Aġġustament tal-MSS tat-TCP fuq gateway Linux IPsec: x'jissewwa

Il-ping jaħdem, l-SSH jaħdem, paġna żgħira titgħabba, u mbagħad kull tweġiba kbira tieqaf sakemm jiskadi l-ħin. Il-mudell klassiku jindika lejn id-daqs tal-pakkett u mhux lejn l-aċċessibbiltà: il-passaġġ iġorr il-handshake u l-ewwel ftit kilobytes, imbagħad segment ta' daqs sħiħ jisparixxi. Fuq gateway Linux IPsec, regola TCP MSS spiss tkun is-soluzzjoni, imma biss jekk tifhem x'tibdel u fejn fil-fatt jinsab il-pakkett li tmiss. L-ordni hawn taħt issegwi l-pakkett mis-sintomu sal-post tar-regola, sabiex tkun tista' tieqaf hekk kif l-ispjegazzjoni ma tibqax taqbel.

Is-sintomu li jissuġġerixxi MSS

It-TCP jinnegozja daqs massimu tas-segment fil-handshake. Jekk dak il-valur ikun akbar minn dak li l-passaġġ jista' jġorr wara l-inkapsulament, min jibgħat ikompli jipproduċi segmenti li qatt ma jaslu, u l-konnessjoni tieqaf wara l-ewwel dawra. Tweġibiet żgħar jaqblu; kbar le.

Il-feedback tal-ICMP jista' jsalva l-konnessjoni permezz tal-iskoperta tal-MTU tal-passaġġ, u firewall li jwarrab dawk il-messaġġi jbiddel il-waqfien f'toqba sewda siekta. Għalhekk l-istess tunnel jaħdem għal applikazzjoni waħda u jfalli għal oħra mingħajr ebda differenza ovvja fil-konfigurazzjoni.

X'tagħmel regola TCPMSS u x'ma tagħmilx

Ir-regola terġa' tikteb l-għażla MSS fil-pakketti tal-handshake tat-TCP waqt li jgħaddu. Ma tistabbilixxix l-MTU tal-interface tat-tunnel, ma tibdilx il-politika tal-IPsec, u fuq il-kernels attwali tonqos biss valur imħabbar minflok ma tgħolli wieħed li diġà huwa iżgħar. Tmiss ukoll biss it-TCP; it-tagħbijiet UDP, l-imġiba tad-DNS u s-seletturi tat-traffiku nnegozjati huma barra mill-portata tagħha.

Billi l-bidla sseħħ waqt il-handshake, konnessjoni eżistenti li nbniet qabel ir-regola żżomm il-valur antik tagħha. Ipprova b'konnessjoni ġdida, u stenna li l-ewwel attentat wara l-bidla jkun dak li jgħidlek xi ħaġa. Xejn fir-regola ma jasal għal konnessjoni li diġà hija miftuħa. Għalhekk tiswija applikata f'nofs inċident tista' tidher bħallikieku ma għamlet xejn.

Qiegħed ir-regola fuq il-passaġġ TCP intern

Fuq gateway Linux ibbażat fuq il-politika, il-pakkett mgħoddi għadu jidher bħal TCP ordinarju meta l-firewall jarah. Il-politika tal-IPsec tiddeċiedi li l-pakkett se jkun protett; il-firewall ma jarax intestatura ESP għall-fluss intern, għalhekk it-tqabbil ma' ESP hawn jiddeskrivi pakkett kompletament differenti. Dak in-nuqqas ta' qbil huwa r-raġuni għaliex xi regoli jidhru korretti u qatt ma jaqblu.

F'termini ta' iptables, ir-regola tappartjeni għat-tabella mangle fuq il-passaġġ tal-għoti, limitata għall-pakketti tal-handshake: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. In-numru huwa eżempju, mhux kostanti universali; ġibtu mill-overhead tal-inkapsulament u mill-MTU reali tal-passaġġ. Ekwivalenti ta' nftables jistabbilixxi d-daqs massimu tas-segment f'katina forward jew postrouting.

Żomm ir-regoli tas-smigħ esterni għall-IKE u l-ESP separati mir-regoli tal-għoti interni. Regola waħda li tipprova tawtorizza kemm il-fluss tal-applikazzjoni kif ukoll il-protokoll estern fl-aħħar ma taqbel b'mod affidabbli ma' ebda waħda minnhom.

Irrispetta s-sid tal-firewall u l-ordni tan-NAT

Jekk l-UFW jippossjedi l-firewall tal-host, żid il-bidliet tal-mangle u tal-għoti permezz tal-konfigurazzjoni persistenti appoġġata tiegħu minflok ma tittajpja kmand li jisparixxi fir-rikgħa li jmiss. Regola mdaħħla fit-tabella ħażina jew wara regola terminali ma għandha l-ebda effett, u t-tabella ħajja taħbi dan minnek.

It-traduzzjoni tas-sors hija deċiżjoni separata li spiss tinteraġixxi ma' din. Eżenzjoni mqiegħda qabel regola ġenerali ta' masquerade żżomm it-traffiku protett milli jitlef is-sors li teħtieġ il-politika tiegħu; ma ssewwix problema ta' daqs, u regola tad-daqs ma ssewwix problema ta' traduzzjoni.

Ivverifika b'mod dejjaq, imbagħad waqaf

Iftaħ konnessjoni ġdida mas-servizz li qed jfalli u osserva kemm l-applikazzjoni kif ukoll il-kontaturi tar-regola. Jekk il-waqfien jgħib, għandek evidenza dwar dak il-passaġġ TCP b'dak l-inkapsulament. M'għandekx evidenza li kull protokoll VPN jaqbel, li kull applikazzjoni UDP ġiet imsewwija, jew li servizz partikolari 'l fuq kien il-kawża oriġinali.

Ħalli l-feedback tad-daqs tal-ICMP jaħdem fejn il-politika tippermetti, u ttratta b'attenzjoni l-aġġustament awtomatiku bbażat fuq l-MTU tar-rotta meta l-passaġġ IPsec estern mhuwiex rappreżentat mir-rotta interna. Iktar ma tkun dejqa l-konklużjoni, iktar ikun faċli li tiġi dijanjostikata l-inċident li jmiss.