IPsec மேலதிக செலவு: முறை, NAT-T மற்றும் வழிமுறைகள் அனைத்தும் அதை மாற்றுகின்றன
வெளியிடப்பட்ட ஒரு மேலதிக செலவு எண் ஒரு பாதையில் ஒரு உறைவை மட்டுமே விவரிக்கிறது. உங்கள் சுரங்கப்பாதை உண்மையில் பேச்சுவார்த்தை செய்யும் தலைப்புகளைக் கூட்டி, பின்னர் பாதையை அளவிடுங்கள்.
ஏதோ ஒரு வழிகாட்டியில் ஒரு எண் உள்ளது, பொதுவாக அறுபதுக்கும் எண்பதுக்கும் இடையில் பைட்டுகள், அதை யாரோ 1500 இலிருந்து கழித்து இடைமுக MTU பெற்றுள்ளார். அந்த எண் ஒரு குறிப்பிட்ட பாதையில் ஒரு குறிப்பிட்ட உறைவை விவரிக்கிறது. முறை, வெளிப்புற முகவரி குடும்பம், மறையாக்கம் அல்லது NAT இருப்பதை மாற்றுங்கள், அந்தக் கணக்கு இனி உங்கள் சுரங்கப்பாதைக்குப் பொருந்தாது.
அந்த எண் வேறொரு சுரங்கப்பாதையிலிருந்து வந்தது
மேலதிக செலவு என்பது சுருக்கமான பொருளில் IPsec இன் பண்பு அல்ல. அது உண்மையில் கட்டப்படும் பொதியின் பண்பு: ஒப்புக்கொள்ளப்பட்ட முறை, வெளிப்புற தலைப்பு, பாதுகாப்புத் தலைப்பு, நிரப்புதல், ஒருமைப்பாட்டுப் புலம் மற்றும் ஒருவேளை கூடுதல் UDP உறை.
IPv4 உடன் மற்றும் NAT இல்லாத போக்குவரத்து முறைக்குக் கூறப்படும் எண், NAT கடத்தலின் கீழ் IPv6 உள்ள சுரங்கப்பாதை முறையை விடச் சிறிய பொதியை விவரிக்கிறது. இரண்டும் தத்தம் நிலைக்குச் சரியானவை. அவற்றில் ஒன்றை வேறொரு பயன்பாட்டுக்கு நகலெடுப்பதுதான் மக்கள் பெரிய பரிமாற்றங்களை உடைக்கும் MTU வரை வந்து சேரும் வழி. சிறிய கோரிக்கைகள் தொடர்ந்து வேலை செய்வதால் தோல்வி அமைதியாக இருக்கிறது.
உண்மையில் உள்ள அடுக்குகளைக் கூட்டுங்கள்
வெளிப்புற IP தலைப்பில் தொடங்கி உள்ளே செல்லுங்கள். சுரங்கப்பாதை முறையில் மூலப் பொதி உள்ளே இருக்கும், எனவே வெளிப்புற தலைப்பு மாற்று அல்ல, கூடுதல். RFC 4303 ESP தலைப்பு, நிரப்புதல் மற்றும் அதைத் தொடரும் ஒருமைப்பாட்டுத் தரவை விவரிக்கிறது.
| Layer | What it adds | When it applies |
|---|---|---|
| Outer IP header | 20 bytes for IPv4, 40 for IPv6 | Always, and 40 rather than 20 if the outer path is v6 |
| ESP header | 8 bytes of SPI and sequence number | Always |
| Block cipher IV | 8 to 16 bytes depending on the transform | When the negotiated cipher uses one |
| Padding and trailer | Padding to the block size, plus two trailer bytes | Always, and the amount varies with payload length |
| Integrity data | 12 to 16 bytes for common authenticated ciphers | When integrity protection is negotiated |
| UDP encapsulation | 8 bytes | NAT traversal on port 4500, which is common for clients behind NAT |
அந்த வரிகளில் எதுவும் பயன்பாடுகளுக்கு இடையே நிலையானது அல்ல, நிரப்புதல் வரி ஒரே பயன்பாட்டுக்குள் கூட நிலையானது அல்ல. வெளியிடப்பட்ட ஒரு மேலதிக செலவு எண் ஏமாற்றமளிப்பதற்கான முழுக் காரணம் இதுவே.
