Linux IPsec гарц дээр TCP MSS тохируулга: юуг засдаг вэ

Ping ажиллаж, SSH ажиллаж, жижиг хуудас ачаалагдаад, дараа нь том хариулт бүр хугацаа дуустал гацдаг. Сонгодог загвар нь хүртээмж биш, пакетын хэмжээг заадаг: зам нь гар барилт болон эхний хэдэн килобайтыг зөөж, дараа нь бүрэн хэмжээтэй сегмент алга болдог. Linux IPsec гарц дээр TCP MSS дүрэм ихэвчлэн шийдэл болдог, гэхдээ энэ нь юу өөрчлөхийг, мөн энэ нь хүрч буй пакет үнэндээ хаана байгааг ойлгосон тохиолдолд л. Доорх дараалал нь шинж тэмдгээс дүрмийн байрлал хүртэл пакетыг дагадаг тул тайлбар тохирохоо болих үед та зогсоож болно.

MSS-ийг сануулж буй шинж тэмдэг

TCP гар барилтын үеэр сегментийн дээд хэмжээг тохиролцдог. Хэрэв энэ утга нь капсулчлалын дараа зам зөөж чадахаас их байвал илгээгч хэзээ ч хүрэхгүй сегментүүдийг үргэлжлүүлэн үүсгэж, холболт эхний тойргийн дараа гацдаг. Жижиг хариултууд багтана; том нь багтахгүй.

ICMP-ийн эргэх мэдээлэл нь замын MTU-г илрүүлэх замаар холболтыг аварч чадах ба, эдгээр мессежийг хаядаг галт хана гацлыг чимээгүй хар нүх болгоно. Тиймээс ижил туннель нэг аппликейшнд ажиллаж, нөгөөд нь тохиргоонд ямар ч тодорхой ялгаагүйгээр бүтэлгүйтдэг.

TCPMSS дүрэм юу хийдэг, юу хийдэггүй

Дүрэм нь дайран өнгөрөх TCP гар барилтын пакетууд дахь MSS сонголтыг дахин бичдэг. Энэ нь туннелийн интерфэйсийн MTU-г тогтоодоггүй, IPsec бодлогыг өөрчилдөггүй, одоогийн цөм дээр зөвхөн зарласан утгыг бууруулдаг, аль хэдийн бага байгаа утгыг өсгөдөггүй. Мөн зөвхөн TCP-д хүрдэг; UDP ачаалал, DNS-ийн зан төлөв, тохиролцсон траффикийн сонгогчид түүний хүрээнээс гадуур.

Өөрчлөлт гар барилтын үеэр болдог тул дүрмээс өмнө тогтоосон одоо байгаа холболт хуучин утгаа хадгална. Шинэ холболтоор туршиж үзээд, өөрчлөлтийн дараах эхний оролдлого танд ямар нэг зүйл хэлэх оролдлого болно гэж хүлээгээрэй. Дүрэмд юу ч аль хэдийн нээлттэй холболтод хүрэхгүй. Тиймээс ослын дунд хэрэглэсэн засвар юу ч хийгээгүй мэт харагдаж болно.

Дүрмийг дотоод TCP зам дээр тавь

Бодлогод суурилсан Linux гарц дээр галт хана харах үед дамжуулсан пакет одоо ч энгийн TCP мэт харагдана. IPsec бодлого нь пакет хамгаалагдана гэж шийддэг; галт хана дотоод урсгалд ESP толгойг хардаггүй тул энд ESP-тэй тааруулах нь огт өөр пакетыг дүрсэлдэг. Энэ зөрүү нь зарим дүрэм зөв харагдаад хэзээ ч таарахгүй байх шалтгаан юм.

iptables-ийн утгаар дүрэм нь дамжуулах замын mangle хүснэгтэд хамаарах бөгөөд гар барилтын пакетаар хязгаарлагдана: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Тоо нь жишээ бөгөөд бүх нийтийн тогтмол биш; үүнийг капсулчлалын зардал болон замын бодит MTU-аас гарга. nftables-ийн эквивалент нь forward эсвэл postrouting хэлхээнд сегментийн дээд хэмжээг тогтоодог.

IKE болон ESP-ийн гадаад сонсох дүрмийг дотоод дамжуулах дүрмээс тусгаар байлга. Аппликейшны урсгал болон гадаад протоколыг хоёуланг нь зөвшөөрөхийг оролдсон нэг дүрэм эцэст нь хоёулантай нь найдвартай таарахгүй.

Галт хананы эзэн болон NAT-ийн дарааллыг хүндэтгэ

Хэрэв UFW хостын галт ханыг эзэмшдэг бол дараагийн дахин ачаалалтад алга болох командыг бичихийн оронд түүний дэмждэг байнгын тохиргоогоор mangle болон дамжуулалтын өөрчлөлтийг нэм. Буруу хүснэгтэд эсвэл эцсийн дүрмийн дараа оруулсан дүрэм ямар ч үр дүнгүй бөгөөд ажиллаж буй хүснэгт үүнийг танаас нуудаг.

Эх сурвалжийн орчуулга нь энэ шийдвэртэй ихэвчлэн харилцан үйлчилдэг тусдаа шийдвэр юм. Ерөнхий masquerade дүрмийн өмнө тавьсан үл хамаарах зүйл нь хамгаалагдсан траффик өөрийн бодлогын шаарддаг эх сурвалжаа алдахаас сэргийлдэг; энэ нь хэмжээний асуудлыг засдаггүй, харин хэмжээний дүрэм орчуулгын асуудлыг засдаггүй.

Нарийн шалга, дараа нь зогс

Бүтэлгүйтэж буй үйлчилгээнд шинэ холболт нээж, аппликейшн болон дүрмийн тоолуурыг хоёуланг нь ажигла. Хэрэв гацал арилвал тэр капсулчлалтай тэр TCP замын талаар танд нотолгоо байна. Бүх VPN протокол тохирдог, бүх UDP аппликейшн засагдсан, эсвэл тодорхой дээд урсгалын үйлчилгээ анхны шалтгаан байсан гэсэн нотолгоо танд байхгүй.

Бодлого зөвшөөрсөн газар ICMP-ийн хэмжээний эргэх мэдээлэл ажиллах болтугай, гадаад IPsec зам дотоод маршрутаар дүрслэгдээгүй үед маршрутын MTU-д суурилсан автомат хязгаарлалтыг болгоомжтой харьц. Дүгнэлт хэдий чинээ нарийн байна, дараагийн ослыг оношлох нь төдий чинээ хялбар.