Linux IPsec шлюзіндегі TCP MSS реттеуі: ол нені түзетеді

Ping жұмыс істейді, SSH жұмыс істейді, кішкентай бет жүктеледі, содан кейін әрбір үлкен жауап мерзімі бітпейінше тұрып қалады. Классикалық үлгі жетімділікке емес, пакет өлшеміне нұсқайды: жол қол алысуды және алғашқы бірнеше килобайтты тасымалдайды, содан кейін толық өлшемді сегмент жоғалады. Linux IPsec шлюзінде TCP MSS ережесі көбіне шешім болады, бірақ ол нені өзгертетінін және ол тиетін пакеттің шын мәнінде қайда екенін түсінсеңіз ғана. Төмендегі рет пакетті симптомнан ереженің орналасуына дейін бақылайды, сондықтан түсініктеме сәйкес келмейтін болса, бірден тоқтай аласыз.

MSS-ке нұсқайтын симптом

TCP қол алысуда сегменттің ең үлкен өлшемі туралы келіседі. Егер бұл мән жол инкапсуляциядан кейін тасымалдай алатыннан үлкен болса, жіберуші ешқашан жетпейтін сегменттерді шығаруды жалғастырады, ал байланыс бірінші айналымнан кейін тұрып қалады. Кіші жауаптар сыяды; үлкендері жоқ.

ICMP кері байланысы жолдың MTU-ын анықтау арқылы байланысты құтқара алады, ал бұл хабарламаларды тастайтын firewall тоқырауды тыныш қара құрдымға айналдырады. Сондықтан бірдей туннель бір қолданбада жұмыс істеп, екіншісінде конфигурацияда көзге көрінетін айырмашылықсыз сәтсіздікке ұшырайды.

TCPMSS ережесі не істейді және не істемейді

Ереже өтіп бара жатқан TCP қол алысу пакеттеріндегі MSS параметрін қайта жазады. Ол туннель интерфейсінің MTU-ын орнатпайды, IPsec саясатын өзгертпейді, ал қазіргі ядроларда тек жарияланған мәнді төмендетеді, қазірдің өзінде кіші мәнді көтермейді. Ол сондай-ақ тек TCP-ге тиеді; UDP жүктемелері, DNS мінез-құлқы және келісілген трафик селекторлары оның қол жеткізу аясынан тыс.

Өзгеріс қол алысу кезінде болатындықтан, ережеге дейін орнатылған бар байланыс өзінің ескі мәнін сақтайды. Жаңа байланыспен сынап көріңіз және өзгерістен кейінгі бірінші әрекет сізге бірдеңе айтатын әрекет болады деп күтіңіз. Ережедегі ештеңе әлдеқашан ашық байланысқа жетпейді. Сондықтан оқиғаның ортасында қолданылған түзету ешнәрсе істемеген сияқты көрінуі мүмкін.

Ережені ішкі TCP жолына қойыңыз

Саясатқа негізделген Linux шлюзінде жіберілген пакет firewall оны көргенде әлі де кәдімгі TCP сияқты көрінеді. IPsec саясаты пакеттің қорғалатынын шешеді; firewall ішкі ағын үшін ESP тақырыбын көрмейді, сондықтан мұнда ESP-мен сәйкестендіру мүлдем басқа пакетті сипаттайды. Дәл осы сәйкессіздік кейбір ережелердің дұрыс көрініп, ешқашан сәйкес келмеуінің себебі.

iptables тұрғысынан ереже жіберу жолындағы mangle кестесіне жатады, қол алысу пакеттерімен шектелген: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Сан мысал, әмбебап тұрақты емес; оны инкапсуляция шығынынан және жолдың нақты MTU-ынан шығарыңыз. nftables баламасы ең үлкен сегмент өлшемін forward немесе postrouting тізбегінде орнатады.

IKE және ESP үшін сыртқы тыңдау ережелерін ішкі жіберу ережелерінен бөлек ұстаңыз. Қолданба ағынын да, сыртқы протоколды да рұқсат етуге тырысатын бір ереже соңында екеуінің ешқайсысымен сенімді сәйкес келмейді.

Firewall иесін және NAT тәртібін құрметтеңіз

Егер UFW хосттың firewall-ын иеленсе, mangle және жіберу өзгерістерін келесі қайта жүктеуде жоғалатын команданы теру орнына оның қолдайтын тұрақты конфигурациясы арқылы қосыңыз. Қате кестеге немесе соңғы ережеден кейін кірістірілген ереженің әсері жоқ, ал белсенді кесте мұны сізден жасырады.

Дереккөзді аудару осы шешіммен жиі әрекеттесетін жеке шешім. Жалпы masquerade ережесінің алдына қойылған ерекшелік қорғалған трафиктің өз саясаты талап ететін дереккөзін жоғалтуына жол бермейді; ол өлшем мәселесін түзетпейді, ал өлшем ережесі аударма мәселесін түзетпейді.

Тар шеңберде тексеріңіз, содан кейін тоқтаңыз

Сәтсіз қызметке жаңа байланыс ашыңыз және қолданбаны да, ереженің есептегіштерін де бақылаңыз. Егер тоқырау жойылса, сол инкапсуляциямен сол TCP жолы туралы дәлеліңіз бар. Сізде әрбір VPN протоколы сәйкес келеді, әрбір UDP қолданбасы түзетілді немесе белгілі бір жоғары ағындағы қызмет бастапқы себеп болды деген дәлел жоқ.

Саясат рұқсат ететін жерде ICMP өлшем кері байланысы жұмыс істесін, ал сыртқы IPsec жолы ішкі маршрутпен ұсынылмаған кезде маршрут MTU-ына негізделген автоматты шектеуге абайлап қараңыз. Қорытынды неғұрлым тар болса, келесі оқиғаны диагностикалау соғұрлым оңай.