Hagaajinta MSS ee TCP ee gateway Linux IPsec: maxay hagaajisaa

Ping way shaqeeyaan, SSH way shaqeeyaan, bog yar waa la rarayaa, ka dibna jawaab kasta oo weyn way istaagtaa ilaa waqtigu dhammaado. Qaabka caadiga ah wuxuu tilmaamayaa cabbirka baakadda halkii uu tilmaami lahaa gaaritaanka: jidku wuxuu qaadaa gacan-qaadka iyo dhowr kilobyte ee ugu horreeya, ka dib qayb cabbir buuxa ah way luntay. Gateway Linux IPsec ah, qaanuunka TCP MSS ayaa inta badan xalka ah, laakiin kaliya haddii aad fahanto waxa uu beddelo iyo halka baakadda uu taabto ay runtii ku taal. Nidaamka hoose wuxuu raacaa baakadda laga bilaabo calaamadda ilaa meelaynta qaanuunka, si aad u joojiso isla markii sharaxaaddu aanay mar dambe ku habboonayn.

Calaamadda soo jeedinaysa MSS

TCP waxay gacan-qaadka ka wada-hadashaa cabbirka ugu badan ee qaybta. Haddii qiimahaasi ka weyn yahay waxa jidku qaadi karo ka dib duubista, diraha wuxuu sii wadaa soo saarista qaybo aan waligood imanayn, xiriirka na wuu istaagaa ka dib wareeggii ugu horreeyay. Jawaabaha yaryar way galaan; kuwa waaweyn ma galaan.

Jawaab-celinta ICMP waxay badbaadin kartaa xiriirka iyada oo loo marayo ogaanshaha MTU ee jidka, dab-demiska tuuraya fariimahaasna wuxuu istaagga u beddelaa god madow oo aamusan. Taasi waa sababta isla tunnel-ka uu ugu shaqeeyo hal abka oo ugu guuldarraysto mid kale iyada oo aan lahayn farqi cad oo habaynta ah.

Waxa qaanuunka TCPMSS sameeyo iyo waxa aanu sameyn

Qaanuunka wuxuu dib u qoraa ikhtiyaarka MSS ee baakadaha gacan-qaadka TCP marka ay gudbayaan. Ma dejiyo MTU ee interface-ka tunnel-ka, ma beddelo siyaasadda IPsec, iyo kernel-yada hadda jira wuxuu kaliya hoos u dhigaa qiime la shaaciyay halkii uu kor u qaadi lahaa mid hore uga yar. Sidoo kale wuxuu taabtaa oo kaliya TCP; culayska UDP, habdhaqanka DNS iyo doorashooyinka taraafikada ee la wada-hadlay waxay ka baxsan yihiin awooddiisa.

Sababtoo ah isbeddelku wuxuu dhacaa inta lagu jiro gacan-qaadka, xiriirka jira ee la aasaasay ka hor qaanuunka wuxuu hayaa qiimihiisii hore. Ku tijaabi xiriir cusub, oo filo in isku-daygii ugu horreeyay ka dib isbeddelka uu yahay kan wax kuu sheegaya. Waxba qaanuunka dhexdiisa ma gaaro xiriir hore u furan. Taasi waa sababta hagaajin lagu dabaqay bartamaha dhacdo ay u ekaan karto mid aan waxba qaban.

Qaanuunka dhig jidka TCP gudaha

Gateway Linux ku saleysan siyaasad, baakadda la gudbiyay waxay weli u ekaanaysaa TCP caadi ah marka dab-demiska uu arko. Siyaasadda IPsec waxay go'aansanaysaa in baakadda la ilaalin doono; dab-demiska ma arko cinwaanka ESP ee socodka gudaha, sidaas darteed isbarbardhigga ESP halkan wuxuu qeexayaa baakad gebi ahaan kale. Ismaandhaafkaas ayaa sabab u ah in qaanuunno qaar u ekaadaan sax oo aan waligood is waafajin.

Marka la eego iptables, qaanuunka wuxuu ka tirsan yahay shaxda mangle ee jidka gudbinta, oo ku xaddidan baakadaha gacan-qaadka: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Lambarku waa tusaale, ma aha joogto caalami ah; ka soo saar kharashka duubista iyo MTU-dhabta ah ee jidka. U-dhigga nftables wuxuu dejiyaa cabbirka ugu badan ee qaybta silsiladda forward ama postrouting.

Kala sooc qaanuunnada dhegeysiga dibadda ee IKE iyo ESP qaanuunnada gudbinta gudaha. Hal qaanuun oo isku dayaya inuu oggolaado socodka abka iyo borotokoolka dibaddaba, ugu dambayntii si lagu kalsoonaan karo uma waafajiyo midkoodna.

Ixtiraam milkiilaha dab-demiska iyo nidaamka NAT

Haddii UFW uu leeyahay dab-demiska martida, ku dar isbeddellada mangle iyo gudbinta iyada oo loo marayo habayntiisa joogtada ah ee la taageeray halkii aad ku qori lahayd amarro ka maqnadaan soo-rorashada xigta. Qaanuun lagu geliyay shaxda qaldan ama ka dib qaanuun kama dambays ah ma laha wax saameyn ah, shaxda noolna taas way kaa qarinaysaa.

Turjumaadda isha waa go'aan gaar ah oo inta badan la falgala kan. Ka-taxaddur la dhigay ka hor qaanuun masquerade guud wuxuu ka hortagaa in taraafikada la ilaaliyay ay lumiso isha ay siyaasaddeeda u baahan tahay; ma hagaajiso dhibaatada cabbirka, qaanuunka cabbirkuna ma hagaajiyo dhibaatada turjumaadda.

Si cidhiidhi ah u xaqiiji, ka dib jooji

Fur xiriir cusub oo ku wajahan adeegga guuldarraysta oo fiiri abka iyo tiriyayaasha qaanuunka labadaba. Haddii istaaggu tago, waxaad haysataa caddayn ku saabsan jidkaas TCP oo leh duubistaas. Ma haysato caddayn in borotokool kasta oo VPN uu ku habboon yahay, in ab kasta oo UDP la hagaajiyay, ama in adeeg gaar ah oo kor ku yaal uu ahaa sababta asalka ah.

U daa jawaab-celinta cabbirka ICMP inay shaqeyso meesha siyaasaddu u oggolaato, oo si taxadar leh ula macaamil hagaajinta otomaatiga ah ee ku saleysan MTU ee waddada marka jidka dibadda ee IPsec aanu u taagnayn jidka gudaha. Inta gabagabada cidhiidhi ah, ayaa dhacdada xigta ay fududahay in la baaro.