MSS-stilling TCP á Linux IPsec-hliði: hvað hún lagar

Ping virkar, SSH virkar, lítil síða hleðst, og þá stöðvast hvert stórt svar þar til tíminn rennur út. Klassíska mynstrið bendir á pakkastærð frekar en aðgengi: slóðin ber handabandið og fyrstu kílóbætin, síðan hverfur fullstór hluti. Á Linux IPsec-hliði er TCP MSS-regla oft lausnin, en aðeins ef þú skilur hvað hún breytir og hvar pakkinn sem hún snertir er í raun. Röðin hér að neðan fylgir pakkanum frá einkenninu að staðsetningu reglunnar, svo þú getir stöðvað um leið og skýringin passar ekki lengur.

Einkennið sem bendir til MSS

TCP semur um hámarkshlutastærð í handabandinu. Ef það gildi er stærra en slóðin getur borið eftir umbúðir, heldur sendandinn áfram að búa til hluta sem aldrei berast, og tengingin stöðvast eftir fyrstu ferð. Lítil svör komast fyrir; stór ekki.

ICMP-endurgjöf getur bjargað tengingunni með uppgötvun MTU slóðarinnar, og eldveggur sem hendir þessum skilaboðum gerir stöðvunina að hljóðlátri svartholu. Þess vegna virkar sami göngin fyrir eitt forrit og mistekst fyrir annað án nokkurra augljósra mun á stillingum.

Hvað TCPMSS-regla gerir og hvað hún gerir ekki

Reglan endurskrifar MSS-valkostinn í TCP-handabandspökkum þegar þeir fara fram hjá. Hún stillir ekki MTU gangnainnviðarins, breytir ekki IPsec-stefnunni, og á núverandi kjörnum lækkar hún aðeins tilkynnt gildi í stað þess að hækka það sem er þegar minna. Hún snertir líka aðeins TCP; UDP-hleðslur, hegðun DNS og samningsbundnir flutningsvalar eru utan seilingar hennar.

Vegna þess að breytingin á sér stað í handabandinu heldur núverandi tenging sem var komin á fyrir regluna gamla gildinu sínu. Prófaðu með nýrri tengingu og búast við að fyrsta tilraunin eftir breytinguna sé sú sem segir þér eitthvað. Ekkert í reglunni nær til tengingar sem er þegar opin. Þess vegna getur lagfæring sem beitt er um miðbik atviks litið út eins og hún hafi alls ekkert gert.

Settu regluna á innri TCP-slóðina

Á stefnubundnu Linux-hliði lítur framsendi pakkinn enn út eins og venjulegt TCP þegar eldveggurinn sér hann. IPsec-stefnan ákveður að pakkinn verði varinn; eldveggurinn sér enga ESP-fyrirsögn fyrir innri strauminn, svo samsvörun við ESP hér lýsir allt öðrum pakka. Þetta misræmi er ástæðan fyrir því að sumar reglur líta réttar út og passa aldrei.

Í iptables-hugtökum tilheyrir reglan mangle-töflunni á framsendingarslóðinni, takmörkuð við handabandspakka: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Talan er dæmi, ekki algild fasti; leiddu hana út frá umbúðakostnaði og raunverulegu MTU slóðarinnar. nftables-jafngildi stillir hámarkshlutastærð í forward- eða postrouting-keðju.

Haltu ytri hlustunarreglum fyrir IKE og ESP aðskildum frá innri framsendingarreglum. Ein regla sem reynir að heimila bæði straum forritsins og ytri samskiptaregluna passar að lokum ekki áreiðanlega við hvort tveggja.

Virðu eiganda eldveggsins og röð NAT

Ef UFW á eldvegg hýsilsins, bættu mangle- og framsendingarbreytingunum við í gegnum studda varanlega stillingu hans í stað þess að slá inn skipun sem hverfur við næstu endurhleðslu. Regla sem sett er í ranga töflu eða á eftir lokareglu hefur engin áhrif, og virka taflan felur það fyrir þér.

Upprunaaðlögun er sérstök ákvörðun sem hefur oft áhrif á þessa. Undanþága sem sett er fyrir almennu masquerade-regluna kemur í veg fyrir að varinn flutningur missi upprunann sem stefna hans krefst; hún lagar ekki stærðarvandamál, og stærðarregla lagar ekki aðlögunarvandamál.

Sannreyndu þröngt og stöðvaðu svo

Opnaðu nýja tengingu við þjónustuna sem mistekst og fylgstu með bæði forritinu og teljurum reglunnar. Ef stöðvunin hverfur hefur þú sönnun um þá TCP-slóð með þeim umbúðum. Þú hefur ekki sönnun fyrir því að hver VPN-samskiptaregla passi, að hvert UDP-forrit sé lagað eða að tiltekin þjónusta ofar í keðjunni hafi verið upphaflega orsökin.

Leyfðu ICMP-stærðarendurgjöf að virka þar sem stefnan leyfir, og farðu varlega með sjálfvirka takmörkun byggða á MTU leiðarinnar þegar ytri IPsec-slóðin er ekki táknuð af innri leiðinni. Því þrengri sem niðurstaðan er, þeim mun auðveldara er að greina næsta atvik.