Gharama ya ziada ya IPsec: hali, NAT-T na algorithms vyote vinaibadilisha

Mahali pengine kwenye mwongozo kuna nambari, kwa kawaida kati ya sitini na themanini baiti, ambayo mtu alitoa kutoka 1500 ili kupata MTU ya kiolesura. Nambari hiyo inaeleza usimbaji maalum kwenye njia maalum. Badilisha hali, familia ya anwani ya nje, usimbaji fiche au uwepo wa NAT, na hesabu haitumiki tena kwa handaki yako.

Nambari ilitoka kwenye handaki lingine

Gharama ya ziada si sifa ya IPsec kwa maana ya dhahania. Ni sifa ya pakiti inayojengwa kweli: hali iliyokubaliwa, kichwa cha nje, kichwa cha ulinzi, ujazo, uwanja wa ukamilifu na labda kifuniko cha ziada cha UDP.

Nambari inayotajwa kwa hali ya usafirishaji na IPv4 na bila NAT inaeleza pakiti ndogo kuliko hali ya handaki na IPv6 chini ya kuvuka NAT. Zote mbili ni sahihi kwa kesi zao. Kunakili moja yao kwenye usambazaji mwingine ndiyo njia ambayo watu huishia na MTU inayovunja uhamishaji mkubwa. Kushindwa ni kwa utulivu kwa sababu maombi madogo yanaendelea kufanya kazi.

Jumlisha tabaka zilizopo kweli

Anza kwenye kichwa cha nje cha IP na uende ndani. Katika hali ya handaki pakiti ya awali iko ndani, kwa hiyo kichwa cha nje ni nyongeza na si badala. RFC 4303 kinaeleza kichwa cha ESP, ujazo na data ya ukamilifu inayofuata.

Hakuna safu yoyote ya hizo iliyo thabiti kati ya usambazaji, na safu ya ujazo si thabiti hata ndani ya usambazaji mmoja. Hiyo ndiyo sababu yote ya nambari moja iliyochapishwa ya gharama ya ziada kuwaangusha watu tamaa.

Maeneo mawili yanaweza kutokubaliana kuhusu handaki moja

Pakiti iliyolindwa bado inapaswa kuvuka njia ya nje, na njia ya nje haifanani kila mahali. Kiungo cha ufikiaji cha PPPoE hubeba kidogo kuliko sehemu safi ya Ethernet. Mtandao wa simu unaweza kupungua zaidi, na mtoa huduma anayeweka trafiki yake mwenyewe kwenye handaki anaongeza usimbaji mwingine ambao hakuna aliyetaja. Handaki inayofanya kazi kwenye kiungo kimoja na kushindwa kwenye kingine inaeleza kiungo cha pili, si itifaki.

Mielekeo yote miwili inaweza pia kutofautiana. Njia isiyo na ulinganifu inaweza kukupa upakiaji unaofanya kazi na upakuaji uliokwama, jambo ambalo husomwa kama tatizo la programu hadi uangalie ukubwa wa pakiti badala ya ufikivu. Ping ndogo kufanikiwa huthibitisha kidogo sana kuhusu jibu la ukubwa kamili.

Pima badala ya kutoa

Tafuta datagram kubwa zaidi inayosalia kupita njia. Kisha ilinganishe na thamani ambayo kiolesura huripoti:

ip link show eth0 | grep -o 'mtu [0-9]*'
ip xfrm state list
ping -M do -s 1400 198.51.100.7
ping -M do -s 1372 198.51.100.7
tcpdump -ni any -c 20 'esp or udp port 4500'

Punguza ukubwa wa ping hadi majibu yafike, na chukua thamani kubwa inayofanya kazi kama bajeti ya njia hiyo. Matokeo ya xfrm yanakuambia hali na algorithms zipi zilikubaliwa, na hiyo ndiyo ingizo la hesabu yoyote ya kweli. Unasaji unathibitisha kama ni ESP au ESP iliyofungwa kwenye UDP iliyo kwenye waya, na hiyo hutatua swali la NAT bila kubahatisha.

Tenga thamani moja kwa ndege ya udhibiti pia. Pakiti za kupeana mkono za IKE zina muundo tofauti na pakiti za data, kwa hiyo ukubwa unaotokana na unasaji wa kupeana mkono si MTU ya ndege ya data.

Weka nambari mahali inapostahili

Kwa TCP kupitia handaki, kubana MSS mara nyingi ndiyo udhibiti usiovamia zaidi, kwa sababu hupunguza kile ncha zinazotuma bila kubadilisha handaki yenyewe. Kwa handaki inayotegemea njia, weka MTU ya kiolesura cha handaki kwa makusudi na uandike kwa nini. Kufanya vyote viwili kwa wakati mmoja kisha kupima hakikupi taarifa yoyote kuhusu kipi kilisaidia.

Weka pamoja kwenye tiketi hali iliyokubaliwa, familia ya nje, hali ya NAT na dalili inayoweza kurudiwa. Seti iliyorekodiwa ya mambo manne inashinda kielelezo kinachokumbukwa, na ndiyo toleo pekee la hili linalostahimili sasisho lijalo la mteja.