Daidaita MSS na TCP a ƙofar IPsec ta Linux: abin da yake gyara

Ping yana aiki, SSH yana aiki, ƙaramin shafi yana lodawa, sannan kowane babban amsa yana tsayawa har lokaci ya ƙare. Tsarin gargajiya yana nuni ga girman fakiti maimakon isarsa: hanyar tana ɗaukar musafaha da 'yan kilobait na farko, sannan wani ɓangare mai cikakken girma ya ɓace. A kan ƙofar IPsec ta Linux, ka'idar TCP MSS sau da yawa ita ce mafita, amma kawai idan kun fahimci abin da take canzawa da kuma inda fakitin da take taɓawa yake a zahiri. Tsarin da ke ƙasa yana bin fakitin daga alamar zuwa sanya ka'idar, don ku iya tsayawa da zarar bayanin ya daina dacewa.

Alamar da ke nuna MSS

TCP yana tattauna matsakaicin girman ɓangare a cikin musafaha. Idan wannan darajar ta fi abin da hanyar za ta iya ɗauka bayan lulluɓe, mai aikawa yana ci gaba da samar da ɓangarori waɗanda ba sa isa, kuma haɗin yana tsayawa bayan zagaye na farko. Ƙananan amsoshi suna shiga; manya ba sa.

Martanin ICMP na iya ceton haɗin ta hanyar gano MTU na hanya, kuma garkuwar wuta da ke watsar da waɗannan saƙonni tana mai da tsayawar zuwa wani baƙin rami marar murya. Shi ya sa irin wannan rami yake aiki ga wata manhaja kuma ya kasa ga wata ba tare da wani bambanci bayyananne a saitin ba.

Abin da ka'idar TCPMSS take yi da abin da ba ta yi

Ka'idar tana sake rubuta zaɓin MSS a cikin fakitin musafaha na TCP yayin da suke wucewa. Ba ta saita MTU na muƙamin rami ba, ba ta canza manufar IPsec ba, kuma a kan kernels na yanzu tana rage darajar da aka sanar ne kawai maimakon ɗaga wadda ta riga ta fi ƙanƙanta. Har ila yau tana taɓa TCP ne kawai; kayan UDP, halin DNS da zaɓaɓɓun zirga-zirgar da aka tattauna suna waje da isarta.

Domin canjin yana faruwa a lokacin musafaha, haɗin da ke akwai da aka kafa kafin ka'idar yana riƙe da tsohuwar darajarsa. Gwada da sabon haɗi, kuma yi tsammanin ƙoƙari na farko bayan canjin shi ne zai gaya muku wani abu. Babu wani abu a cikin ka'idar da zai isa haɗin da ya riga ya buɗe. Shi ya sa gyaran da aka yi a tsakiyar wani lamari zai iya kama da bai yi komai ba.

Sanya ka'idar a hanyar TCP ta ciki

A kan ƙofar Linux da ta dogara da manufa, fakitin da aka tura gaba har yanzu yana kama da TCP na yau da kullum lokacin da garkuwar wuta ta gan shi. Manufar IPsec ta yanke shawarar cewa za a kare fakitin; garkuwar wuta ba ta gan kan ESP na gudanarwar ciki ba, don haka daidaitawa da ESP a nan yana bayyana wani fakitin daban. Wannan rashin daidaituwa shi ne dalilin da wasu ka'idoji suke kama da daidai kuma ba sa dacewa.

A cikin kalmomin iptables, ka'idar tana cikin teburin mangle a hanyar turawa gaba, an iyakance ta ga fakitin musafaha: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Lambar misali ce, ba ma'auni na duniya ba; samo ta daga nauyin lulluɓe da ainihin MTU na hanyar. Daidaitaccen nftables yana saita matsakaicin girman ɓangare a cikin sarkar forward ko postrouting.

Ka raba ka'idojin sauraron waje na IKE da ESP daga ka'idojin turawa na ciki. Ka'ida ɗaya da ke ƙoƙarin ba da izini ga gudanarwar manhaja da kuma ƙa'idar waje tare, a ƙarshe ba ta dacewa da ɗaya cikin aminci ba.

Ka girmama mai garkuwar wuta da tsarin NAT

Idan UFW ne ya mallaki garkuwar wutar na'ura, ƙara canje-canjen mangle da turawa ta hanyar ingantaccen tsarin sa na dindindin maimakon buga umarnin da zai ɓace a lodawa ta gaba. Ka'idar da aka saka a teburin da ba daidai ba ko bayan ƙa'idar ƙarshe ba ta da wani tasiri, kuma teburin da ke aiki yana ɓoye hakan daga gare ku.

Fassarar tushe wata shawara ce daban wadda sau da yawa tana hulɗa da wannan. Keɓancewar da aka sanya kafin ka'idar masquerade ta gama gari yana hana zirga-zirgar da aka kare ta rasa tushen da manufarta ke buƙata; ba ta gyara matsalar girma ba, kuma ka'idar girma ba ta gyara matsalar fassara ba.

Tabbatar da ƙunci, sannan ka tsaya

Buɗe sabon haɗi zuwa sabis ɗin da ke kasawa kuma ka lura da manhaja da ƙididdigar ka'idar duka. Idan tsayawar ta ƙare, kuna da shaida game da waccan hanyar TCP da wannan lulluɓe. Ba ku da shaidar cewa kowane ƙa'idar VPN ya dace, cewa kowace manhajar UDP an gyara ta, ko kuma wani sabis na sama shi ne ainihin dalilin.

Bar martanin girman ICMP ya yi aiki inda manufa ta yarda, kuma ka yi taka tsantsan da daidaitawa ta atomatik bisa MTU na hanya lokacin da hanyar IPsec ta waje ba ta wakilta da hanyar ciki. Duk yadda ƙarshen ya fi ƙunci, haka nan yin binciken lamari na gaba ya fi sauƙi.