MSS clamping a kan hanyar VPN: abin da yake gyara da abin da ba ya

Ƙananan buƙatu suna aiki, manyan saukewa suna tsayawa, kuma wani yana ba da shawarar MSS clamping. Wannan shawara tana daidai sau da yawa don a gwada ta a cikin tsari mai kyau, kuma tana kuskure sau da yawa don a ɓata la'asar idan ka yi amfani da ita a makance. Gwaje-gwaje uku da ke ƙasa suna raba ainihin matsalar girman TCP daga matsalar UDP, daga lalacewar gano path-MTU, da kuma daga clamp da ba ya taɓa ganin musayar hannun da ya kamata ya sake rubutawa.

Fara da siffar gazawar

Gazawar girman tana da alama: haɗin yana kafuwa, tabbatarwa da ƙananan amsoshi suna yin nasara, sannan watsawa tana tsayawa har abada da zarar tana buƙatar sashe mai cikakken girma. Shafukan da suka loda rubutu amma ba su taɓa kammala hoto ba, irin wannan gazawar ce a ƙaramin ma'auni. Idan babu abin da ke haɗuwa kwata-kwata, matsalar tana gaba a hanya kuma clamping ba zai taimaka ba. Clamp ba zai iya gyara musayar hannun da bai taɓa zuwa ba.

Alamar tana nan ne saboda musayar hannu ita ce wurin da ake yarjejeniya kan girman sashe. Kowace gefe tana sanar da matsakaicin girman sashe a matsayin zaɓin TCP, kuma masu aikawa suna girmama sanarwar abokin gaba. Idan hanyar ba za ta iya ɗaukar irin wannan babban sashe ba, gazawar tana bayyana daga baya, lokacin da mai aikawa ya gwada ɗaya a ƙarshe.

Ka ci gaba da lura da hanyar sadarwa yayin karanta wannan alamar. Clamping sake rubuta zaɓin TCP ne, don haka kiran murya ko bidiyo da ke tsayawa a ƙarƙashin wannan rami ba matsalar MSS ba ce kuma ba za a inganta shi da ita ba. Rubuta hanyar sadarwa kafin ka taɓa zaɓin TCP.

Yi lissafin farashin hanyar, sannan ka kwatanta da ramin

Lambobi biyu suna da muhimmanci kuma ana rikita su sau da yawa. path-MTU ita ce mafi girman fakiti da hanya za ta ɗauka ba tare da rabuwa ba, kuma MSS da aka sanar don IPv4 ita ce wannan ƙimar a cire baiti 40 na kan IP da TCP, ko a cire 60 don IPv6. Rufewar rami yana cinye wani ɓangare na kasafin kuɗi kafin fakiti na ciki ya fara ma.

ping -M do -s 1400 198.51.100.20
tracepath 198.51.100.20

Ping tare da bit na do-not-fragment yana gaya maka ko fakiti na wannan girman kaya zai tsira; canza girman har sai ya kasa kuma ka sami iyakar hanyar a zahiri. Fitar tracepath tana ba da rahoton MTU da aka gano a hanya, wanda yake sauri idan ya yi aiki kuma ba shi da tabbas idan tsaka-tsaki ya tace binciken.

Yanzu cire kuɗin ramin. Kan IP na waje, kan UDP da kan da ya ke na musamman ga rami duk suna fitowa daga wannan baiti 1500, don haka MTU na ciki da ake iya amfani da shi a kan tushen Ethernet na yau da kullum ya fi ƙasa da abin da hanyar jiki ke nunawa. Idan MTU na cikin da aka lissafta ya yi ƙasa da abin da abokan aikinka ke sanarwa, ka sami ainihin ɗan takarar clamp ba zato ba. Idan ƙimar da aka lissafta ta riga ta fi sanarwar abokan aikinka girma, tsaya a nan ka duba wani wuri.

Sanya clamp inda musayar hannu ke wucewa

Clamp yana aiki ta hanyar sake rubuta zaɓin MSS a cikin fakiti SYN da SYN-ACK yayin da suke wucewa ta ƙofar. Idan dokar tana kan wata hanya da babu wani gefe da zai taɓa wucewa, tattaunawar tana kammala ba tare da canji ba kuma alamar tana wanzuwa, shi ya sa matsayi ke yanke hukunci fiye da ƙimar.

Gefe shi ne sauran rabin. Clamp ɗaya gefe yana gyara rabin kwararar kuma ya bar sauran suna kasa a yanayin da yake kama da lokaci-lokaci, don haka yi amfani da shi a dukan ɓangarorin biyu na zirga-zirgar da ake turawa. Tsarin Linux na gargajiya don hanyar rami shine dokar mangle da ta dace da fakiti SYN:

iptables -t mangle -A FORWARD -o tun0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Lura abin da --clamp-mss-to-pmtu yake yi a zahiri: yana samo ƙimar daga MTU na hanya, wanda ba koyaushe ne ainihin kasafin kayan rami ba. A kan ramin da ya dogara da hanya inda hanyar ciki da hanyar waje suka bambanta, ƙimar bayyananne da aka lissafta a gwajin da ya gabata ta fi ta atomatik tabbaci.

Tabbatar da sabon haɗi, kuma ka kiyaye martani a raye

Haɗin da ya riga ya kafu yana riƙe da MSS da ya yi yarjejeniya, don haka gwaji a wannan zaman ba ya tabbatar da kome. Buɗe sabon haɗi bayan canjin kuma karanta ƙimar da aka yi yarjejeniya kai tsaye maimakon cire ta daga watsawa da ta ƙare kwatsam.

ss -tin dst 198.51.100.20
iptables -t mangle -S | grep TCPMSS

Umarni na farko yana ba da rahoton MSS na soket tare da yanayin cunkoson sa, wanda shine mafi saurin tabbatarwa cewa clamp ya yi tasiri. Na biyu yana tabbatar da cewa dokar da kake tsammanin ka ƙara ita ce dokar da take nan, a cikin teburin da aka saka ta.

Sannan ka kare tsarin da ba ka gyara ba. Gano path-MTU ya dogara da isar saƙonnin ICMP fragmentation-needed zuwa mai aikawa, don haka bangon wuta da ke watsar da su zai ci gaba da karya manyan watsawa koda kuwa akwai daidaitaccen clamp. Ba da izinin waɗannan saƙonni ga hanyar rami, ko ka yarda cewa clamping yana rama manufar da ka zaɓa.

A ƙarshe, ka yi tsayin daka da sha'awar ɗaukar clamp a matsayin kullin daidaitawa. Yana ƙuntata girman sashe, wanda ke kashe kwararar bayanai a hanyoyin da ba su taɓa buƙatarsa ba. Idan an yi amfani da shi bayan gwaje-gwaje uku, gyara ne da aka yi niyya; idan an fara amfani da shi, canji ne da ke ɓoye ainihin laifin kuma ya ƙara wani canji a kowace jarabawa ta gaba. Wannan ciniki ya cancanci a yi shi da gangan, ba ta tsohuwa ba.

Rubuta path-MTU da ka auna, kuɗin ramin da ka cire, dokar da ka ƙara da MSS da ka gani bayan haka. Lambobi huɗu suna mai da lamari na gaba bincike maimakon bincike mai zurfi.