Linux IPsec గేట్‌వేలో TCP MSS సర్దుబాటు: అది ఏమి సరిచేస్తుంది

Ping పని చేస్తుంది, SSH పని చేస్తుంది, ఒక చిన్న పేజీ లోడ్ అవుతుంది, ఆ తర్వాత ప్రతి పెద్ద ప్రతిస్పందన సమయం ముగిసే వరకు నిలిచిపోతుంది. సాంప్రదాయ నమూనా చేరుకోగలిగే సామర్థ్యాన్ని కాదు, ప్యాకెట్ పరిమాణాన్ని సూచిస్తుంది: మార్గం హ్యాండ్‌షేక్ మరియు మొదటి కొన్ని కిలోబైట్లను మోసుకెళ్తుంది, ఆ తర్వాత పూర్తి పరిమాణ విభాగం మాయమవుతుంది. Linux IPsec గేట్‌వేలో TCP MSS నియమం తరచుగా పరిష్కారం, కానీ అది ఏమి మారుస్తుంది మరియు అది తాకే ప్యాకెట్ నిజంగా ఎక్కడ ఉంది అని అర్థం చేసుకుంటే మాత్రమే. క్రింది క్రమం లక్షణం నుండి నియమం ఉంచే స్థలం వరకు ప్యాకెట్‌ను అనుసరిస్తుంది, కాబట్టి వివరణ సరిపోకుండా మారిన వెంటనే మీరు ఆపవచ్చు.

MSS-ను సూచించే లక్షణం

TCP హ్యాండ్‌షేక్‌లో గరిష్ఠ విభాగ పరిమాణం గురించి చర్చిస్తుంది. ఆ విలువ ఎన్‌క్యాప్సులేషన్ తర్వాత మార్గం మోయగలిగే దానికంటే పెద్దదైతే, పంపినవాడు ఎప్పటికీ చేరని విభాగాలను సృష్టిస్తూనే ఉంటాడు, మొదటి రౌండ్ తర్వాత కనెక్షన్ నిలిచిపోతుంది. చిన్న ప్రతిస్పందనలు సరిపోతాయి; పెద్దవి సరిపోవు.

ICMP ఫీడ్‌బ్యాక్ మార్గం MTU కనుగొనడం ద్వారా కనెక్షన్‌ను కాపాడగలదు, ఆ సందేశాలను పడవేసే ఫైర్‌వాల్ నిలిచిపోవడాన్ని నిశ్శబ్ద నల్ల కన్నంగా మారుస్తుంది. అందుకే అదే టన్నెల్ ఒక అప్లికేషన్‌కు పని చేసి మరొక దానికి కాన్ఫిగరేషన్‌లో స్పష్టమైన తేడా లేకుండా విఫలమవుతుంది.

TCPMSS నియమం ఏమి చేస్తుంది, ఏమి చేయదు

నియమం దాటిపోయే TCP హ్యాండ్‌షేక్ ప్యాకెట్లలోని MSS ఎంపికను తిరిగి రాస్తుంది. ఇది టన్నెల్ ఇంటర్‌ఫేస్ MTUని సెట్ చేయదు, IPsec విధానాన్ని మార్చదు, మరియు ప్రస్తుత కెర్నల్‌లలో ఇప్పటికే చిన్న విలువను పెంచే బదులు ప్రకటించిన విలువను తగ్గిస్తుంది. ఇది TCPని మాత్రమే తాకుతుంది; UDP పేలోడ్‌లు, DNS ప్రవర్తన మరియు చర్చించిన ట్రాఫిక్ ఎంపికకారులు దాని పరిధికి వెలుపల ఉన్నాయి.

మార్పు హ్యాండ్‌షేక్ సమయంలో జరుగుతుంది కాబట్టి, నియమానికి ముందు స్థాపించబడిన ఇప్పటికే ఉన్న కనెక్షన్ దాని పాత విలువను నిలుపుకుంటుంది. కొత్త కనెక్షన్‌తో పరీక్షించండి, మార్పు తర్వాత మొదటి ప్రయత్నమే మీకు ఏదో చెప్పే ప్రయత్నం అవుతుందని ఆశించండి. నియమంలో ఏదీ ఇప్పటికే తెరిచిన కనెక్షన్‌ను చేరుకోదు. అందుకే సంఘటన మధ్యలో వర్తించిన సర్దుబాటు ఏమీ చేయనట్టు కనిపించవచ్చు.