ஒரே சுரங்கப்பாதை பற்றி இரு தளங்கள் முரண்படலாம்
பாதுகாக்கப்பட்ட பொதி இன்னும் வெளிப்புறப் பாதையைக் கடக்க வேண்டும், வெளிப்புறப் பாதை எல்லா இடங்களிலும் ஒன்றல்ல. PPPoE அணுகல் இணைப்பு தூய Ethernet பிரிவை விடக் குறைவாக எடுத்துச் செல்கிறது. மொபைல் வலையமைப்பு மேலும் சுருங்கலாம், தன் சொந்தப் போக்குவரத்தைச் சுரங்கப்பாதையாக்கும் வழங்குநர் யாரும் குறிப்பிடாத மற்றொரு உறைவைச் சேர்க்கிறார். ஒரு இணைப்பில் வேலை செய்து மற்றொன்றில் தோல்வியடையும் சுரங்கப்பாதை இரண்டாவது இணைப்பை விவரிக்கிறது, நெறிமுறையை அல்ல.
இரு திசைகளும் வேறுபடலாம். சமச்சீரற்ற பாதை வேலை செய்யும் பதிவேற்றத்தையும் நின்றுபோன பதிவிறக்கத்தையும் தரலாம், அது அணுகல்தன்மைக்குப் பதிலாகப் பொதி அளவுகளைப் பார்க்கும் வரை பயன்பாட்டுச் சிக்கலாகத் தெரிகிறது. சிறிய ping வெற்றிபெறுவது முழு அளவுப் பதிலைப் பற்றி மிகக் குறைவையே நிரூபிக்கிறது.
கழிப்பதற்குப் பதிலாக அளவிடுங்கள்
பாதையில் தப்பிப் பிழைக்கும் மிகப்பெரிய தரவுக்கிராமைக் கண்டுபிடியுங்கள். பின்னர் இடைமுகம் தெரிவிக்கும் மதிப்புடன் ஒப்பிடுங்கள்:
ip link show eth0 | grep -o 'mtu [0-9]*' ip xfrm state list ping -M do -s 1400 198.51.100.7 ping -M do -s 1372 198.51.100.7 tcpdump -ni any -c 20 'esp or udp port 4500'
பதில்கள் வரும் வரை ping இன் அளவைக் குறையுங்கள், வேலை செய்யும் மிகப்பெரிய மதிப்பை அந்தப் பாதையின் நிதியாகக் கொள்ளுங்கள். xfrm இன் வெளியீடு எந்த முறையும் எந்த வழிமுறைகளும் ஒப்புக்கொள்ளப்பட்டன என்பதைச் சொல்கிறது, அதுவே எந்த நேர்மையான கணக்கிற்கும் உள்ளீடு. பிடிப்பு கம்பியில் ESP உள்ளதா அல்லது UDP இல் பொதிந்த ESP உள்ளதா என்பதை உறுதிப்படுத்துகிறது, அது NAT கேள்வியை ஊகமின்றித் தீர்க்கிறது.
கட்டுப்பாட்டுத் தளத்திற்கும் ஒரு மதிப்பை ஒதுக்குங்கள். IKE கைக்குலுக்கல் பொதிகளின் அமைப்பு தரவுப் பொதிகளிலிருந்து வேறுபடும், எனவே கைக்குலுக்கல் பிடிப்பிலிருந்து பெறப்பட்ட அளவு தரவுத் தளத்தின் MTU அல்ல.
எண்ணை அதன் இடத்தில் வையுங்கள்
சுரங்கப்பாதை வழியாக TCP க்கு, MSS கட்டுப்பாடு பெரும்பாலும் மிகக் குறைந்த ஊடுருவல் கட்டுப்பாடு, ஏனெனில் அது சுரங்கப்பாதையையே மாற்றாமல் முனைகள் அனுப்புவதைக் குறைக்கிறது. பாதை சார்ந்த சுரங்கப்பாதைக்கு, சுரங்கப்பாதை இடைமுகத்தின் MTU ஐ வேண்டுமென்றே அமைத்து ஏன் என்று பதிவு செய்யுங்கள். இரண்டையும் ஒரே நேரத்தில் செய்து பின்னர் அளந்தால் எது உதவியது என்பதைப் பற்றி எந்தத் தகவலும் கிடைக்காது.
டிக்கெட்டில் ஒப்புக்கொள்ளப்பட்ட முறை, வெளிப்புறக் குடும்பம், NAT நிலை மற்றும் மீண்டும் உருவாக்கக்கூடிய அறிகுறி ஆகியவற்றை ஒன்றாக வையுங்கள். பதிவு செய்யப்பட்ட நான்கு உண்மைகளின் தொகுப்பு நினைவில் வைத்த மாறிலியை விட மேலானது, அடுத்த கிளையண்ட் மேம்பாடு வரை நிலைத்திருக்கும் ஒரே பதிப்பும் இதுவே.