Linux IPsec ගේට්වේ එකේ TCP MSS සැකසීම: එය අලුත්වැඩියා කරන්නේ කුමක්ද

Ping ක්‍රියා කරයි, SSH ක්‍රියා කරයි, කුඩා පිටුවක් පූරණය වේ, පසුව සෑම විශාල ප්‍රතිචාරයක්ම කාලය ඉකුත් වන තෙක් සිරවේ. සම්භාව්‍ය රටාව ප්‍රවේශ්‍යතාව නොව පැකට් විශාලත්වය පෙන්වා දෙයි: මාර්ගය හස්ත සම්පර්කය සහ පළමු කිලෝබයිට් කිහිපය රැගෙන යයි, පසුව පූර්ණ ප්‍රමාණයේ කොටසක් අතුරුදහන් වේ. Linux IPsec ගේට්වේ එකේ TCP MSS රීතිය බොහෝ විට විසඳුමයි, නමුත් එය කුමක් වෙනස් කරයිද සහ එය ස්පර්ශ කරන පැකට්ටුව ඇත්තෙන්ම කොහේද යන්න ඔබ තේරුම් ගත්තොත් පමණි. පහත අනුපිළිවෙල රෝග ලක්ෂණයේ සිට රීතියේ ස්ථානගත කිරීම දක්වා පැකට්ටුව අනුගමනය කරයි, එබැවින් පැහැදිලි කිරීම නොගැළපෙන විට ඔබට නැවතීම කළ හැක.

MSS යෝජනා කරන රෝග ලක්ෂණය

TCP හස්ත සම්පර්කයේදී උපරිම කොටස් ප්‍රමාණයක් ගැන සාකච්ඡා කරයි. එම අගය එන්කැප්සුලේෂන් පසු මාර්ගයට රැගෙන යා හැකි ප්‍රමාණයට වඩා විශාල නම්, යවන්නා කිසිදා නොපැමිණෙන කොටස් සෑදීම දිගටම කරගෙන යයි, පළමු වටයෙන් පසු සම්බන්ධතාව සිරවේ. කුඩා ප්‍රතිචාර ගැළපේ; විශාල ඒවා නොගැළපේ.

ICMP ප්‍රතිපෝෂණය මාර්ගයේ MTU සොයා ගැනීම හරහා සම්බන්ධතාව බේරා ගත හැක, එම පණිවිඩ ඉවත දමන ෆයර්වෝලයක් සිරවීම නිහඬ කළු කුහරයක් බවට පත් කරයි. එබැවින් එකම ටනලය එක් යෙදුමකට ක්‍රියා කර තවත් එකකට වින්‍යාසයේ පැහැදිලි වෙනසක් නොමැතිව අසාර්ථක වේ.

TCPMSS රීතිය කරන දේ සහ නොකරන දේ

රීතිය ගමන් කරන TCP හස්ත සම්පර්ක පැකට්වල MSS විකල්පය නැවත ලියයි. එය ටනල අතුරුමුහුණතේ MTU සකසන්නේ නැත, IPsec ප්‍රතිපත්තිය වෙනස් නොකරයි, සහ වර්තමාන කර්නලවල දැනටමත් කුඩා අගයක් ඉහළ නැංවීම වෙනුවට ප්‍රකාශිත අගයක් පහත හෙළයි. එය TCP ස්පර්ශ කරන්නේ පමණි; UDP භාර, DNS හැසිරීම සහ සාකච්ඡා කළ රථවාහන තේරීම් එහි විෂය පථයෙන් පිටත ය.

වෙනස හස්ත සම්පර්කය අතරතුර සිදුවන බැවින්, රීතියට පෙර ස්ථාපිත පවතින සම්බන්ධතාව එහි පැරණි අගය රඳවා ගනී. නව සම්බන්ධතාවකින් පරීක්ෂා කරන්න, සහ වෙනසට පසු පළමු උත්සාහය ඔබට යමක් කියන උත්සාහය වනු ඇතැයි අපේක්ෂා කරන්න. රීතියේ කිසිවක් දැනටමත් විවෘත සම්බන්ධතාවකට ළඟා නොවේ. එබැවින් සිදුවීමක මැදින් යොදන ලද නිවැරදි කිරීම කිසිවක් නොකළ බවක් පෙනිය හැක.

