Urekebishaji wa MSS wa TCP kwenye lango la Linux IPsec: unarekebisha nini

Ping inafanya kazi, SSH inafanya kazi, ukurasa mdogo unapakiwa, kisha kila jibu kubwa linakwama hadi muda uishe. Mchoro wa kawaida unaonyesha ukubwa wa pakiti badala ya ufikivu: njia hubeba kupeana mikono na kilobytes chache za kwanza, kisha sehemu ya ukubwa kamili hupotea. Kwenye lango la Linux IPsec, sheria ya TCP MSS mara nyingi ndiyo suluhisho, lakini tu ikiwa unaelewa inabadilisha nini na pakiti inayogusa iko wapi kwa kweli. Mpangilio hapa chini unafuata pakiti kutoka dalili hadi uwekaji wa sheria, kwa hivyo unaweza kuacha mara tu maelezo yanapokosa kufaa.

Dalili inayodokeza MSS

TCP hujadiliana ukubwa wa juu wa sehemu wakati wa kupeana mikono. Ikiwa thamani hiyo ni kubwa kuliko ile ambayo njia inaweza kubeba baada ya ufungashaji, mtumaji anaendelea kuzalisha sehemu ambazo hazifiki kamwe, na muunganisho unakwama baada ya mzunguko wa kwanza. Majibu madogo yanatoshea; makubwa hayatoshei.

Mrejesho wa ICMP unaweza kuokoa muunganisho kupitia ugunduzi wa MTU ya njia, na ngome ya moto inayotupa jumbe hizo hugeuza kukwama kuwa shimo jeusi lisilo na sauti. Ndiyo sababu handaki hiyo hiyo inafanya kazi kwa programu moja na kushindwa kwa nyingine bila tofauti yoyote dhahiri katika usanidi.

Sheria ya TCPMSS inafanya nini na haifanyi nini

Sheria hiyo inaandika upya chaguo la MSS katika pakiti za kupeana mikono za TCP zinapopita. Haiweki MTU ya kiolesura cha handaki, haibadilishi sera ya IPsec, na kwenye kerneli za sasa hupunguza tu thamani iliyotangazwa badala ya kuinua ile iliyo ndogo zaidi. Pia inagusa TCP pekee; mizigo ya UDP, tabia ya DNS na vichaguzi vya trafiki vilivyojadiliwa viko nje ya ufikiaji wake.

Kwa sababu mabadiliko hutokea wakati wa kupeana mikono, muunganisho uliopo ulioanzishwa kabla ya sheria unabaki na thamani yake ya zamani. Jaribu kwa muunganisho mpya, na tarajia kwamba jaribio la kwanza baada ya mabadiliko ndilo litakalokuambia kitu. Hakuna kitu katika sheria hiyo kinachofikia muunganisho ambao tayari umefunguliwa. Ndiyo sababu marekebisho yaliyotumika katikati ya tukio yanaweza kuonekana kana kwamba hayakufanya kitu kabisa.

Weka sheria kwenye njia ya ndani ya TCP

Kwenye lango la Linux linalotegemea sera, pakiti iliyopelekwa mbele bado inaonekana kama TCP ya kawaida ngome ya moto inapoiiona. Sera ya IPsec huamua kwamba pakiti italindwa; ngome ya moto haioni kichwa cha ESP kwa mtiririko wa ndani, kwa hivyo kulinganisha na ESP hapa kunaeleza pakiti tofauti kabisa. Kutokulingana huko ndiko kunakofanya sheria zingine zionekane sahihi na kamwe hazilingani.

Kwa maneno ya iptables, sheria hiyo ni ya jedwali la mangle kwenye njia ya kupeleka mbele, ikihusu pakiti za kupeana mikono pekee: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Nambari hiyo ni mfano, si thabiti ya ulimwengu wote; ihesabu kutoka kwa gharama ya ufungashaji na MTU halisi ya njia. Kifanani cha nftables huweka ukubwa wa juu wa sehemu katika mnyororo wa forward au postrouting.

Tenganisha sheria za kusikiliza za nje za IKE na ESP kutoka kwa sheria za ndani za kupeleka mbele. Sheria moja inayojaribu kuidhinisha mtiririko wa programu na itifaki ya nje pamoja huishia kutolingana kwa uhakika na yoyote kati yao.

Heshimu mmiliki wa ngome ya moto na mpangilio wa NAT

Ikiwa UFW inamiliki ngome ya moto ya mwenyeji, ongeza mabadiliko ya mangle na kupeleka mbele kupitia usanidi wake wa kudumu unaotumika badala ya kuandika amri inayotoweka kwenye upakiaji upya unaofuata. Sheria iliyoingizwa kwenye jedwali lisilo sahihi au baada ya sheria ya mwisho haina athari, na jedwali hai huficha hilo kwako.

Utafsiri wa chanzo ni uamuzi tofauti ambao mara nyingi huingiliana na huu. Msamaha uliowekwa kabla ya sheria ya jumla ya masquerade huzuia trafiki iliyolindwa kupoteza chanzo ambacho sera yake inahitaji; hautengenezi tatizo la ukubwa, na sheria ya ukubwa haitengenezi tatizo la utafsiri.

Thibitisha kwa ufinyu, kisha simama

Fungua muunganisho mpya kwa huduma inayoshindwa na uangalie programu na vihesabu vya sheria vyote viwili. Ikiwa kukwama kunaondoka, una ushahidi kuhusu njia hiyo ya TCP na ufungashaji huo. Huna ushahidi kwamba kila itifaki ya VPN inafaa, kwamba kila programu ya UDP imerekebishwa, au kwamba huduma fulani ya juu ndiyo ilikuwa sababu ya awali.

Acha mrejesho wa ukubwa wa ICMP ufanye kazi pale sera inaporuhusu, na shughulikia kwa uangalifu urekebishaji wa kiotomatiki unaotegemea MTU ya njia wakati njia ya nje ya IPsec haiwakilishwi na njia ya ndani. Kadiri hitimisho linavyokuwa finyu, ndivyo tukio linalofuata linavyokuwa rahisi kutambua.