MSS clamping ee gateway VPN: waxa ay hagaajiso iyo waxa aanay hagaajin

Codsiga yaryar way shaqeeyaan, soo dejinta waaweyn way istaagaan, qofna wuxuu soo jeediyaa MSS clamping. Soo jeedintaas waa sax inta badan ku filan in la isku dayo si kala-horeyn ah, waana khalad inta badan ku filan in galab la lumiyo haddii si indho-la'aan ah loo adeegsado. Saddexda hubin ee hoose waxay kala soocaan dhibaatada dhabta ah ee cabbirka TCP iyo dhibaatada UDP, iyo helitaanka path-MTU oo xumaatay, iyo clamp aan marnaba arkin handshake-ka ay tahay inuu dib u qoro.

Ka bilow qaabka guuldarada

Guuldarada cabbirku waxay leedahay saxeex: xiriirku wuu dhismaa, xaqiijinta iyo jawaabaha yaryar way guulaystaan, ka dibna wareejintu waxay istaagtaa waqti aan la cayimin marka ay u baahan tahay segment cabbir buuxa. Bogagga soo raraya qoraalka laakiin aan marnaba dhamaystirin sawirka waa isla guuldaradaas miisaan yar. Haddii aanay waxba isku xirmin, dhibaatadu waxay ka horeysaa jidka oo clamping ma caawinayso. Clamp ma hagaajin karo handshake aan marnaba iman.

Saxeexu wuxuu jiraa sababtoo ah handshake-ka ayaa ah meesha lagu heshiiyo cabbirka segment-ka. Qolo kastaa waxay ku dhawaaqdaa cabbirka ugu badan ee segment-ka sida xulasho TCP, diraayana waxay ixtiraamaan dhawaaqa dhinaca kale. Haddii jidku aanu qaadi karin segment intaas u weyn, guuldaradu waxay soo baxdaa markii dambe, marka diraahu ugu danbayn tijaabiyo mid.

Hayso gaadiidka aragtida inta aad akhrinayso calaamadaas. Clamping waa dib u qoris xulasho TCP, sidaas darteed wicitaan cod ama fiidiyow oo istaaga tunnel isku mid ah maaha dhibaato MSS oo kama wanaagsanaan doono. Qor gaadiidka ka hor inta aadan taaban xulasho TCP.

Qiimee jidka, ka dibna la barbardhig tunnel-ka

Laba tiro ayaa muhiim ah oo inta badan la khaldaa. path-MTU waa baakadda ugu weyn ee jidku qaado isagoon kala-goyn. MSS-ka lagu dhawaaqay IPv4 waa qiimahaas laga jaray 40 byte ee madaxyada IP iyo TCP, ama laga jaray 60 IPv6. Duubista tunnel-ka waxay cunaa qayb ka mid ah miisaaniyadda ka hor inta aan baakadda gudaha bilaaban.

ping -M do -s 1400 198.51.100.20
tracepath 198.51.100.20

Ping-ka leh bit-ka do-not-fragment wuxuu kuu sheegaa haddii baakad cabbirkaas xambaarsan ay noolaato; beddel cabbirka ilaa ay guuldareysato oo waxaad si tijaabo ah u heshay xadka jidka. Soo-saarista tracepath waxay soo sheegtaa MTU-ga laga helay jidka, taas oo ka dhaqso badan marka ay shaqeyso oo ka yar la isku halayn karo marka hop dhexe soo saaro baaritaannada.

Hadda ka jar kharashka tunnel-ka. Madaxa IP ee dibadda, madaxa UDP iyo madaxa tunnel-ka gaar u ah dhammaantood waxay ka soo baxaan isla 1500 byte, sidaas darteed MTU-ga gudaha ee la isticmaali karo ee saldhig Ethernet caadi ah wuu ka hooseeyaa waxa xiriirka jireed tilmaamayo. Haddii MTU-ga gudaha ee la xisaabiyay uu ka hooseeyo waxa ay sheegaan asxaabtaadu, waxaad heshay musharax clamp dhab ah ma aha qiyaas. Haddii qiimaha la xisaabiyay uu horey uga sarreeyo dhawaaqa asxaabta, halkan istaag oo meel kale fiiri.

