IPsec ಓವರ್ಹೆಡ್: ಮೋಡ್, NAT-T ಮತ್ತು ಅಲ್ಗಾರಿದಮ್ಗಳು ಎಲ್ಲವೂ ಅದನ್ನು ಬದಲಿಸುತ್ತವೆ
ಪ್ರಕಟಿತ ಒಂದು ಓವರ್ಹೆಡ್ ಸಂಖ್ಯೆ ಒಂದು ಮಾರ್ಗದಲ್ಲಿ ಒಂದು ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ನಿಮ್ಮ ಟನೆಲ್ ನಿಜವಾಗಿ ಮಾತುಕತೆ ನಡೆಸುವ ಹೆಡರ್ಗಳನ್ನು ಕೂಡಿಸಿ, ನಂತರ ಮಾರ್ಗವನ್ನು ಅಳೆಯಿರಿ.
ಒಂದು ಮಾರ್ಗದರ್ಶಿಯಲ್ಲಿ ಎಲ್ಲೋ ಒಂದು ಸಂಖ್ಯೆ ಇರುತ್ತದೆ, ಸಾಮಾನ್ಯವಾಗಿ ಅರವತ್ತರಿಂದ ಎಂಬತ್ತು ಬೈಟ್ ನಡುವೆ, ಅದನ್ನು ಯಾರೋ ಇಂಟರ್ಫೇಸ್ MTU ಪಡೆಯಲು 1500 ರಿಂದ ಕಳೆದಿದ್ದಾರೆ. ಆ ಸಂಖ್ಯೆ ಒಂದು ನಿರ್ದಿಷ್ಟ ಮಾರ್ಗದಲ್ಲಿ ಒಂದು ನಿರ್ದಿಷ್ಟ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ಮೋಡ್, ಹೊರಗಿನ ವಿಳಾಸ ಕುಟುಂಬ, ಸೈಫರ್ ಅಥವಾ NAT ಇರುವಿಕೆಯನ್ನು ಬದಲಿಸಿ, ಆಗ ಗಣಿತ ನಿಮ್ಮ ಟನೆಲ್ಗೆ ಅನ್ವಯವಾಗುವುದಿಲ್ಲ.
ಆ ಸಂಖ್ಯೆ ಬೇರೆ ಟನೆಲ್ನಿಂದ ಬಂದದ್ದು
ಓವರ್ಹೆಡ್ ಅಮೂರ್ತ ಅರ್ಥದಲ್ಲಿ IPsec ನ ಗುಣವಲ್ಲ. ಅದು ನಿಜವಾಗಿ ನಿರ್ಮಾಣವಾಗುವ ಪ್ಯಾಕೆಟ್ನ ಗುಣ: ಒಪ್ಪಿದ ಮೋಡ್, ಹೊರಗಿನ ಹೆಡರ್, ರಕ್ಷಣಾ ಹೆಡರ್, ಪ್ಯಾಡಿಂಗ್, ಸಮಗ್ರತಾ ಕ್ಷೇತ್ರ ಮತ್ತು ಬಹುಶಃ ಹೆಚ್ಚುವರಿ UDP ಸುತ್ತು.
IPv4 ಮತ್ತು NAT ಇಲ್ಲದ ಸಾಗಣೆ ಮೋಡ್ಗಾಗಿ ಉಲ್ಲೇಖಿಸಿದ ಸಂಖ್ಯೆ, NAT ದಾಟುವಿಕೆಯ ಅಡಿಯಲ್ಲಿ IPv6 ಇರುವ ಟನೆಲ್ ಮೋಡ್ಗಿಂತ ಚಿಕ್ಕ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ಎರಡೂ ತಮ್ಮ ಸಂದರ್ಭಕ್ಕೆ ಸರಿಯಾಗಿವೆ. ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಬೇರೆ ನಿಯೋಜನೆಗೆ ನಕಲಿಸುವುದೇ ಜನರು ದೊಡ್ಡ ವರ್ಗಾವಣೆಗಳನ್ನು ಮುರಿಯುವ MTU ಗೆ ತಲುಪುವ ದಾರಿ. ಸಣ್ಣ ವಿನಂತಿಗಳು ಕೆಲಸ ಮಾಡುತ್ತಲೇ ಇರುವುದರಿಂದ ವೈಫಲ್ಯ ಮೌನವಾಗಿರುತ್ತದೆ.
