SSH yana tsayawa a SSH2_MSG_KEX_ECDH_REPLY: ba koyaushe MTU ba

Tunnel ɗin yana aiki, banner ɗin yana isowa, kuma abokin ciniki yana buga saƙo game da jiran amsar musayar maɓalli. Sakamakon bincike yana nunawa kai tsaye ga MTU, kuma wani lokacin hakan daidai ne. Sau da yawa ba haka ba: ƙila ba a taɓa aika amsar ba, saboda abokin ciniki bai iya karanta fayil ɗin maɓalli ba ko ɓangarorin biyu ba su taɓa yarda da algorithm ba. Layin yana bayyana abin da abokin ciniki ke jira, ba dalilin da ya sa jiran ya fara ba. Ka ɗauke shi a matsayin alama kuma ka raba dalilai uku kafin ka canza kowane girma.

Karanta trace ɗin don ganin ko an yi tsammanin amsa kwata-kwata

Fitowar dalla-dalla tana nuna mataki na ƙarshe da ya yi nasara kafin shiru. Idan banner ɗin ka'idar uwar garke ya iso, TCP yana aiki kuma ƙarshen nesa yana raye; tambayar da ba a warware ba ita ce abin da ya faru da wata takamaiman fakiti. Minti ɗaya na shiru bayan banner ɗin yana kama da matsalar hanya. Saƙo game da babu hanyar musayar maɓalli da ta dace matsalar manufa ce. Dogon jira da ya ƙare da uwar garke ta rufe zaman matsalar uwar garke ta daina ne, kuma log ɗinta yana bayanin dalili.

A yanayin ƙarshe, karanta log ɗin tabbatarwa na uwar garke kafin ka taɓa abokin ciniki. Abokin ciniki ba zai iya ganin shawarar da uwar garke ba ta taɓa aikawa ba.

Me ya sa amsa ƙarama za ta iya zama babba sosai

Amsoshin musayar maɓalli yawanci ƙanana ne sosai, don haka zargin girma yana jin ba daidai ba. Tare da takaddun uwar garke amsar ba ƙarama ba ce, domin tana ɗauke da sarkar takaddun uwar garke. Wannan yana mai da ita fakiti na farko a zaman da zai iya wuce nauyin da ake amfani da shi na tunnel. Lokacin da martanin gano MTU na hanya ya ɓace wani wuri a kan hanya, mai aikawa yana ci gaba da sake aika fakiti wanda ba zai iya shiga ba, kuma abokin ciniki yana jira har abada a layi ɗaya.

Tabbatar da girman maimakon ɗauka. Karanta MTU na tunnel da ip link show tun0, sannan ka aika gwaje-gwajen da ba za a raba su ba: ping -4 -M do -s 1352 host, a maimaita da ƙananan nauyi. Canji daga gazawa zuwa nasara a wani takamaiman girma shaida ce; gazawa ɗaya ɗaya tana nuna ana tace ICMP kuma ba ta gaya maka komai.

Ragewa na ɗan lokaci yana tabbatar da ka'idar da sauri, kuma sigar dindindin tana cikin bayanin martaba ko a matsayin MSS clamp a kan na'urar da ke tura tunnel ɗin:

sudo ip link set dev tun0 mtu 1200
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Dalilai biyu da suke kwaikwayon matsalar girma

Fayil ɗin maɓalli da abokin ciniki ba zai iya karantawa yana haifar da jira ɗaya, ba tare da gargaɗi ba ko a cikin fitowar dalla-dalla. Wani tsari na known_hosts yana sauƙaƙa hakan: shigarwar @cert-authority da ke nuni ga maɓallin jama'a na CA wanda asusu ɗaya kawai zai iya karantawa. Asusun da ya mallaki fayil ɗin yana haɗawa, kuma kowane asusu yana tsayawa. Idan gazawar tana bin mai amfani maimakon uwar garke, duba yanayin fayil kafin girman fakiti.

Haɓakawa kuma na iya cire algorithm ɗin da ɓangarorin biyu suka taɓa rabawa. Ka lissafta hanya ɗaya da uwar garke har yanzu ke bayarwa a matsayin bincike: ssh -oKexAlgorithms=ecdh-sha2-nistp521 user@host. Haɗin da ya yi nasara nan take yana tabbatar da hanyar tana da kyau kuma gyaran yana cikin manufar tattaunawa a ɓangarorin biyu.

Abubuwa uku da suka cancanci rubutawa

Rubuta MTU na tunnel kafin da bayan kowane canji, ko kwafin babban fayil yana gazawa a wani girma da ake maimaitawa, da kuma ko uwar garke marar takarda a kan tunnel ɗaya tana tsayawa iri ɗaya. Waɗannan abubuwan lura uku suna raba girma daga izini da kuma daga tattaunawa da sauri fiye da tarin umarni.

Suna kuma hana mutum na gaba rage MTU saboda kuskuren da bai taɓa shafar girma ba.

Idan hoton bai bayyana ba har yanzu, gwada daga abokin ciniki na biyu a kan tunnel ɗaya. Abokin ciniki da ya haɗa yana motsa kuskuren daga hanya zuwa saitin injin na farko.