IPsec зыяны: режим, NAT-T жана алгоритмдер анын баарын өзгөртөт
Жарыяланган бир зыян саны бир жолдогу бир инкапсуляцияны сүрөттөйт. Туннелиңиз чындап келишкен аталыштарды кошуңуз, анан жолду өлчөңүз.
Бир колдонмодо адатта алтымыштан сексен байтка чейинки сан бар, аны бирөө интерфейстин MTU-сун алуу үчүн 1500дөн кемитип койгон. Ал сан белгилүү бир жолдогу белгилүү бир инкапсуляцияны сүрөттөйт. Режимди, сырткы дарек үй-бүлөсүн, шифрди же NATтын бар-жоктугун өзгөртсөңүз, арифметика эми сиздин туннелиңизге тиешеси жок.
Бул сан башка туннелден келген
Зыян — IPsecтин каймана маанидеги касиети эмес. Ал чындап курулуучу пакеттин касиети: келишилген режим, сырткы аталыш, коргоо аталышы, толуктоо, бүтүндүк талаасы жана балким кошумча UDP кабыгы.
IPv4 менен жана NAT жок ташуу режими үчүн айтылган сан NAT өтүүсү астындагы IPv6 менен туннель режиминен кичирээк пакетти сүрөттөйт. Экөө тең өз учурлары үчүн туура. Алардын бирин башка жайгаштырууга көчүрүү — адамдардын чоң өткөрүүлөрдү буза турган MTUга туш болушунун жолу. Ийгиликсиздик үнсүз, анткени кичине суроолор иштеп турат.
Чындап бар катмарларды кошуңуз
Сырткы IP аталышынан баштап ичти карай жылыңыз. Туннель режиминде баштапкы пакет ичинде болот, ошондуктан сырткы аталыш алмаштыруу эмес, кошумча. RFC 4303 ESP аталышын, толуктоону жана андан кийинки бүтүндүк маалыматтарын сүрөттөйт.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Ошол саптардын эч бири жайгаштыруулардын ортосунда туруктуу эмес, ал эми толуктоо сабы бир жайгаштыруунун ичинде да туруктуу эмес. Бир жарыяланган зыян санынын көңүл калтырарынын баардык себеби ушул.
Эки аймак бир туннель жөнүндө макул болбошу мүмкүн
Корголгон пакет дагы эле сырткы жолдон өтүшү керек, ал эми сырткы жол бардык жерде бирдей эмес. PPPoE кирүү линиясы таза Ethernet сегментинен аз ташыйт. Мобилдик тармак дагы тарышы мүмкүн, ал эми өз трафигин туннелдеген провайдер эч ким атап өтпөгөн дагы бир инкапсуляцияны кошот. Бир линияда иштеп, экинчисинде ийгиликсиз болгон туннель экинчи линияны сүрөттөйт, протоколду эмес.
Эки багыт тең айырмаланышы мүмкүн. Асимметриялык маршрут сизге иштеген жүктөөнү жана токтоп калган жүктөөнү бере алат, бул жеткиликтүүлүккө эмес, пакет өлчөмдөрүнө караганга чейин колдонмо көйгөйү болуп окулат. Кичине pingдин ийгилиги толук өлчөмдөгү жооп жөнүндө абдан аз нерсени далилдейт.
Кемитүүнүн ордуна өлчөңүз
Жолдон өткөн эң чоң дейтаграмманы табыңыз. Анан аны интерфейс билдирген маани менен салыштырыңыз:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Жооптор келгенге чейин pingдин өлчөмүн төмөндөтүңүз жана иштеген эң чоң маанини ошол жолдун бюджети деп эсептеңиз. xfrmдин чыгарылышы кайсы режим жана кайсы алгоритмдер келишилгенин айтат, ал эми бул ар кандай ак ниеттүү эсептөөнүн кириши. Тартуу зымда ESP же UDPга капталган ESP бар-жогун тастыктайт, жана бул NAT суроосун божомолсуз чечет.
Башкаруу тегиздиги үчүн да бир маани калтырыңыз. IKE кол алышуу пакеттеринин түзүлүшү маалымат пакеттеринен башка, ошондуктан кол алышуу тартуусунан алынган өлчөм маалымат тегиздигинин MTUсу эмес.
Санды өз ордуна коюңуз
Туннелден өткөн TCP үчүн MSS чектөөсү көбүнчө эң аз кийлигишүүчү башкаруу болуп саналат, анткени ал туннелдин өзүн өзгөртпөстөн учтар жөнөткөн көлөмдү азайтат. Маршрутка негизделген туннель үчүн туннелдин интерфейсинин MTUсун атайын коюңуз жана эмне үчүн экенин документтештириңиз. Экөөнү тең бирге жасап, анан өлчөө кайсынысы жардам бергенин тууралуу сизге эч нерсе айтпайт.
Тикетте келишилген режимди, сырткы үй-бүлөнү, NAT абалын жана кайталануучу симптомду бирге сактаңыз. Төрт фактынын жазылган топтому эсте калган туруктуудан артык, жана кийинки кардар жаңыртуусунан аман калган ушунун жалгыз версиясы ушул.