Clampáil MSS ar gheata VPN: cad a shocraíonn sé agus cad nach socraíonn

Oibríonn iarratais bheaga, crochann íoslódálacha móra, agus molann duine clampáil MSS. Tá an moladh sin ceart go leor go minic chun iarracht a dhéanamh air san ord ceart, agus mícheart go leor chun tráthnóna a chaitheamh amú má chuireann tú i bhfeidhm é go dall. Scarann na trí sheiceáil thíos fíorphroblem mhéid TCP ó phroblem UDP, ó aimsiú path-MTU briste, agus ó chlamp nach bhfeiceann riamh an feagpháirtí ar cheart dó a athscríobh.

Tosaigh le cruth na teipe

Tá síniú ag teip mhéid: socraítear an nasc, éiríonn le fíordheimhniú agus le freagraí beaga, agus ansin stopann aistriú go deo a luaithe a bhíonn teasc de mhéid iomlán de dhíth air. Is ionann leathanaigh a lódálann téacs ach nach gcríochnaíonn íomhá riamh agus an teip chéanna ar scála níos lú. Mura nascann aon rud ar chor ar bith, tá an fhadhb níos luaithe ar an gcosán agus ní chabhróidh clampáil. Ní féidir le clamp feagpháirtí nár tháinig riamh a dheisiú.

Tá an síniú ann mar is ag an bhfeagpháirtí a aontaítear méid an teisc. Fógraíonn gach taobh uasmhéid teisc mar rogha TCP, agus urramaíonn seoltóirí fógra an pháirtí eile. Mura féidir leis an gcosán teasc chomh mór sin a iompar, tarlaíonn an teip níos déanaí, nuair a dhéanann an seoltóir iarracht ceann a sheoladh sa deireadh.

Coinnigh an t-iompar i bhfianaise agus tú ag léamh an chomhartha sin. Athscríobh rogha TCP is ea clampáil, mar sin ní fadhb MSS é glao gutha nó físe a stopann faoin tollán céanna agus ní fheabhsóidh sé as. Scríobh síos an t-iompar sula dteagmhálann tú le rogha TCP.

Cuir praghas ar an gcosán, ansin cuir i gcomparáid leis an tollán é

Tá dhá uimhir tábhachtach agus is minic a mhearbhalltar iad. Is é path-MTU an paicéad is mó a iompraíonn an cosán gan ilroinnt, agus is é an MSS fógartha do IPv4 an luach sin lúide na 40 beart de cheannteidil IP agus TCP, nó lúide 60 do IPv6. Ídíonn ionchapsúlú an tolláin cuid den bhuiséad sula dtosaíonn an paicéad istigh fiú.

ping -M do -s 1400 198.51.100.20
tracepath 198.51.100.20

Insíonn an ping leis an mbeart do-not-fragment duit an sáróidh paicéad den mhéid ualaigh sin; coigeartaigh an méid go dteipeann air agus beidh teorainn an chosáin aimsithe go heimpíreach agat. Tuairiscíonn aschur tracepath an MTU a aimsíodh feadh an mharshrúit, rud atá níos tapúla nuair a oibríonn sé agus níos lú iontaofa nuair a dhéanann hop idirmheánach na promhanna a scagadh.

Anois bain forchostas an tolláin. Tagann ceannteideal IP seachtrach, ceannteideal UDP agus ceannteideal atá sainiúil don tollán ar fad as an 1500 beart céanna, mar sin tá an MTU istigh inúsáidte ar ghnáthfholáimh Ethernet níos ísle ná mar a thugann an nasc fisiciúil le tuiscint. Má tá an MTU istigh ríofa níos ísle ná mar a fhógraíonn do phiaraí, fuair tú fíor-iarrthóir clamp seachas buille faoi thuairim. Má tá an luach ríofa cheana féin os cionn fhógra na bpiar, stop anseo agus féach in áit eile.

Cuir an clamp san áit a dtéann an feagpháirtí thart

Oibríonn clamp trí rogha MSS a athscríobh sna paicéid SYN agus SYN-ACK agus iad ag trasnú an gheata. Má tá an riail ar chomhéadan nach dtrasnaíonn ceachtar treo riamh, críochnaítear an chaibidlíocht gan athrú agus fanann an chomhartha, agus is ar an áitiú atá an toradh ag brath níos mó ná ar an luach.

Is é an treo an leath eile. Socraíonn clampáil treo amháin leath na sreafaí agus fágtar an chuid eile ag teip ar bhealach a bhíonn le feiceáil ó am go chéile, mar sin cuir i bhfeidhm ar an dá threo den trácht a sheoltar ar aghaidh é. Is é an fhoirm chlasaiceach i Linux do chomhéadan tolláin ná riail mangle a mheaitseálann paicéid SYN:

iptables -t mangle -A FORWARD -o tun0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Tabhair faoi deara cad a dhéanann --clamp-mss-to-pmtu i ndáiríre: eascraíonn sé an luach ó MTU an mharshrúit, nach é buiséad ualaigh fíor an tolláin i gcónaí. Ar thollán bunaithe ar mharshrút ina bhfuil an mharshrút istigh agus an cosán seachtrach difriúil, tá luach soiléir ríofa sa seiceáil roimhe seo níos intuartha ná luach uathoibríoch.

Fíoraigh le nasc nua, agus coinnigh an t-aiseolas beo

Coinníonn nasc bunaithe an MSS ar chaibidil sé air, mar sin ní chruthaíonn tástáil ar an seisiún céanna aon rud. Oscail nasc úr tar éis an athraithe agus léigh an luach caibidlithe go díreach in ionad é a bhaint as aistriú a chríochnaíonn de thaisme.

ss -tin dst 198.51.100.20
iptables -t mangle -S | grep TCPMSS

Tuairiscíonn an chéad ordú MSS an tsoicéid mar aon lena staid plódaithe, arb é an dearbhú is tapúla é go bhfuil an clamp tar éis feidhmiú. Dearbhaíonn an dara ceann gurb é an riail a cheapann tú a chuir tú leis an riail atá ann, sa tábla inar cuireadh í.

Ansin cosain an mheicníocht nár shocraigh tú. Braitheann aimsiú path-MTU ar theachtaireachtaí ICMP fragmentation-needed a shroichfidh an seoltóir, mar sin leanfaidh balla dóiteáin a chaitheann amach iad ag briseadh aistrithe móra fiú le clamp ceart i bhfeidhm. Ceadaigh na teachtaireachtaí sin do chosán an tolláin, nó glac leis go bhfuil clampáil ag cúiteamh le polasaí a roghnaigh tú.

Ar deireadh, seas in aghaidh an mheallta an clamp a láimhseáil mar chnaip thiúnta. Cuireann sé srian le méid an teisc, rud a chosnaíonn tríthghnáthas ar chosáin nár theastaigh uathu riamh é. Curtha i bhfeidhm tar éis na dtrí sheiceáil is deisiú dírithe é; curtha i bhfeidhm ar dtús is athrú é a cheiltíonn an bun-teip agus a chuireann an dara athróg le gach tástáil ina dhiaidh sin. Is fiú an malartú sin a dhéanamh d'aon ghnó, ní de réir réamhshocraithe.

Scríobh síos an path-MTU a thomhais tú, forchostas an tolláin a bhain tú, an riail a chuir tú leis agus an MSS a chonaic tú ina dhiaidh. Déanann ceithre uimhir cuardach den chéad eachtra eile seachas imscrúdú.