IPsec-Overhead: Modus, NAT-T an Algorithmen änneren en all
Eng eenzeg publizéiert Overheadzuel beschreift eng Inkapselféierung op engem Wee. Zielt d’Käpp zesummen, déi ären Tunnel wierklech ausgehandelt, a misst duerno de Wee.
Iergendwou an engem Guide steet eng Zuel, meeschtens tëscht siechzeg an achtzeg Byte, déi een vun 1500 ofgezunn huet, fir eng Interface-MTU ze kréien. Déi Zuel beschreift eng bestëmmt Inkapselféierung op engem bestëmmte Wee. Ännert de Modus, d’baussenzeg Adressfamill, d’Verschlësselung oder d’Präsenz vun NAT, an d’Rechnung gëllt net méi fir ären Tunnel.
D’Zuel kënnt vun engem aneren Tunnel
Overhead ass keng Eegeschaft vun IPsec am Abstrakten. Et ass eng Eegeschaft vum Pak, deen tatsächlech gebaut gëtt: en ausgehandelte Modus, en baussenzege Kapp, e Schutz-Kapp, Padding, en Integritéitsfeld an eventuell eng zousätzlech UDP-Hüll.
Eng Zuel, déi fir den Transportmodus mat IPv4 an ouni NAT zitéiert gëtt, beschreift e méi klengt Pak wéi den Tunnelmodus mat IPv6 ënner NAT-Traversée. Béid si richteg fir hire jeeweilege Fall. Eng vun hinnen an eng aner Deployement ze kopéieren ass de Wee, wéi d’Leit mat enger MTU ophalen, déi grouss Transfere bricht. De Feeler ass roueg, well kleng Ufroe weider funktionéieren.
Zielt d’Schichten zesummen, déi wierklech do sinn
Fänkt beim baussenzege IP-Kapp un a gitt no bannen. Am Tunnelmodus ass dat ursprénglecht Pak bannen, dofir ass de baussenzege Kapp eng Ergänzung an net en Ersatz. RFC 4303 beschreift den ESP-Kapp, d’Padding an d’Integritéitsdaten, déi duerno kommen.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Keng vun dëse Zeilen ass iwwer Deployementen ewech konstant, an d’Padding-Zeil ass net emol bannent engem eenzegen Deployement konstant. Dat ass de ganzen Grond, firwat eng eenzeg publizéiert Overheadzuel enttäuscht.
Zwee Site kënnen iwwert de selwechten Tunnel net d’accord sinn
Dat geschützt Pak muss nach ëmmer de baussenzege Wee iwwerqueren, an de baussenzege Wee ass net iwwerall dee selwechten. Eng PPPoE-Zougangslinn dréit manner wéi en proppert Ethernet-Segment. En Handysnetz kann nach méi schrumpfen, an en Ubieder, dee säin eegene Verkéier tunnelt, setzt nach eng Inkapselféierung dobäi, déi keen ernimmt huet. En Tunnel, deen op enger Linn funktionéiert an op enger anerer feelt, beschreift déi zweet Linn, net de Protokoll.
Béid Richtunge kënnen och ënnerschiddlech sinn. Eng asymmetresch Route kann Iech en Upload ginn, deen funktionéiert, an en Download, deen hänkt, wat als Applikatiounsproblem gelies gëtt, bis een op d’Paksgréissten amplaz op d’Erreechbarkeet kuckt. En erfolgreiche klengen Ping beweist ganz wéineg iwwer eng Äntwert a voller Gréisst.
Misst amplaz ofzezéien
Fannt dat gréisst Datagramm, dat de Wee iwwerlieft. Vergläicht et duerno mat dem Wäert, deen den Interface mellt:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Gitt mat der Ping-Gréisst erof, bis Äntwerten ukommen, a behandelt de gréisste funktionéierende Wäert als de Budget fir dee Wee. D’xfrm-Ausgab seet Iech, wéi ee Modus a wéi eng Algorithmen ausgehandelt goufen, an dat ass den Input fir all éierlech Berechnung. D’Aufhuele bestätegt, ob ESP oder UDP-inkapselt ESP um Kabel läit, an dat kläärt d’NAT-Fro ouni ze roden.
Hält een Wäert och fir de Kontrollplang fräi. IKE-Handshake-Päck hunn eng aner Struktur wéi Datenpäck, dofir ass eng Gréisst, déi aus enger Handshake-Aufhuele ofgeleet gëtt, keng MTU vum Datenplang.
Setzt d’Zuel dohinner, wou se gehéiert
Fir TCP duerch en Tunnel ass eng MSS-Klamm dacks déi mannst invasiv Kontroll, well se reduzéiert, wat d’Endpunkte schécken, ouni den Tunnel selwer z’änneren. Fir en tunnelbaséierte Wee setzt d’MTU vum Tunnel-Interface bewosst a dokumentéiert firwat. Béides gläichzäiteg ze maachen an duerno ze moossen gëtt Iech keng Informatioun doriwwer, wat gehollef huet.
Hält den ausgehandelte Modus, déi baussenzeg Famill, den NAT-Zoustand an de reproduzéierbaren Symptom zesummen am Ticket. En opgezeechente Set vu véier Fakten schléit eng erënnert Konstante, an et ass déi eenzeg Versioun dervun, déi den nächsten Client-Update iwwerlieft.