L-ispiża żejda tal-IPsec: il-mod, in-NAT-T u l-algoritmi kollha jbiddluha
Ċifra waħda ppubblikata tal-ispiża żejda tiddeskrivi inkapsulament wieħed fuq triq waħda. Ġbor l-intestaturi li t-tunnel tiegħek tabilħaqq tinnegozja, imbagħad ikejjel it-triq.
Xi mkien fi gwida hemm numru, normalment bejn sittin u tmenin bajt, li xi ħadd naqas minn 1500 biex jikseb MTU tal-interfaċċa. Dak in-numru jiddeskrivi inkapsulament wieħed speċifiku fuq triq waħda speċifika. Ibdel il-mod, il-familja tal-indirizzi ta’ barra, iċ-ċifrar jew il-preżenza tan-NAT, u l-aritmetika ma tibqax tapplika għat-tunnel tiegħek.
In-numru ġie minn tunnel differenti
L-ispiża żejda mhix propjetà tal-IPsec b’mod astratt. Hija propjetà tal-pakkett li tassew jinbena: mod innegozjat, intestatura ta’ barra, intestatura ta’ protezzjoni, mili, qasam tal-integrità u forsi involukru UDP ieħor.
Ċifra mniżżla għall-mod tat-trasport bl-IPv4 u mingħajr NAT tiddeskrivi pakkett iżgħar mill-mod tat-tunnel bl-IPv6 taħt qsim tan-NAT. It-tnejn huma korretti għall-każ tagħhom. L-ikkupjar ta’ waħda minnhom f’implimentazzjoni differenti huwa kif in-nies jispiċċaw b’MTU li tkisser trasferimenti kbar. Il-falliment huwa sieket għax talbiet żgħar ikomplu jaħdmu.
Ġbor is-saffi li tassew hemm
Ibda mill-intestatura IP ta’ barra u mur ’il ġewwa. Fil-mod tat-tunnel il-pakkett oriġinali jinsab ġewwa, għalhekk l-intestatura ta’ barra hija żjieda u mhux sostituzzjoni. RFC 4303 tiddeskrivi l-intestatura ESP, il-mili u d-data tal-integrità li jiġu warajha.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
Ebda waħda minn dawk ir-ringieli mhix kostanti bejn implimentazzjonijiet, u r-ringiela tal-mili mhix kostanti lanqas ġewwa implimentazzjoni waħda. Din hija r-raġuni kollha għaliex ċifra waħda ppubblikata tal-ispiża żejda tiddiżappunta.
Żewġ siti jistgħu ma jaqblux dwar l-istess tunnel
Il-pakkett protett xorta jrid jaqsam it-triq ta’ barra, u t-triq ta’ barra mhix l-istess kullimkien. Konnessjoni ta’ aċċess PPPoE ġġorr inqas minn segment Ethernet nadif. Netwerk mobbli jista’ jiċċekken aktar, u fornitur li jittunnelja t-traffiku tiegħu stess iżid inkapsulament ieħor li ħadd ma semma. Tunnel li jaħdem fuq konnessjoni u jonqos fuq oħra qed jiddeskrivi t-tieni konnessjoni, mhux il-protokoll.
Iż-żewġ direzzjonijiet jistgħu wkoll ivarjaw. Rotta asimmetrika tista’ tagħtik upload li jaħdem u download li jieqaf, li jinqara bħala problema tal-applikazzjoni sakemm tħares lejn id-daqsijiet tal-pakketti minflok lejn l-aċċessabbiltà. Ping żgħir li jirnexxi jipprova ftit ħafna dwar risposta ta’ daqs sħiħ.
Ikejjel minflok tnaqqas
Sib l-akbar datagramma li tibqa’ ħajja mit-triq. Imbagħad qabbelha mal-valur li jirrapporta l-interfaċċa:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
Niżżel id-daqs tal-ping sakemm jaslu tweġibiet, u qis l-akbar valur li jaħdem bħala l-baġit għal dik it-triq. Il-ħruġ ta’ xfrm jgħidlek liema mod u liema algoritmi ġew innegozjati, u dak huwa l-input għal kull kalkolu onest. Il-qbid jikkonferma jekk fuq il-wajer hemmx ESP jew ESP imgeżwer fl-UDP, u dan isolvi l-kwistjoni tan-NAT mingħajr tbassir.
Warrab valur wieħed għall-pjan ta’ kontroll ukoll. Il-pakketti tal-idejn tal-IKE għandhom struttura differenti mill-pakketti tad-data, għalhekk daqs derivat minn qbid tal-idejn mhuwiex MTU tal-pjan tad-data.
Qiegħed in-numru fejn jixraqlu
Għat-TCP minn ġo tunnel, klem tal-MSS spiss huwa l-inqas kontroll invażiv, għax inaqqas dak li jibagħtu t-truf mingħajr ma jbiddel it-tunnel innifsu. Għal tunnel ibbażat fuq rotot, issettja l-MTU tal-interfaċċa tat-tunnel apposta u ddocumenta għaliex. Tagħmel it-tnejn flimkien u mbagħad tkejjel ma jagħtik ebda informazzjoni dwar liema għen.
Żomm flimkien fil-biljett il-mod innegozjat, il-familja ta’ barra, il-kundizzjoni tan-NAT u s-sintomu riproducibbli. Sett irreġistrat ta’ erba’ fatti jegħleb kostanti mfakkar, u din hija l-unika verżjoni ta’ dan li tibqa’ ħajja sal-aġġornament li jmiss tal-klijent.