IPsec-ийн нэмэлт ачаалал: горим, NAT-T ба алгоритмууд бүгд өөрчилдөг
Нийтлэгдсэн нэг нэмэлт ачааллын тоо нь нэг зам дээрх нэг капсулчлалыг тодорхойлдог. Таны туннель үнэхээр хэлэлцээр хийдэг толгойг нэмбэл, дараа нь замыг хэмжинэ.
Зааварчилгааны хаа нэгтэнд интерфэйсийн MTU авахын тулд хэн нэгэн 1500-аас хассан тоо байдаг, ихэвчлэн жаран ба наян байтын хооронд. Тэр тоо нь тодорхой зам дээрх тодорхой капсулчлалыг тодорхойлдог. Горим, гадаад хаягийн гэр бүл, шифр эсвэл NAT-ын байгаа эсэхийг өөрчилбөл арифметик таны туннельд хамаарахгүй болно.
Энэ тоо өөр туннелиас ирсэн
Нэмэлт ачаалал нь IPsec-ийн хийсвэр шинж биш. Энэ нь үнэхээр бүтээгдэх пакетийн шинж: тохирсон горим, гадаад толгой, хамгаалалтын толгой, дүүргэлт, бүрэн бүтэн байдлын талбар, магадгүй нэмэлт UDP бүрхүүл.
IPv4-тэй, NAT-гүй тээврийн горимд дурдсан тоо нь NAT-ын гарах замын дор IPv6-тай туннелийн горимоос бага пакетийг тодорхойлдог. Хоёулаа өөрсдийн тохиолдолд зөв. Аль нэгийг нь өөр байршуулалтад хуулах нь хүмүүс том дамжуулалтыг эвддэг MTU-д хүрэх зам юм. Жижиг хүсэлтүүд ажилласаар байдаг тул алдаа нам гүм байна.
Үнэхээр байгаа давхаргуудыг нэм
Гадаад IP толгойноос эхэлж дотогш яв. Туннелийн горимд анхны пакет дотор байдаг тул гадаад толгой нь орлуулалт биш, нэмэлт юм. RFC 4303 ESP толгой, дүүргэлт ба түүний дараах бүрэн бүтэн байдлын өгөгдлийг тодорхойлдог.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Тэдгээр мөрүүдийн аль нь ч байршуулалтуудын хооронд тогтмол биш, дүүргэлтийн мөр нэг байршуулалтын дотор ч тогтмол биш. Нийтлэгдсэн нэг нэмэлт ачааллын тоо урам хугарах бүх шалтгаан энэ юм.
Хоёр газар нэг туннелийн талаар санал зөрөх боломжтой
Хамгаалагдсан пакет гадаад замаар гарах ёстой хэвээр, гадаад зам хаа сайгүй ижил биш. PPPoE хандалтын шугам цэвэр Ethernet сегментээс бага зөөдөг. Гар утасны сүлжээ улам багасаж болно, өөрийн трафикийг туннельддаг үйлчилгээ үзүүлэгч хэн ч дурдаагүй өөр нэг капсулчлалыг нэмдэг. Нэг шугам дээр ажиллаад нөгөө дээр бүтэлгүйтдэг туннель хоёр дахь шугамыг тодорхойлж байгаа бөгөөд протоколыг биш.
Хоёр чиглэл ч ялгаатай байж болно. Асимметрик маршрут ажилладаг байршуулалт ба гацсан татан авалтыг өгч болно, энэ нь хүртээмжийг биш пакетийн хэмжээг харах хүртэл програмын асуудал мэт уншигддаг. Жижиг ping амжилттай болсон нь бүрэн хэмжээний хариултын талаар маш бага зүйлийг нотолдог.
Хасахын оронд хэмж
Замаар дайрч үлдэх хамгийн том датаграмыг ол. Дараа нь интерфэйсийн мэдээлдэг утгатай харьцуул:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Хариултууд ирэх хүртэл ping-ийн хэмжээг бууруулж, ажилладаг хамгийн том утгыг тухайн замын төсөв гэж үз. xfrm-ийн гаралт аль горим, аль алгоритм тохирсныг хэлдэг бөгөөд энэ нь аливаа шударга тооцооны оролт юм. Бичлэг нь утсан дээр ESP эсвэл UDP-д ороосон ESP байгаа эсэхийг баталж, NAT-ын асуудлыг таамаглахгүйгээр шийднэ.
Хяналтын хавтгайд ч нэг утга үлдээ. IKE гар барилтын пакетууд өгөгдлийн пакетуудаас өөр бүтэцтэй тул гар барилтын бичлэгээс гаргасан хэмжээ нь өгөгдлийн хавтгайн MTU биш.
Тоог зөв газарт нь тавь
Туннелээр дамжих TCP-ийн хувьд MSS хязгаарлалт нь ихэвчлэн хамгийн бага хөндлөнгөөс оролцсон хяналт юм, учир нь туннелийг өөрөө өөрчлөхгүйгээр төгсгөлүүдийн илгээдэг хэмжээг багасгадаг. Маршрутад суурилсан туннелийн хувьд туннелийн интерфэйсийн MTU-г санаатайгаар тогтоож, яагаад гэдгийг бичиж үлдээ. Хоёуланг нь зэрэг хийгээд дараа нь хэмжих нь аль нь тусалсан тухай юу ч хэлэхгүй.
Тохирсон горим, гадаад гэр бүл, NAT-ын төлөв ба давтагдах шинж тэмдгийг тасалбарт хамт хадгал. Бичигдсэн дөрвөн баримтын багц санаж үлдсэн тогтмолос илүү бөгөөд дараагийн клиент шинэчлэлтийг даван туулах цорын ганц хувилбар нь энэ юм.