TCP-MSS-Anpassung op engem Linux-IPsec-Gateway: wat se fixéiert

Ping funktionéiert, SSH funktionéiert, eng kleng Säit lued, an dann hänkt all grouss Äntwert bis d'Zäit eriwwer ass. Dat klassescht Muster weist op d'Paketgréisst an net op d'Erreechbarkeet: de Wee dréit den Handshake an déi éischt puer Kilobyte, duerno verschwënnt e Segment a voller Gréisst. Op engem Linux-IPsec-Gateway ass eng TCP-MSS-Reeg dacks d'Léisung, awer nëmmen wann Dir verstitt wat se ännert a wou de Paket, deen se beréiert, tatsächlech ass. D'Reiefolleg hei drënner verfollegt de Paket vum Symptom bis zur Placéierung vun der Reeg, sou datt Dir ophalen kënnt soubal d'Erklärung net méi passt.

D'Symptom, dat op MSS hindeit

TCP verhandelt eng maximal Segmentgréisst am Handshake. Wann dëse Wäert méi grouss ass wéi dee wat de Wee no der Encapsulation droe kann, produzéiert de Sender weider Segmenter, déi ni ukommen, an d'Verbindung hänkt no der éischter Ronn. Kleng Äntwerten passen; grouss net.

ICMP-Feedback kann d'Verbindung iwwer d'Entdeckung vum MTU vum Wee retten, an eng Firewall, déi déi Message verwërft, mécht aus dem Hänken e rouegt schwaarzt Lach. Dofir funktionéiert dee selwechten Tunnel fir eng Applikatioun a versoe fir eng aner ouni en offensichtlechen Ënnerscheed an der Konfiguratioun.

Wat eng TCPMSS-Reeg mécht a wat net

D'Reeg schreift d'MSS-Optioun an den TCP-Handshake-Paketen ëm wärend se laanscht ginn. Si setzt net d'MTU vum Tunnel-Interface, si ännert net d'IPsec-Politik, an op aktuellen Kärne senkt se nëmmen en ugekënnegte Wäert amplaz een ze hiewen deen schonn méi kleng ass. Si beréiert och nëmmen TCP; UDP-Belaaschtungen, DNS-Verhalen an déi ausgehandelt Traffic-Selecteure leien ausserhalb vun hirem Beräich.

Well d'Ännerung wärend dem Handshake geschitt, behält eng bestehend Verbindung, déi virun der Reeg opgebaut gouf, hire ale Wäert. Testt mat enger neier Verbindung, a erwaart datt den éischten Versuch no der Ännerung deen ass, deen Iech eppes seet. Näischt an der Reeg erreecht eng Verbindung déi schonn op ass. Dofir kann eng Korrektur, déi an der Mëtt vun engem Incident ugewannt gëtt, ausgesinn wéi wann se guer näischt gemaach hätt.

Setzt d'Reeg op de banneschten TCP-Wee

Op engem politikbaséierte Linux-Gateway gesäit de weidergeleet Paket nach ëmmer aus wéi gewéinlecht TCP wann d'Firewall en gesäit. D'IPsec-Politik entscheet datt de Paket geschützt gëtt; d'Firewall gesäit keng ESP-Kapp fir de banneschten Floss, dofir beschreift d'Passen op ESP hei e ganz anere Paket. Dee Mëssverhältnis ass de Grond firwat verschidde Reegle korrekt ausgesinn an ni passen.

An iptables-Terme gehéiert d'Reeg an d'mangle-Tabelle um Weiderleedungswee, limitéiert op Handshake-Paketen: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. D'Zuel ass e Beispill, keng universell Konstant; leet se aus dem Encapsulation-Overhead an dem richtege MTU vum Wee of. En nftables-Äquivalent setzt déi maximal Segmentgréisst an enger forward- oder postrouting-Kette.

Halt d'baussen Hör-Reegle fir IKE an ESP getrennt vun den banneschten Weiderleedungs-Reeglen. Eng eenzeg Reeg déi versicht souwuel de Floss vun der Applikatioun wéi och de baussenzege Protokoll z'autoriséieren, passt um Enn zu keinem vun deenen zwee zouverlässeg.

Respektéiert den Eegentümer vun der Firewall an d'NAT-Reiefolleg

Wann UFW d'Firewall vum Host besëtzt, füügt d'mangle- an d'Weiderleedungsännerungen iwwer seng ënnerstëtzt permanent Konfiguratioun derbäi amplaz en Kommando ze tippen deen beim nächsten Neieluede verschwënnt. Eng Reeg, déi an déi falsch Tabelle oder no enger terminaler Reeg agesat gëtt, huet keen Effekt, an déi lieweg Tabelle verstoppt dat virun Iech.

Quell-Iwwersetzung ass eng separat Entscheidung déi dacks mat dëser interagéiert. Eng Ausnam, déi virun enger allgemenger masquerade-Reeg steet, verhënnert datt geschützten Traffic d'Quell verléiert déi seng Politik verlaangt; si reparéiert kee Gréissteproblem, an eng Gréisstereeg reparéiert kee Iwwersetzungsproblem.

Iwwerpréift enk, dann hält op

Maacht eng nei Verbindung op de Service deen ausfällt op a beobacht souwuel d'Applikatioun wéi och d'Zieler vun der Reeg. Wann d'Hänken verschwënnt, hutt Dir Beweiser iwwer deen TCP-Wee mat där Encapsulation. Dir hutt keng Beweiser datt all VPN-Protokoll passt, datt all UDP-Applikatioun gefléckt ass oder datt en bestëmmte Service uewendriwwer déi ursprénglech Ursaach war.

Loosst den ICMP-Gréisst-Feedback funktionéieren wou d'Politik et erlaabt, a behandelt d'automatesch Upassung op Basis vum MTU vum Wee virsiichteg wann de baussenzege IPsec-Wee net duerch de banneschten Wee duergestellt gëtt. Wat d'Konklusioun méi enk ass, wat den nächsten Incident méi einfach ze diagnostizéieren ass.