ನಿಜವಾಗಿ ಇರುವ ಪದರಗಳನ್ನು ಕೂಡಿಸಿ
ಹೊರಗಿನ IP ಹೆಡರ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ ಒಳಮುಖವಾಗಿ ಸಾಗಿ. ಟನೆಲ್ ಮೋಡ್ನಲ್ಲಿ ಮೂಲ ಪ್ಯಾಕೆಟ್ ಒಳಗಿರುತ್ತದೆ, ಆದ್ದರಿಂದ ಹೊರಗಿನ ಹೆಡರ್ ಬದಲಿ ಅಲ್ಲ, ಸೇರ್ಪಡೆ. RFC 4303 ESP ಹೆಡರ್, ಪ್ಯಾಡಿಂಗ್ ಮತ್ತು ಅದರ ನಂತರ ಬರುವ ಸಮಗ್ರತಾ ಡೇಟಾವನ್ನು ವಿವರಿಸುತ್ತದೆ.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
ಆ ಸಾಲುಗಳಲ್ಲಿ ಯಾವುದೂ ನಿಯೋಜನೆಗಳ ನಡುವೆ ಸ್ಥಿರವಲ್ಲ, ಮತ್ತು ಪ್ಯಾಡಿಂಗ್ ಸಾಲು ಒಂದೇ ನಿಯೋಜನೆಯ ಒಳಗೂ ಸ್ಥಿರವಲ್ಲ. ಪ್ರಕಟಿತ ಒಂದೇ ಓವರ್ಹೆಡ್ ಸಂಖ್ಯೆ ನಿರಾಶೆಗೊಳಿಸುವ ಸಂಪೂರ್ಣ ಕಾರಣ ಇದೇ.
ಎರಡು ಸ್ಥಳಗಳು ಒಂದೇ ಟನೆಲ್ ಬಗ್ಗೆ ಒಪ್ಪದಿರಬಹುದು
ಸಂರಕ್ಷಿತ ಪ್ಯಾಕೆಟ್ ಇನ್ನೂ ಹೊರಗಿನ ಮಾರ್ಗವನ್ನು ದಾಟಬೇಕು, ಮತ್ತು ಹೊರಗಿನ ಮಾರ್ಗ ಎಲ್ಲೆಡೆ ಒಂದೇ ಅಲ್ಲ. PPPoE ಪ್ರವೇಶ ಕೊಂಡಿ ಸ್ವಚ್ಛ Ethernet ವಿಭಾಗಕ್ಕಿಂತ ಕಡಿಮೆ ಸಾಗಿಸುತ್ತದೆ. ಮೊಬೈಲ್ ನೆಟ್ವರ್ಕ್ ಇನ್ನಷ್ಟು ಸಂಕುಚಿತಗೊಳ್ಳಬಹುದು, ಮತ್ತು ತನ್ನ ಸ್ವಂತ ಸಂಚಾರವನ್ನು ಟನೆಲ್ ಮಾಡುವ ಪೂರೈಕೆದಾರರು ಯಾರೂ ಉಲ್ಲೇಖಿಸದ ಇನ್ನೊಂದು ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಸೇರಿಸುತ್ತಾರೆ. ಒಂದು ಕೊಂಡಿಯಲ್ಲಿ ಕೆಲಸ ಮಾಡಿ ಇನ್ನೊಂದರಲ್ಲಿ ವಿಫಲವಾಗುವ ಟನೆಲ್ ಎರಡನೇ ಕೊಂಡಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ, ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನಲ್ಲ.
ಎರಡೂ ದಿಕ್ಕುಗಳೂ ಭಿನ್ನವಾಗಿರಬಹುದು. ಅಸಮಮಿತಿ ಮಾರ್ಗ ನಿಮಗೆ ಕೆಲಸ ಮಾಡುವ ಅಪ್ಲೋಡ್ ಮತ್ತು ನಿಂತುಹೋದ ಡೌನ್ಲೋಡ್ ನೀಡಬಹುದು, ಅದು ತಲುಪುವಿಕೆಯ ಬದಲು ಪ್ಯಾಕೆಟ್ ಗಾತ್ರಗಳನ್ನು ನೋಡುವವರೆಗೆ ಅಪ್ಲಿಕೇಶನ್ ಸಮಸ್ಯೆ ಎಂದು ಓದುತ್ತದೆ. ಸಣ್ಣ ping ಯಶಸ್ವಿಯಾಗುವುದು ಪೂರ್ಣ ಗಾತ್ರದ ಪ್ರತಿಕ್ರಿಯೆ ಬಗ್ಗೆ ಬಹಳ ಕಡಿಮೆ ಸಾಬೀತು ಮಾಡುತ್ತದೆ.
