Linux IPsec கேட்வேயில் TCP MSS சரிசெய்தல்: அது எதைச் சரிசெய்கிறது

Ping வேலை செய்கிறது, SSH வேலை செய்கிறது, ஒரு சிறிய பக்கம் ஏற்றப்படுகிறது, பிறகு ஒவ்வொரு பெரிய பதிலும் நேரம் முடியும் வரை நிற்கிறது. பாரம்பரிய முறை அணுகல்தன்மையை அல்ல, பாக்கெட் அளவைச் சுட்டுகிறது: பாதை கைக்குலுக்கல் மற்றும் முதல் சில கிலோபைட்டுகளை எடுத்துச் செல்கிறது, பிறகு முழு அளவு பிரிவு மறைந்துவிடுகிறது. Linux IPsec கேட்வேயில் TCP MSS விதி பெரும்பாலும் தீர்வாகும், ஆனால் அது எதை மாற்றுகிறது, அது தொடும் பாக்கெட் உண்மையில் எங்கே உள்ளது என்பதைப் புரிந்தால் மட்டுமே. கீழே உள்ள வரிசை அறிகுறியிலிருந்து விதியின் இடம் வரை பாக்கெட்டைப் பின்தொடர்கிறது, எனவே விளக்கம் பொருந்தாதவுடன் நீங்கள் நிறுத்தலாம்.

MSS-ஐக் குறிக்கும் அறிகுறி

TCP கைக்குலுக்கலில் அதிகபட்சப் பிரிவு அளவைப் பேசி முடிவு செய்கிறது. அந்த மதிப்பு என்கேப்சுலேஷனுக்குப் பிறகு பாதை தாங்கக்கூடியதை விடப் பெரியதாக இருந்தால், அனுப்புபவர் ஒருபோதும் வராத பிரிவுகளை உருவாக்கிக்கொண்டே இருக்கிறார், முதல் சுற்றுக்குப் பிறகு இணைப்பு நிற்கிறது. சிறிய பதில்கள் பொருந்தும்; பெரியவை பொருந்தாது.

ICMP பின்னூட்டம் பாதையின் MTU கண்டறிதல் மூலம் இணைப்பைக் காப்பாற்றலாம், அந்தச் செய்திகளை வீசும் ஃபயர்வால் நிற்றலை அமைதியான கருந்துளையாக மாற்றுகிறது. அதனால்தான் அதே சுரங்கப்பாதை ஒரு பயன்பாட்டிற்கு வேலை செய்து மற்றொன்றிற்கு கட்டமைப்பில் தெளிவான வேறுபாடு இல்லாமல் தோல்வியடைகிறது.

TCPMSS விதி என்ன செய்கிறது, என்ன செய்யாது

விதி கடந்து செல்லும் TCP கைக்குலுக்கல் பாக்கெட்டுகளில் உள்ள MSS விருப்பத்தை மீண்டும் எழுதுகிறது. அது சுரங்கப்பாதை இடைமுகத்தின் MTU-ஐ அமைக்காது, IPsec கொள்கையை மாற்றாது, தற்போதைய கர்னல்களில் ஏற்கனவே சிறிய மதிப்பை உயர்த்துவதற்குப் பதிலாக அறிவிக்கப்பட்ட மதிப்பைக் குறைக்கிறது. அது TCP-ஐ மட்டுமே தொடுகிறது; UDP சுமைகள், DNS நடத்தை மற்றும் பேசி முடிவு செய்யப்பட்ட ட்ராஃபிக் தேர்விகள் அதன் எல்லைக்கு வெளியே உள்ளன.

மாற்றம் கைக்குலுக்கலின் போது நடப்பதால், விதிக்கு முன் நிறுவப்பட்ட ஏற்கனவே உள்ள இணைப்பு அதன் பழைய மதிப்பைத் தக்கவைத்துக்கொள்கிறது. புதிய இணைப்புடன் சோதிக்கவும், மாற்றத்திற்குப் பிறகு முதல் முயற்சியே உங்களுக்கு ஏதாவது சொல்லும் முயற்சியாக இருக்கும் என எதிர்பார்க்கவும். விதியில் எதுவும் ஏற்கனவே திறந்த இணைப்பை அடையாது. அதனால்தான் ஒரு சம்பவத்தின் நடுவில் பயன்படுத்தப்பட்ட திருத்தம் எதுவும் செய்யாதது போலத் தோன்றலாம்.

