د IPsec اضافي بار: حالت، NAT-T او الګوریتومونه ټول یې بدلوي
یو خپور شوی د اضافي بار شمېره یوه انکپسولیشن په یوه لار کې تشریح کوي. هغه سرلیکونه چې ستاسو تونل واقعاً پرې موافقه کوي یې جمع کړئ، بیا لاره وټاکئ.
په یو لارښود کې چېرې یوه شمېره ده، معمولاً د شپېتو او اتیا بایټونو ترمنځ، چې یو چا د انټرفېس MTU ترلاسه کولو لپاره له 1500 څخه کمه کړې وه۔ هغه شمېره یو ځانګړی انکپسولیشن په یوه ځانګړې لاره کې تشریح کوي۔ حالت، بهرنی پته کورنۍ، سایفر یا د NAT شتون بدل کړئ، او حساب نور ستاسو تونل ته نه تطبیقېږي۔
دا شمېره له بل تونل څخه راغلې وه
اضافي بار په انتزاعي مانا کې د IPsec ځانګړنه نه ده۔ دا د هغه پاکټ ځانګړنه ده چې واقعاً جوړېږي: موافقه شوې حالت، بهرنی سرلیک، د ساتنې سرلیک، ډکول، د بشپړتیا ساحه او شاید اضافي UDP پوښ۔
هغه شمېره چې د IPv4 سره او پرته له NAT د لیږد حالت لپاره یادېږي، د NAT تېرېدو لاندې د IPv6 سره تونل حالت څخه کوچنی پاکټ تشریح کوي۔ دواړه د خپل حالت لپاره سم دي۔ د دوی یو بل ځای ته کاپي کول هغه لار ده چې خلک داسې MTU ته رسېږي چې لوی لیږدونه ماتوي۔ ناکامي غلې ده، ځکه چې کوچنۍ غوښتنې کار کوي۔
هغه طبقې جمع کړئ چې واقعاً شته
له بهرني IP سرلیک څخه پیل کړئ او دننه لاړ شئ۔ په تونل حالت کې اصلي پاکټ دننه وي، نو بهرنی سرلیک اضافه ده نه بدله۔ RFC 4303 د ESP سرلیک، ډکول او هغه بشپړتیا معلومات تشریح کوي چې وروسته ترې راځي۔
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
له هغو کرښو څخه هیڅ یوه د ځای پرځای کولو ترمنځ ثابته نه ده، او د ډکولو کرښه حتی د یو ځای دننه هم ثابته نه ده۔ یو خپور شوی د اضافي بار شمېره چې ناامیده کوي، بشپړ دلیل همدا دی۔
دوه سایټونه کولای شي د یوې تونل په اړه اختلاف ولري
ساتل شوی پاکټ لاهم باید بهرنۍ لاره تېره کړي، او بهرنۍ لاره هر چېرې یو شان نه ده۔ د PPPoE لاسرسي لینک له پاک Ethernet برخې څخه لږ وړي۔ موبایل شبکه کولای شي نوره هم راټوله شي، او هغه وړونکی چې خپل ترافیک تونل کوي یو بل انکپسولیشن زیاتوي چې چا یاد نه کړ۔ هغه تونل چې په یوه لینک کار کوي او په بل کې ناکامېږي، دوهم لینک تشریح کوي، نه پروتوکول۔
دواړه لوري هم توپیر لرلای شي۔ نامساوي لار تاسو ته کاري اپلوډ او بند شوی ډاونلوډ درکولای شي، چې تر هغه پورې د اپلیکیشن ستونزه ښکاري چې پاکټونو اندازې ته وګورئ نه د لاسرسي وړتیا ته۔ کوچنی ping بریالي کېدل د بشپړ اندازې ځواب په اړه ډېر لږ ثابتوي۔
د کمولو پرځای اندازه وکړئ
تر ټولو لوی ډیټاګرام ومومئ چې له لارې ژوندی پاتې کېږي۔ بیا یې د هغه ارزښت سره پرتله کړئ چې انټرفېس راپور ورکوي:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
د ping اندازه راکمه کړئ تر څو ځوابونه راشي، او تر ټولو لوی کاري ارزښت د هغې لارې بودیجه وګڼئ۔ د xfrm محصول وایي کوم حالت او کوم الګوریتومونه موافقه شوي، او همدا د هرې رښتینې محاسبې ننوتنه ده۔ نیول تاییدوي چې په تار کې ESP دی که په UDP کې نغښتی ESP، او دا د NAT پوښتنه پرته له اټکل حل کوي۔
د کنټرول طبقې لپاره هم یوه ارزښت وساتئ۔ د IKE د لاس ورکولو پاکټونه بېله جوړښت لري له معلوماتي پاکټونو، نو هغه اندازه چې د لاس ورکولو له نیول څخه ترلاسه شوې د معلوماتي طبقې MTU نه ده۔
شمېره په خپل ځای کې کېږدئ
د تونل له لارې TCP لپاره، د MSS محدودول اکثره تر ټولو لږ لاسوهنه کوونکی کنټرول دی، ځکه چې هغه څه کموي چې سرونه یې لیږي پرته له دې چې پخپله تونل بدل کړي۔ د لارې پر بنسټ تونل لپاره، د تونل انټرفېس MTU په قصد وټاکئ او ولیکئ چې ولې۔ دواړه یوځای کول او بیا اندازه کول تاسو ته هېڅ معلومات نه درکوي چې کوم یو مرسته وکړه۔
په ټکټ کې موافقه شوې حالت، بهرنۍ کورنۍ، د NAT حالت او بیا تولیدېدونکی نښه یوځای وساتئ۔ د څلورو حقیقتونو ثبت شوې ټولګه پر یاد شوي ثابت برلاسې ده، او تر راتلونکي کلاینټ پرمختګ پورې ژوندی پاتې کېدونکی یوازینی نسخه همدا ده۔