Dhig clamp meesha handshake-ku maro

Clamp wuxuu shaqeeyaa isagoo dib u qoraya xulashada MSS ee baakadaha SYN iyo SYN-ACK marka ay gudbaan gateway-ga. Haddii qaanuunku ku yaal interface aan labada jiho midna marnaba gudbin, gorgortanku wuu dhammaadaa isagoon isbeddelin calaamaduna way sii jirtaa, sidaas darteed meelaynta ayaa natiijada go'aamisa ka badan qiimaha.

Jihada waa qaybta kale. Clamping hal jiho waxay hagaajisaa kala-badhka qulqulka waxayna ka tagtaa inta kale inay guuldareystaan si u eg muuqaal joogto ah, sidaas darteed ku dhaqan labada jiho ee taraafikada la gudbiyo. Qaabka Linux ee caadiga ah ee interface tunnel waa qaanuun mangle oo u dhigma baakadaha SYN:

iptables -t mangle -A FORWARD -o tun0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Ogow waxa --clamp-mss-to-pmtu dhab ahaan sameeyo: wuxuu qiimaha ka soo saaraa MTU-ga jidka, taas oo aan had iyo jeer ahayn miisaaniyadda xambaarsan ee dhabta ah ee tunnel-ka. Tunnel ku salaysan jidka halkaas oo jidka gudaha iyo jidka dibadda ay ku kala duwan yihiin, qiime cad oo lagu xisaabiyay hubinta hore ayaa ka saadaalin karo midka otomaatiga ah.

Ku xaqiiji xiriir cusub, oo jawaab-celinta nool hayso

Xiriir horey u dhisan wuxuu hayaa MSS-ka uu ka gorgortamay, sidaas darteed tijaabinta isla fadhiga waxba ma caddeyso. Fur xiriir cusub isbeddelka ka dib oo toos u akhri qiimaha la gorgortamay, halkii aad ka malayn lahayd wareejin si kadis ah u dhamaata.

ss -tin dst 198.51.100.20
iptables -t mangle -S | grep TCPMSS

Amarka kowaad wuxuu soo sheegaa MSS-ka socket-ka oo ay la socoto xaaladda ciriiriga, taas oo ah xaqiijinta ugu dhaqso badan ee clamp-ku saameeyay. Tan labaad waxay xaqiijinaysaa in qaanuunka aad u malaynayso inaad ku dartay uu yahay qaanuunka jira, shaxda lagu dhigay.

Ka dib ilaali habka aadan hagaajin. Helitaanka path-MTU wuxuu ku xiran yahay in fariimaha ICMP fragmentation-needed ay gaaraan diraaha, sidaas darteed firewall tuuraya waxay sii wadi doontaa inay jebiso wareejin waaweyn xitaa clamp sax ah. U oggolow fariimahaas jidka tunnel-ka, ama aqbal in clamping uu magdhow u yahay siyaasad aad adigu dooratay.

Ugu dambayn, ka hor istaag damaca ah in clamp-ka loo arko sida badhan hagaajin. Wuxuu xaddidaa cabbirka segment-ka, taas oo kharash ku ah wax-soo-saarka jidadka aan marnaba u baahnayn. Marka la adeegsado saddexda hubin ka dib waa dayactir bartilmaameed ah; marka marka hore la adeegsado waa isbeddel qariya cilladda asalka ah oo ku daraya doorsoome labaad tijaabo kasta oo dambe. Is-weydaarsigaas waa in si ula kac ah loo sameeyaa, ma aha si caadi ah.

Qor path-MTU-ga aad cabbirtay, kharashka tunnel-ka aad ka jartay, qaanuunka aad ku dartay iyo MSS-ka aad ka dib aragtay. Afar tiro ayaa dhacdada xigta ka dhigaya raadin halkii baaritaan.