IPsec-aukning: hamur, NAT-T og reiknirit breyta öllu

Einhvers staðar í leiðarvísi er tala, venjulega á milli sextíu og áttatíu bæta, sem einhver dró frá 1500 til að fá MTU nettengis. Sú tala lýsir einni tiltekinni innpakningu á einni tiltekinni leið. Breyttu hamnum, ytri vistfangsættinni, dulrituninni eða tilvist NAT, og reikningurinn gildir ekki lengur fyrir göngin þín.

Talan kom frá öðrum göngum

Aukning er ekki eiginleiki IPsec í óhlutbundnum skilningi. Hún er eiginleiki pakkans sem er raunverulega byggður: samið hamur, ytri haus, verndarhaus, fylling, heilleikareitur og hugsanlega viðbótar UDP-umbúðir.

Tala sem er nefnd fyrir flutningsham með IPv4 og án NAT lýsir minni pakka en gönguhamur með IPv6 undir NAT-yfirferð. Báðar eru réttar fyrir sitt tilfelli. Að afrita aðra þeirra í aðra uppsetningu er leiðin sem fólk endar með MTU sem brýtur stórar flutningar. Bilunin er hljóðlát því litlar beiðnir halda áfram að virka.

Leggðu saman lögin sem eru raunverulega til staðar

Byrjaðu á ytri IP-hausnum og farðu inn á við. Í gönguham er upprunalegi pakkinn inni, svo ytri hausinn er viðbót en ekki staðgengill. RFC 4303 lýsir ESP-hausnum, fyllingunni og heilleikagögnunum sem fylgja honum.

Engin þessara raða er stöðug milli uppsetninga, og fyllingarröðin er ekki einu sinni stöðug innan einnar uppsetningar. Það er öll ástæðan fyrir því að ein birt aukningartala veldur vonbrigðum.

Tveir staðir geta verið ósammála um sömu göngin

Varði pakkinn verður samt að fara um ytri leiðina, og ytri leiðin er ekki sú sama alls staðar. PPPoE-aðgangstengill ber minna en hreint Ethernet-hluti. Farsímanet getur minnkað frekar, og þjónustuaðili sem setur eigin umferð í göng bætir við annarri innpakningu sem enginn nefndi. Göng sem virka á einum tengli og mistakast á öðrum lýsa öðrum tenglinum, ekki samskiptareglunni.

Báðar áttir geta líka verið ólíkar. Ósamhverf leið getur gefið þér virkandi upphleðslu og stöðvaða niðurhleðslu, sem er lesin sem vandamál í forritinu þar til þú horfir á pakkastærðir í stað aðgengis. Árangur lítillar ping-sendingar sannar mjög litlu um svar í fullri stærð.

Mældu í stað þess að draga frá

Finndu stærsta gagnagrams sem kemst um leiðina. Berðu það síðan saman við gildið sem nettengið tilkynnir:

ip link show eth0 | grep -o 'mtu [0-9]*'
ip xfrm state list
ping -M do -s 1400 198.51.100.7
ping -M do -s 1372 198.51.100.7
tcpdump -ni any -c 20 'esp or udp port 4500'

Lækkaðu ping-stærðina þar til svör berast, og líttu á stærsta virka gildið sem fjárhagsáætlun þeirrar leiðar. xfrm-úttakið segir þér hvaða ham og hvaða reiknirit voru samin, og það er inntakið fyrir hvern heiðarlegan útreikning. Upptakan staðfestir hvort ESP eða UDP-innpakkað ESP er á vírnum, og það leysir NAT-spurninguna án þess að giska.

Leggðu líka til hliðar eitt gildi fyrir stjórnslagið. IKE-handtaks-pakkar hafa aðra uppbyggingu en gagnapakkar, svo stærð sem er leidd af handtaksupptöku er ekki MTU gagnslagsins.

Settu töluna þar sem hún á heima

Fyrir TCP gegnum göng er MSS-þrenging oft minnst íhlutandi stjórnunin, því hún minnkar það sem endarnir senda án þess að breyta göngunum sjálfum. Fyrir leiðamiðuð göng skaltu stilla MTU gagnatengisins viljandi og skrifa hjá þér hvers vegna. Að gera bæði í einu og mæla svo gefur þér engar upplýsingar um hvort hjálpaði.

Haltu saman á miðanum samda hamnum, ytri ættinni, NAT-ástandinu og endurtakanlega einkenninu. Skráð sett af fjórum staðreyndum er betra en munað fastagildi, og það er eina útgáfan af þessu sem lifir næstu uppfærslu biðlarans.