රීතිය අභ්‍යන්තර TCP මාර්ගයේ තබන්න

ප්‍රතිපත්ති පාදක Linux ගේට්වේ එකක, ෆයර්වෝලය දකින විට යවන ලද පැකට්ටුව තවමත් සාමාන්‍ය TCP ලෙස පෙනේ. IPsec ප්‍රතිපත්තිය තීරණය කරන්නේ පැකට්ටුව ආරක්ෂා වන බවයි; ෆයර්වෝලය අභ්‍යන්තර ප්‍රවාහය සඳහා ESP ශීර්ෂයක් නොදකී, එබැවින් මෙහි ESP සමඟ ගැළපීම සම්පූර්ණයෙන්ම වෙනස් පැකට්ටුවක් විස්තර කරයි. එම නොගැළපීම නිසාම සමහර රීති නිවැරදි ලෙස පෙනී කිසිදා නොගැළපේ.

iptables යෙදුම්වලින් රීතිය යැවීමේ මාර්ගයේ mangle වගුවට අයත් වන අතර හස්ත සම්පර්ක පැකට්වලට සීමා වේ: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. සංඛ්‍යාව උදාහරණයකි, සාර්වත්‍ර නියතයක් නොවේ; එය එන්කැප්සුලේෂන් අධිභාරයෙන් සහ මාර්ගයේ සැබෑ MTU එකෙන් ලබා ගන්න. nftables සමානය forward හෝ postrouting දාමයේ උපරිම කොටස් ප්‍රමාණය සකසයි.

IKE සහ ESP සඳහා බාහිර සවන්දීමේ රීති අභ්‍යන්තර යැවීමේ රීතිවලින් වෙන් කර තබන්න. යෙදුම් ප්‍රවාහය සහ බාහිර ප්‍රොටෝකෝලය යන දෙකම අනුමත කිරීමට උත්සාහ කරන එකම රීතියක් අවසානයේ දෙකම සමඟ විශ්වාසදායක ලෙස නොගැළපේ.

ෆයර්වෝලයේ හිමිකරු සහ NAT අනුපිළිවෙල ගරු කරන්න

UFW හෝස්ට් ෆයර්වෝලයේ හිමිකරු නම්, ඊළඟ නැවත පූරණයේදී අතුරුදහන් වන විධානයක් ටයිප් කරනවා වෙනුවට එහි ආධාරක ස්ථිර වින්‍යාසය හරහා mangle සහ යැවීමේ වෙනස්කම් එක් කරන්න. වැරදි වගුවක හෝ අවසාන රීතියකට පසුව ඇතුළත් කළ රීතියකට කිසිදු බලපෑමක් නැත, සහ සජීවී වගුව එය ඔබෙන් සඟවයි.

මූලාශ්‍ර පරිවර්තනය බොහෝ විට මෙය සමඟ අන්තර්ක්‍රියා කරන වෙනම තීරණයකි. සාමාන්‍ය masquerade රීතියට පෙර තබන ලද නිදහසක් ආරක්ෂිත රථවාහනයට එහි ප්‍රතිපත්තිය ඉල්ලා සිටින මූලාශ්‍රය අහිමි වීම වළක්වයි; එය ප්‍රමාණ ගැටලුවක් අලුත්වැඩියා නොකරයි, සහ ප්‍රමාණ රීතියක් පරිවර්තන ගැටලුවක් අලුත්වැඩියා නොකරයි.

පටු ලෙස තහවුරු කරන්න, පසුව නවතින්න

අසාර්ථක සේවාවට නව සම්බන්ධතාවක් විවෘත කර යෙදුම සහ රීතියේ ගණන් කරන දෙකම නිරීක්ෂණය කරන්න. සිරවීම ඉවත් වුවහොත්, එම එන්කැප්සුලේෂන් සමඟ එම TCP මාර්ගය ගැන ඔබට සාක්ෂි ඇත. සෑම VPN ප්‍රොටෝකෝලයක්ම ගැළපේ, සෑම UDP යෙදුමක්ම අලුත්වැඩියා වී ඇත, හෝ නිශ්චිත උඩුගං බල සේවාවක් මුල් හේතුව විය යන සාක්ෂි ඔබට නැත.

ප්‍රතිපත්තිය අවසර දෙන තැන ICMP ප්‍රමාණ ප්‍රතිපෝෂණය ක්‍රියා කිරීමට ඉඩ දෙන්න, සහ බාහිර IPsec මාර්ගය අභ්‍යන්තර මාර්ගයෙන් නිරූපණය නොවන විට මාර්ග-MTU පාදක ස්වයංක්‍රීය සීමා කිරීම ප්‍රවේශමෙන් හසුරුවන්න. නිගමනය වඩාත් පටු වන තරමට, ඊළඟ සිදුවීම රෝග විනිශ්චය කිරීම වඩාත් පහසුය.