IPsec අතිරික්තය: මාදිලිය, NAT-T සහ ඇල්ගොරිතම සියල්ලම එය වෙනස් කරයි
ප්‍රකාශිත එක් අතිරික්ත සංඛ්‍යාවක් එක් මාර්ගයක එක් කැප්සියුලනයක් පමණක් විස්තර කරයි. ඔබේ ටනලය සැබවින්ම සාකච්ඡා කරන ශීර්ෂක එකතු කරන්න, පසුව මාර්ගය මනින්න.
කිසියම් මාර්ගෝපදේශයක කොතැනක හෝ සංඛ්‍යාවක් ඇත, සාමාන්‍යයෙන් හැට සහ අසූ බයිට් අතර, යමෙකු එය 1500 න් අඩු කර අතුරුමුහුණත් MTU ලබා ගත්තේ ය. එම සංඛ්‍යාව එක් නිශ්චිත මාර්ගයක එක් නිශ්චිත කැප්සියුලනයක් විස්තර කරයි. මාදිලිය, පිටත ලිපින පවුල, සයිෆරය හෝ NAT තිබීම වෙනස් කරන්න, එවිට ගණිතය තවදුරටත් ඔබේ ටනලයට අදාළ නොවේ.
එම සංඛ්‍යාව පැමිණියේ වෙනත් ටනලයකින්
අතිරික්තය අමූර්ත අර්ථයෙන් IPsec හි ගුණාංගයක් නොවේ. එය සැබවින්ම ගොඩනැගෙන පැකට්ටුවේ ගුණාංගයකි: එකඟ වූ මාදිලිය, පිටත ශීර්ෂකය, ආරක්ෂණ ශීර්ෂකය, පිරවීම, අඛණ්ඩතා ක්ෂේත්‍රය සහ සමහරවිට අමතර UDP ආවරණයක්.
IPv4 සමඟ සහ NAT නොමැතිව ප්‍රවාහන මාදිලිය සඳහා දක්වන සංඛ්‍යාව, NAT තරණය යටතේ IPv6 සහිත ටනල මාදිලියට වඩා කුඩා පැකට්ටුවක් විස්තර කරයි. දෙකම තම අවස්ථාවට නිවැරදි ය. ඉන් එකක් වෙනත් යෙදවීමකට පිටපත් කිරීම තමයි මිනිසුන් විශාල මාරු කිරීම් බිඳින MTU එකකට පැමිණෙන මාර්ගය. කුඩා ඉල්ලීම් දිගටම ක්‍රියා කරන බැවින් අසාර්ථකත්වය නිහඬ ය.
සැබවින්ම ඇති ස්තර එකතු කරන්න
පිටත IP ශීර්ෂකයෙන් පටන් ගෙන ඇතුළට යන්න. ටනල මාදිලියේ මුල් පැකට්ටුව ඇතුළත ඇත, එබැවින් පිටත ශීර්ෂකය ප්‍රතිස්ථාපනයක් නොව එකතු කිරීමකි. RFC 4303 ESP ශීර්ෂකය, පිරවීම සහ ඉන් පසු එන අඛණ්ඩතා දත්ත විස්තර කරයි.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
එම පේළි කිසිවක් යෙදවීම් අතර ස්ථීර නොවේ, පිරවීමේ පේළිය එක් යෙදවීමක් තුළ පවා ස්ථීර නොවේ. ප්‍රකාශිත එක් අතිරික්ත සංඛ්‍යාවක් කලකිරවන්නේ එබැවිනි.
