Windows L2TP wuxuu rarayaa qaar ka mid ah goobaha: tirtir bit DF-ga pfSense

Laptop-ku wuu isku xiraa, shabakadda guduhu way rarataa, oo dhowr goobood oo dadweynaha ah way hakadaan. Xaqiijinta iyo dariiqa ayaa si cad u shaqeeya, taasoo sharraxaad ahaan uga dhigaysa cabbirka baakadda. Tunnel L2TP/IPsec ah MTU-ga la isticmaali karo wuu ka yar yahay kan adapter-ku weli ku dhawaaqayo, macaamilkuna wuxuu sii wadaa dirista baakado cabbir buuxa leh isagoo bit-ka «ha kala qaadin» daaran. Gateway pfSense waxaa la amri karaa inuu tirtiro bit-kaas, waana tan ugu dhaqso badan ee lagu xaqiijiyo ogaanshaha cudurka ka hor inta si sax ah loo hagaajin.

Ka bilow bogagga guuldarraysta

Ka hor inta aanad taaban wax dejinta ah, qor goobaha guuldarraysta iyo kuwa guulaysta. Gacan-qaadista ku hadha xadka tunnel-ka hoostiisa si caadi ah ayay dhammaystirmaan, halka wareejinta u baahan qayb cabbir buuxa ay badhtanka ku istaagto. Kala-baxaas waa sumadda dhibaato cabbir ah ee ma aha shaandheyn, sababtoo ah goob la xannibay waxay ku guuldarraysataa marka xiriirka la dhisayo ee ma aha badhtanka bogga. Labada indho-indheyn waxba ma kharash galiyaan oo si degdeg ah ayay baaritaanka u yareeyaan.

Ku tijaabi ping dejiya bit-ka oo xakameeya cabbirka culeyska. Culeyska ugu weyn ee soo gudba wuxuu kuu sheegaa MTU-ga dhabta ah ee dariiqa, qiimaha la dhawaaqay ee adapter-kuna wuxuu muujinayaa inta ay labadoodu kala fogaadaan.

Qor labada lambar. Hagaajintu waxay ku xiran tahay midka khaldan, labadaas oo ah waxa duubiddu mar dambe xaqiijinayso.

Waxa bit DF-ga sameeyo marka baxa

Sababta lambarrada u kala duwan yihiin waa duubid. IPsec waxay ku darsataa ESP, L2TP waxay ku darsataa madax kale, sidaas darteed tunnel-ku wuxuu qaadaa culeys ka yar kan xiriirka jirka ah. Windows weli wuxuu soo sheegaa 1500 bayt adapter-ka wuxuuna ku dhejiyaa «ha kala qaadin» waxa uu diraayo. Marka baakad sidan oo kale ah aysan gelin, jawaabta saxda ah ee gateway-ga waa farriin ICMP oo ka codsanaysa diraha inuu yaraado. Taasi waa sababta tunnel dhex mara ping yar uu weli ku guuldarraysan karo soo dejinta fayl.

Farriintaas inta badan waligeed ma timaado. Qeyb mar kasta ayaa laga yaabaa inay shaandheynayso ICMP, ama waxba ma soo saaraan, diraha wuxuuna ku celceliyaa isla cabbirka ilaa wareejintu iska dhiibto.

Aamusnaantu halkan waa soo-bandhig caadi ah, sidaas darteed calaamadda waxaa loo akhriyaa xannibaad doorasho ah. Waxba kuma qorno diiwaanka macaamilka farriin ICMP maqan.

Ikhtiyaarka pfSense, iyo waxa aanu samayn

Ikhtiyaarku wuxuu ku yaal bogga Nidaamka, Sare, Dab-damiska iyo NAT, isagoo leh calaamad «Tirtir bit-yada DF aan ansax ahayn halkii aad baakadaha tuuri lahayd». Halkii ay tuuri lahayd baakad aad u weyn oo sita calanka, shaandhuhu wuxuu ka saaraa calanka wuxuuna u oggolaanayaa baakadda in hoos loo qaybiyo. Baakad waxaa loo tiriyaa mid aan ansax ahayn marka aysan karin karin inay ka gudubto interface-ka baxa isla hal gobol.

Ikhtiyaarku wuxuu soo celiyaa isku-xirka isagoo aan taaban macaamilka, sidaas darteed waa caan. Waa sidoo kale marin-ku-meel-gaar: qaybintu waxay kharash gashataa CPU waxayna qayb kasta oo lumay ka dhigtaa mid qaali ah.

Waxay khusaysaa oo kaliya taraafikada la gudbiyo, ma khusayso taraafikada uu dab-damiska laftiisu abuuro. Isla boggu wuxuu bixiyaa «Dami nadiifinta dab-damiska», taasoo gebi ahaanba damisa caadiyeynta, taasina waa isbeddel aad uga ballaaran kan dhibaatadan u baahan.

Hagaajin cidhiidhi ah oo TCP ka dhigta mid aan qaybsamin

Ku dhawaad dhammaan qulqulka hakaday waa TCP, TCP-na wuxuu ka gorgortami karaa qayb yar halkii uu ku tiirsanaan lahaa qaybinta. Xaddidka MSS ee interface-ka tunnel-ka ayaa dib u qora qiimaha la dhawaaqay inta gacan-qaadista, sidaas darteed dhinac kastaa wuxuu diraa waxa dhab ahaan gala. Dariiqu markaas si la saadaalin karo ayuu u dhaqmaa oo ma jirto baakad u baahan qaybin.

Taasi waxay UDP uga tagtaa ogaanshaha ama ikhtiyaarka DF. Marka goobaha guuldarraysta ay yihiin boggag web caadi ah, xaddidka ayaa ah isbeddelka mudan in la doorbido.

Macaamilku wuxuu soo sheegi karaa MTU-ga adapter-kiisa isagoo isticmaalaya netsh interface ipv4 show subinterfaces. Isbarbar dhig lambarkaas kan server-ku u malaynayo in la heshiiyay, sababtoo ah labadoodu mar walba isku mid ma aha. Qiimahaas ayaa ah kan nidaamka hawlgalku dhab ahaan isticmaali doono, wax kasta oo gorgortanku soo sheegay.

Ku xaqiiji duubid, ka dibna dib u dhig xaaladda

Ka hor inta aanad go'aan gaarin, labada dhinac ka duub: hal raad meesha tunnel-ku maro, iyo mid kale meesha interface-ka WAN maro. Baakadaha ku baxa cabbir buuxa iyagoo aan ICMP soo noqon waxay tilmaamayaan xaddidka sida lakabka saxda ah. Jawaabaha yimaada oo dabadeed ku dhinta jidka soo noqoshada waxay tilmaamayaan MTU-ga tunnel-ka.

Nadiifi shaxda xaaladaha ka hor inta aanad dib u tijaabin, sababtoo ah qulqulka jira waxay hayaan cabbirradii qaybahooda hore. Ka dib rari bogga guuldarraystay oo akhri aragtida xaaladaha ee taraafikada laba-geesoodka ah halkii aad ka akhrin lahayd tiriyeyaasha hal dhinac. Haddii uu weli hakado, mar kale duub halkii aad isku dayi lahayd sanduuq kale.