ಕಳೆಯುವ ಬದಲು ಅಳೆಯಿರಿ
ಮಾರ್ಗದಲ್ಲಿ ಉಳಿಯುವ ಅತಿ ದೊಡ್ಡ ಡೇಟಾಗ್ರಾಮ್ ಅನ್ನು ಹುಡುಕಿ. ನಂತರ ಇಂಟರ್ಫೇಸ್ ವರದಿ ಮಾಡುವ ಮೌಲ್ಯದೊಂದಿಗೆ ಹೋಲಿಸಿ:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
ಉತ್ತರಗಳು ಬರುವವರೆಗೆ ping ನ ಗಾತ್ರವನ್ನು ಇಳಿಸಿ, ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಅತಿ ದೊಡ್ಡ ಮೌಲ್ಯವನ್ನು ಆ ಮಾರ್ಗದ ಬಜೆಟ್ ಎಂದು ಪರಿಗಣಿಸಿ. xfrm ನ ಔಟ್ಪುಟ್ ಯಾವ ಮೋಡ್ ಮತ್ತು ಯಾವ ಅಲ್ಗಾರಿದಮ್ಗಳು ಒಪ್ಪಿಗೆಯಾದವು ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಅದೇ ಯಾವುದೇ ಪ್ರಾಮಾಣಿಕ ಲೆಕ್ಕಾಚಾರದ ಇನ್ಪುಟ್. ಕ್ಯಾಪ್ಚರ್ ತಂತಿಯ ಮೇಲೆ ESP ಇದೆಯೇ ಅಥವಾ UDP ನಲ್ಲಿ ಸುತ್ತಿದ ESP ಇದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಅದು NAT ಪ್ರಶ್ನೆಯನ್ನು ಊಹೆಯಿಲ್ಲದೆ ಬಗೆಹರಿಸುತ್ತದೆ.
ನಿಯಂತ್ರಣ ಸಮತಲಕ್ಕೂ ಒಂದು ಮೌಲ್ಯವನ್ನು ಮೀಸಲಿಡಿ. IKE ಹ್ಯಾಂಡ್ಶೇಕ್ ಪ್ಯಾಕೆಟ್ಗಳ ರಚನೆ ಡೇಟಾ ಪ್ಯಾಕೆಟ್ಗಳಿಗಿಂತ ಬೇರೆ, ಆದ್ದರಿಂದ ಹ್ಯಾಂಡ್ಶೇಕ್ ಕ್ಯಾಪ್ಚರ್ನಿಂದ ಪಡೆದ ಗಾತ್ರ ಡೇಟಾ ಸಮತಲದ MTU ಅಲ್ಲ.
ಸಂಖ್ಯೆಯನ್ನು ಅದರ ಸ್ಥಳದಲ್ಲಿ ಇರಿಸಿ
ಟನೆಲ್ ಮೂಲಕ TCP ಗೆ, MSS ಕ್ಲಾಂಪ್ ಸಾಮಾನ್ಯವಾಗಿ ಅತ್ಯಂತ ಕಡಿಮೆ ಹಸ್ತಕ್ಷೇಪದ ನಿಯಂತ್ರಣವಾಗಿದೆ, ಏಕೆಂದರೆ ಅದು ಟನೆಲ್ ಅನ್ನು ಬದಲಿಸದೆ ತುದಿಗಳು ಕಳುಹಿಸುವುದನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ. ಮಾರ್ಗ ಆಧಾರಿತ ಟನೆಲ್ಗೆ, ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ನ MTU ಅನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಹೊಂದಿಸಿ ಮತ್ತು ಏಕೆ ಎಂದು ದಾಖಲಿಸಿ. ಎರಡನ್ನೂ ಒಟ್ಟಿಗೆ ಮಾಡಿ ನಂತರ ಅಳೆದರೆ ಯಾವುದು ಸಹಾಯ ಮಾಡಿತು ಎಂಬ ಬಗ್ಗೆ ನಿಮಗೆ ಯಾವುದೇ ಮಾಹಿತಿ ಸಿಗುವುದಿಲ್ಲ.
ಟಿಕೆಟ್ನಲ್ಲಿ ಒಪ್ಪಿದ ಮೋಡ್, ಹೊರಗಿನ ಕುಟುಂಬ, NAT ಸ್ಥಿತಿ ಮತ್ತು ಪುನರಾವರ್ತಿಸಬಹುದಾದ ಲಕ್ಷಣವನ್ನು ಒಟ್ಟಿಗೆ ಇರಿಸಿ. ನಾಲ್ಕು ಅಂಶಗಳ ದಾಖಲಿತ ಗುಂಪು ನೆನಪಿನಲ್ಲಿಟ್ಟ ಸ್ಥಿರಾಂಕಕ್ಕಿಂತ ಉತ್ತಮ, ಮತ್ತು ಮುಂದಿನ ಕ್ಲೈಂಟ್ ನವೀಕರಣದವರೆಗೂ ಉಳಿಯುವ ಈ ಒಂದೇ ಆವೃತ್ತಿ.