Clampáil MSS TCP ar gheata IPsec Linux: cad a shocraíonn sé

Oibríonn ping, oibríonn SSH, lódáiltear leathanach beag, agus ansin stopann gach freagra mór go dtí go n-éagann an t-am. Cuireann an patrún clasaiceach in iúl gur méid an phacáid atá i gceist seachas inrochtaineacht: iompraíonn an cosán an chroitheadh láimhe agus na chéad chúpla cilbheart, ansin imíonn deighleog de mhéid iomlán. Ar gheata IPsec Linux, is minic gurb é riail TCP MSS an réiteach, ach amháin má thuigeann tú cad a athraíonn sí agus cá bhfuil an pacáid a dteagmhaíonn sí léi i ndáiríre. Leanann an t-ord thíos an phacáid ón symptom go dtí socrú na rialach, ionas gur féidir leat stopadh a luaithe a stopann an míniú ag oiriúint.

An symptom a thugann le tuiscint MSS

Déanann TCP idirbheartaíocht ar uasmhéid deighleoige sa chroitheadh láimhe. Má tá an luach sin níos mó ná mar is féidir leis an gcosán a iompar tar éis ionchapsúcháin, leanann an seoltóir de dheighleoga a tháirgeadh nach sroicheann riamh, agus stopann an nasc tar éis an chéad bhabhta. Oireann freagraí beaga; ní oireann cinn mhóra.

Is féidir le haiseolas ICMP an nasc a shábháil trí MTU an chosáin a aimsiú, agus déanann balla dóiteáin a scriosann na teachtaireachtaí sin poll dubh ciúin den stopadh. Sin an fáth a n-oibríonn an tollán céanna d'aip amháin agus a dteipeann sé ar aip eile gan aon difríocht fhollasach sa chumraíocht.

Cad a dhéanann riail TCPMSS agus cad nach ndéanann

Athscríobhann an riail an rogha MSS i bpacáidí croitheadh láimhe TCP agus iad ag dul thar bráid. Ní shocraíonn sí MTU chomhéadan an tolláin, ní athraíonn sí polasaí IPsec, agus ar eithne nua-aimseartha ní ísleoidh sí ach luach fógartha seachas ceann atá níos lú cheana a ardú. Ní theagmhaíonn sí ach le TCP freisin; tá ualaí UDP, iompar DNS agus na roghnóirí tráchta a idirbheartaíodh lasmuigh dá raon.

Toisc go dtarlaíonn an t-athrú le linn an chroitheadh láimhe, coinníonn nasc atá ann cheana a bunaíodh roimh an riail a sheanluach. Tástáil le nasc nua, agus bí ag súil gurb é an chéad iarracht tar éis an athraithe an ceann a insíonn rud éigin duit. Ní shroicheann aon rud sa riail nasc atá oscailte cheana. Sin an fáth a bhféadfadh réiteach a cuireadh i bhfeidhm i lár eachtra breathnú amhail nár dhein sé aon rud ar chor ar bith.

Cuir an riail ar an gcosán TCP inmheánach

Ar gheata Linux atá bunaithe ar pholasaí, breathnaíonn an phacáid a sheoltar ar aghaidh fós cosúil le TCP rialta nuair a fheiceann an balla dóiteáin í. Socraíonn polasaí IPsec go mbeidh an phacáid cosanta; ní fheiceann an balla dóiteáin ceanntásc ESP don sreabhadh inmheánach, mar sin cuireann meaitseáil ar ESP anseo síos ar phacáid iomlán eile. Sin an neamhréir a fhágann go mbíonn roinnt rialacha cosúil le bheith ceart agus nach meaitseálann siad riamh.

I dtéarmaí iptables, baineann an riail leis an tábla mangle ar an gcosán seolta ar aghaidh, teoranta do phacáidí croitheadh láimhe: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Is sampla é an uimhir, ní tairiseach uilíoch; tarraing í ó fhorchostas an ionchapsúcháin agus ó fhíor-MTU an chosáin. Socraíonn comhionann nftables an uasmhéid deighleoige i slabhra forward nó postrouting.

Coinnigh na rialacha éisteachta seachtracha do IKE agus ESP ar leithligh ó na rialacha seolta inmheánacha. Riail amháin a dhéanann iarracht údarú a thabhairt don sreabhadh aipe agus don phrótacal seachtrach araon, ní mheaitseálann sí go hiontaofa le ceachtar acu sa deireadh.

Tabhair meas d'úinéir an bhalla dóiteáin agus d'ord NAT

Má tá UFW i gceannas ar bhalla dóiteáin an óstaigh, cuir na hathruithe mangle agus seolta leis trína chumraíocht mharthanach thacaithe seachas trí ordú a chlóscríobh a imíonn ag an gcéad athlódáil eile. Níl aon éifeacht ag riail a chuirtear isteach sa tábla mícheart nó tar éis riail chríochnaithe, agus ceileann an tábla beo sin ort.

Cinneadh ar leithligh is ea aistriú foinse a idirghníomhaíonn go minic leis seo. Coinníonn díolúine a chuirtear roimh riail masquerade ghinearálta an trácht cosanta ón bhfoinse a éilíonn a pholasaí a chailleadh; ní shocraíonn sé fadhb mhéide, agus ní shocraíonn riail mhéide fadhb aistriúcháin.

Fíoraigh go cúng, ansin stop

Oscail nasc nua chuig an tseirbhís atá ag teip agus breathnaigh ar an aip agus ar chuntair na rialach araon. Má imíonn an stopadh, tá fianaise agat faoin gcosán TCP sin leis an ionchapsúchán sin. Níl fianaise agat go n-oireann gach prótacal VPN, go bhfuil gach aip UDP socraithe nó gurbh í seirbhís áirithe in airde an chúis bhunaidh.

Fág aiseolas méide ICMP ag obair san áit a gceadaíonn polasaí é, agus caith go cúramach le clampáil uathoibríoch bunaithe ar MTU an chosáin nuair nach bhfuil cosán IPsec seachtrach léirithe ag an gcosán inmheánach. Dá chúinge an chonclúid, is ea is fusa an chéad eachtra eile a dhiagnóisiú.