එකම ටනලය ගැන අඩවි දෙකක් එකඟ නොවිය හැක
ආරක්ෂිත පැකට්ටුව තවමත් පිටත මාර්ගය තරණය කළ යුතු අතර, පිටත මාර්ගය සෑම තැනකම එකම නොවේ. PPPoE ප්‍රවේශ සබැඳියක් පිරිසිදු Ethernet කොටසකට වඩා අඩුවෙන් ගෙන යයි. ජංගම ජාලයක් තවදුරටත් හැකිළිය හැක, සහ තමන්ගේම ගමනාගමනය ටනල් කරන සේවා සපයන්නෙක් කිසිවෙකු සඳහන් නොකළ තවත් කැප්සියුලනයක් එකතු කරයි. එක් සබැඳියක වැඩ කර අනෙකක අසාර්ථක වන ටනලය දෙවන සබැඳිය විස්තර කරයි, ප්‍රොටෝකෝලය නොවේ.
දිශා දෙකම ද වෙනස් විය හැක. අසමමිතික මාර්ගයක් ඔබට වැඩ කරන උඩුගත කිරීමක් සහ නතර වූ පහළ බාගැනීමක් ලබා දිය හැක, එය ළඟා විය හැකියාව වෙනුවට පැකට්ටු ප්‍රමාණ දෙස බලන තෙක් යෙදුම් ගැටලුවක් ලෙස කියවේ. කුඩා ping එකක් සාර්ථක වීම සම්පූර්ණ ප්‍රමාණයේ ප්‍රතිචාරයක් ගැන ඉතා අල්පයක් ඔප්පු කරයි.
අඩු කිරීම වෙනුවට මනින්න
මාර්ගයෙන් ඉතිරි වන විශාලතම ඩේටාග්‍රෑමය සොයන්න. පසුව අතුරුමුහුණත වාර්තා කරන අගය සමඟ එය සසඳන්න:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
පිළිතුරු එන තෙක් ping ප්‍රමාණය අඩු කරන්න, සහ වැඩ කරන විශාලතම අගය එම මාර්ගයේ අයවැය ලෙස සලකන්න. xfrm ප්‍රතිදානය කියන්නේ කුමන මාදිලිය සහ කුමන ඇල්ගොරිතම එකඟ වුණාද කියා ය, එය ඕනෑම අවංක ගණනය කිරීමක ආදානයයි. ග්‍රහණය තහවුරු කරන්නේ රැහැනේ ESP ද නැතහොත් UDP තුළ ඔතා ඇති ESP ද කියා ය, එයින් NAT ප්‍රශ්නය අනුමානයකින් තොරව විසඳේ.
පාලන තලය සඳහා ද එක් අගයක් වෙන් කරන්න. IKE අතට අත දීමේ පැකට්ටුවලට දත්ත පැකට්ටුවලට වඩා වෙනස් ව්‍යුහයක් ඇත, එබැවින් අතට අත දීමේ ග්‍රහණයකින් ලබා ගන්නා ප්‍රමාණය දත්ත තලයේ MTU නොවේ.
සංඛ්‍යාව එයට අයත් තැන තබන්න
ටනලයක් හරහා TCP සඳහා, MSS සීමාව බොහෝ විට අවම බාධාකාරී පාලනයයි, එය ටනලයම වෙනස් නොකර කෙළවරවල් යවන දේ අඩු කරන බැවිනි. මාර්ග පාදක ටනලයක් සඳහා, ටනල අතුරුමුහුණතේ MTU එක හිතාමතා සකසා ඇයි කියා ලේඛනගත කරන්න. දෙකම එකවර කර පසුව මැනීමෙන් කුමක් උපකාර වුණාද යන්න ගැන ඔබට කිසිදු තොරතුරක් නොලැබේ.
ටිකට්පතේ එකඟ වූ මාදිලිය, පිටත පවුල, NAT තත්ත්වය සහ නැවත උත්පාදනය කළ හැකි රෝග ලක්ෂණය එකට තබන්න. වාර්තා කළ කරුණු හතරක කට්ටලයක් මතක තබාගත් නියතයක් පරදවයි, සහ ඊළඟ සේවාලාභී උත්ශ්‍රේණි කිරීම දක්වා ඉතිරි වන එකම අනුවාදය මෙයයි.