விதியை உள் TCP பாதையில் வைக்கவும்

கொள்கை அடிப்படையிலான Linux கேட்வேயில், ஃபயர்வால் பார்க்கும்போது அனுப்பப்பட்ட பாக்கெட் இன்னும் சாதாரண TCP போலவே தெரிகிறது. IPsec கொள்கை பாக்கெட் பாதுகாக்கப்படும் என முடிவு செய்கிறது; ஃபயர்வால் உள் ஓட்டத்திற்கு ESP தலைப்பைப் பார்க்காது, எனவே இங்கே ESP-உடன் பொருத்துவது முற்றிலும் வேறு பாக்கெட்டை விவரிக்கிறது. அந்தப் பொருந்தாமையே சில விதிகள் சரியாகத் தெரிந்தும் ஒருபோதும் பொருந்தாததற்குக் காரணம்.

iptables சொற்களில் விதி அனுப்பும் பாதையின் mangle அட்டவணைக்குச் சொந்தமானது, கைக்குலுக்கல் பாக்கெட்டுகளுக்கு மட்டுப்படுத்தப்பட்டது: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. எண் ஒரு எடுத்துக்காட்டு, உலகளாவிய மாறிலி அல்ல; அதை என்கேப்சுலேஷன் மேலதிக செலவு மற்றும் பாதையின் உண்மையான MTU-இலிருந்து பெறுங்கள். nftables சமமானது forward அல்லது postrouting சங்கிலியில் அதிகபட்சப் பிரிவு அளவை அமைக்கிறது.

IKE மற்றும் ESP-க்கான வெளிப்புறக் கேட்டல் விதிகளை உள் அனுப்பும் விதிகளிலிருந்து தனியாக வைத்திருங்கள். பயன்பாட்டு ஓட்டத்தையும் வெளிப்புற நெறிமுறையையும் ஒரே நேரத்தில் அனுமதிக்க முயலும் ஒரே விதி இறுதியில் இரண்டிலொன்றுடனும் நம்பகமாகப் பொருந்தாது.

ஃபயர்வாலின் உரிமையாளரையும் NAT வரிசையையும் மதிக்கவும்

UFW ஹோஸ்ட் ஃபயர்வாலை வைத்திருந்தால், அடுத்த மீள்ஏற்றுதலில் மறைந்துவிடும் கட்டளையைத் தட்டச்சு செய்வதற்குப் பதிலாக அதன் ஆதரவு பெற்ற நிரந்தர கட்டமைப்பின் மூலம் mangle மற்றும் அனுப்பும் மாற்றங்களைச் சேர்க்கவும். தவறான அட்டவணையில் அல்லது இறுதி விதிக்குப் பிறகு செருகப்பட்ட விதிக்கு எந்த விளைவும் இல்லை, நேரடி அட்டவணை அதை உங்களிடமிருந்து மறைக்கிறது.

மூல மொழிபெயர்ப்பு இதனுடன் அடிக்கடி தொடர்பு கொள்ளும் தனி முடிவு. பொதுவான masquerade விதிக்கு முன் வைக்கப்படும் விலக்கு பாதுகாக்கப்பட்ட ட்ராஃபிக் அதன் கொள்கை கோரும் மூலத்தை இழப்பதைத் தடுக்கிறது; அது அளவுப் பிரச்சினையைச் சரிசெய்யாது, அளவு விதி மொழிபெயர்ப்புப் பிரச்சினையைச் சரிசெய்யாது.

குறுகியதாகச் சரிபார்க்கவும், பிறகு நிறுத்தவும்

தோல்வியடையும் சேவைக்கு புதிய இணைப்பைத் திறந்து பயன்பாட்டையும் விதியின் கணக்கிகளையும் கவனிக்கவும். நிற்றல் நீங்கினால், அந்த என்கேப்சுலேஷனுடன் அந்த TCP பாதையைப் பற்றிய ஆதாரம் உங்களிடம் உள்ளது. ஒவ்வொரு VPN நெறிமுறையும் பொருந்துகிறது, ஒவ்வொரு UDP பயன்பாடும் சரிசெய்யப்பட்டது, அல்லது குறிப்பிட்ட மேல்நிலைச் சேவையே அசல் காரணம் என்பதற்கான ஆதாரம் உங்களிடம் இல்லை.

கொள்கை அனுமதிக்கும் இடத்தில் ICMP அளவுப் பின்னூட்டம் வேலை செய்யட்டும், வெளிப்புற IPsec பாதை உள் வழித்தடத்தால் குறிப்பிடப்படாதபோது பாதை-MTU அடிப்படையிலான தானியங்கி சரிசெய்தலைக் கவனமாகக் கையாளவும். முடிவு எவ்வளவு குறுகலாக இருக்கிறதோ, அடுத்த சம்பவத்தைக் கண்டறிவது அவ்வளவு எளிது.