratais bheaga ag obair.
Suimigh na sraitheanna atá ann i ndáiríre
Tosaigh ag an gceanntásc IP seachtrach agus oibrigh isteach. I mód tolláin bíonn an paicéad bunaidh istigh, mar sin is breis é an ceanntásc seachtrach seachas ionadaíocht. RFC 4303 cuireann sé síos ar cheanntásc ESP, ar an líonadh agus ar na sonraí sláine a leanann é.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Níl aon cheann de na sraitheanna sin seasmhach thar imscaradh, agus níl an tsraith líonta seasmhach fiú laistigh d’imscaradh amháin. Sin an chúis ar fad a gcuireann aon fhigiúr forualach foilsithe díomá ort.
Is féidir le dhá shuíomh easaontú faoin tollán céanna
Caithfidh an paicéad cosanta an chonair sheachtrach a thrasnú go fóill, agus níl an chonair sheachtrach mar an gcéanna i ngach áit. Iompraíonn nasc rochtana PPPoE níos lú ná deighleog Ethernet ghlan. Féadfaidh líonra soghluaiste laghdú tuilleadh, agus cuireann soláthraí a thollánnaíonn a thrácht féin ionchapsú eile nach luadh aon duine. Tá tollán a oibríonn ar nasc amháin agus a theipeann ar nasc eile ag cur síos ar an dara nasc, ní ar an bprótacal.
Is féidir leis an dá threo difriú freisin. Is féidir le bealach neamhshiméadrach uaslódáil oibre agus íoslódáil stoptha a thabhairt duit, rud a léitear mar fhadhb feidhmchláir go dtí go bhféachann tú ar mhéideanna paicéad seach ar inrochtaineacht. Ní chruthaíonn ping beag a éiríonn leis mórán faoi fhreagra de mhéid iomlán.
Tomhais seach a bheith ag dealú
Aimsigh an datagram is mó a mhaireann an chonair. Ansin cuir i gcomparáid é leis an luach a thuairiscíonn an comhéadan:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Siúil síos méid an phing go dtí go dtagann freagraí, agus caith leis an luach is mó a oibríonn mar bhuiséad don chonair sin. Insíonn aschur xfrm duit cén mód agus cé na halgartaim a idirbheartaíodh, agus is é sin an t-ionchur d’aon ríomh macánta. Deimhníonn an gabháil an é ESP nó ESP i bhfillteán UDP atá ar an sreang, agus réitíonn sin ceist NAT gan buille faoi thuairim.
Cuir luach amháin ar leataobh don eitleán rialaithe freisin. Tá struchtúr difriúil ag paicéid chroitheadh láimhe IKE ó phaicéid sonraí, mar sin ní MTU eitleáin sonraí é méid a dhíorthaítear ó ghabháil craitheadh láimhe.
Cuir an uimhir san áit a mbaineann sí leo
Do TCP trí thollán, is minic gurb é clamp MSS an rialtán is lú ionrach, mar laghdaíonn sé an méid a sheolann na foircinn gan an tollán féin a athrú. I gcás tolláin atá bunaithe ar bhealaí, socraigh MTU chomhéadan an tolláin d’aon ghnó agus déan doiciméadú ar an gcúis. Má dhéanann tú an dá rud le chéile agus ansin tomhas, ní fhaigheann tú aon eolas faoi cé acu a chabhraigh.
Coinnigh an mód idirbheartaithe, an teaghlach seachtrach, riocht NAT agus an tsiomptóm in-atáirgthe le chéile sa ticéad. Sáraíonn tacar taifeadta de cheithre fhíric tairiseach a mbíonn cuimhne agat air, agus is é an t-aon leagan de seo a mhaireann an chéad uasghrádú cliant eile.