నియమాన్ని లోపలి TCP మార్గంలో ఉంచండి

విధాన ఆధారిత Linux గేట్‌వేలో, ఫైర్‌వాల్ చూసినప్పుడు పంపిన ప్యాకెట్ ఇప్పటికీ సాధారణ TCP లాగానే కనిపిస్తుంది. IPsec విధానం ప్యాకెట్ రక్షించబడుతుందని నిర్ణయిస్తుంది; ఫైర్‌వాల్ లోపలి ప్రవాహానికి ESP శీర్షికను చూడదు, కాబట్టి ఇక్కడ ESPతో సరిపోల్చడం పూర్తిగా వేరే ప్యాకెట్‌ను వివరిస్తుంది. ఆ అసమతుల్యత వల్లనే కొన్ని నియమాలు సరిగ్గా కనిపించి ఎప్పటికీ సరిపోలవు.

iptables పదాలలో నియమం పంపే మార్గంలోని mangle పట్టికకు చెందుతుంది, హ్యాండ్‌షేక్ ప్యాకెట్లకు పరిమితం: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. సంఖ్య ఒక ఉదాహరణ, సార్వత్రిక స్థిరాంకం కాదు; దాన్ని ఎన్‌క్యాప్సులేషన్ ఓవర్‌హెడ్ మరియు మార్గం యొక్క నిజమైన MTU నుండి పొందండి. nftables సమానమైనది forward లేదా postrouting గొలుసులో గరిష్ఠ విభాగ పరిమాణాన్ని సెట్ చేస్తుంది.

IKE మరియు ESP కోసం బయటి వినికిడి నియమాలను లోపలి పంపే నియమాల నుండి వేరుగా ఉంచండి. అప్లికేషన్ ప్రవాహాన్ని మరియు బయటి ప్రోటోకాల్‌ను ఒకేసారి అనుమతించడానికి ప్రయత్నించే ఒకే నియమం చివరికి రెండింటిలో దేనితోనూ నమ్మదగిన విధంగా సరిపోలదు.

ఫైర్‌వాల్ యజమానిని మరియు NAT క్రమాన్ని గౌరవించండి

UFW హోస్ట్ ఫైర్‌వాల్‌ను కలిగి ఉంటే, తదుపరి రీలోడ్‌లో మాయమయ్యే ఆదేశాన్ని టైప్ చేయడం బదులు దాని మద్దతు ఉన్న శాశ్వత కాన్ఫిగరేషన్ ద్వారా mangle మరియు పంపే మార్పులను జోడించండి. తప్పు పట్టికలో లేదా చివరి నియమం తర్వాత చేర్చిన నియమానికి ఎటువంటి ప్రభావం ఉండదు, మరియు సజీవ పట్టిక దాన్ని మీ నుండి దాచుతుంది.

మూల అనువాదం దీనితో తరచుగా సంకర్షణ చెందే ప్రత్యేక నిర్ణయం. సాధారణ masquerade నియమానికి ముందు ఉంచిన మినహాయింపు రక్షిత ట్రాఫిక్ తన విధానం కోరే మూలాన్ని కోల్పోకుండా నిరోధిస్తుంది; అది పరిమాణ సమస్యను సరిచేయదు, పరిమాణ నియమం అనువాద సమస్యను సరిచేయదు.

ఇరుకైన పరిధిలో ధృవీకరించండి, ఆపై ఆపండి

విఫలమవుతున్న సేవకు కొత్త కనెక్షన్ తెరిచి అప్లికేషన్ మరియు నియమం కౌంటర్లు రెండింటినీ గమనించండి. నిలిచిపోవడం తొలగితే, ఆ ఎన్‌క్యాప్సులేషన్‌తో ఆ TCP మార్గం గురించి మీకు సాక్ష్యం ఉంది. ప్రతి VPN ప్రోటోకాల్ సరిపోతుంది, ప్రతి UDP అప్లికేషన్ సరిచేయబడింది, లేదా నిర్దిష్ట అప్‌స్ట్రీమ్ సేవయే అసలు కారణం అని మీకు సాక్ష్యం లేదు.

విధానం అనుమతించిన చోట ICMP పరిమాణ ఫీడ్‌బ్యాక్ పని చేయనివ్వండి, మరియు బయటి IPsec మార్గం లోపలి మార్గం ద్వారా సూచించబడనప్పుడు మార్గం-MTU ఆధారిత స్వయంచాలక సర్దుబాటును జాగ్రత్తగా నిర్వహించండి. ముగింపు ఎంత ఇరుకైతే, తదుపరి సంఘటనను నిర్ధారించడం అంత సులభం.