Linux IPsec ağ geçidinde TCP MSS ayarı: neyi düzeltir

Ping çalışıyor, SSH çalışıyor, küçük bir sayfa yükleniyor ve sonra her büyük yanıt zaman aşımına kadar takılıyor. Klasik örüntü erişilebilirliğe değil paket boyutuna işaret eder: yol el sıkışmayı ve ilk birkaç kilobaytı taşır, ardından tam boyutlu bir segment kaybolur. Bir Linux IPsec ağ geçidinde TCP MSS kuralı çoğu zaman çözümdür, ancak yalnızca neyi değiştirdiğini ve dokunduğu paketin gerçekte nerede olduğunu anlarsanız. Aşağıdaki sıra paketi belirtiden kuralın yerleştirilmesine kadar izler, böylece açıklama artık uymadığı anda durabilirsiniz.

MSS'yi düşündüren belirti

TCP el sıkışmada en büyük segment boyutunu müzakere eder. Bu değer yolun kapsüllemeden sonra taşıyabileceğinden büyükse, gönderen hiç ulaşmayan segmentler üretmeye devam eder ve bağlantı ilk turdan sonra takılır. Küçük yanıtlar sığar; büyükler sığmaz.

ICMP geri bildirimi bağlantıyı yol MTU'sunun keşfi yoluyla kurtarabilir ve bu mesajları düşüren bir güvenlik duvarı takılmayı sessiz bir kara deliğe dönüştürür. Bu yüzden aynı tünel bir uygulama için çalışır ve yapılandırmada görünür bir fark olmadan diğeri için başarısız olur.

Bir TCPMSS kuralı ne yapar ve ne yapmaz

Kural, geçerken TCP el sıkışma paketlerindeki MSS seçeneğini yeniden yazar. Tünel arayüzünün MTU'sunu ayarlamaz, IPsec ilkesini değiştirmez ve mevcut çekirdeklerde yalnızca duyurulan bir değeri düşürür, zaten daha küçük olanı yükseltmez. Ayrıca yalnızca TCP'ye dokunur; UDP yükleri, DNS davranışı ve müzakere edilen trafik seçicileri erişiminin dışındadır.

Değişiklik el sıkışma sırasında gerçekleştiği için kuraldan önce kurulmuş mevcut bir bağlantı eski değerini korur. Yeni bir bağlantıyla test edin ve değişiklikten sonraki ilk denemenin size bir şey söyleyen deneme olmasını bekleyin. Kuraldaki hiçbir şey zaten açık olan bir bağlantıya ulaşmaz. Bu yüzden bir olayın ortasında uygulanan bir düzeltme hiçbir şey yapmamış gibi görünebilir.

Kuralı iç TCP yoluna koyun

İlke tabanlı bir Linux ağ geçidinde, iletilen paket güvenlik duvarı onu gördüğünde hâlâ sıradan TCP gibi görünür. IPsec ilkesi paketin korunacağına karar verir; güvenlik duvarı iç akış için bir ESP başlığı görmez, bu nedenle burada ESP ile eşleştirmek tamamen farklı bir paketi tanımlar. Bu uyumsuzluk, bazı kuralların doğru görünüp asla eşleşmemesinin nedenidir.

iptables terimleriyle kural, iletme yolundaki mangle tablosuna aittir ve el sıkışma paketleriyle sınırlıdır: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Sayı bir örnektir, evrensel bir sabit değildir; onu kapsülleme ek yükünden ve yolun gerçek MTU'sundan türetin. nftables eşdeğeri, en büyük segment boyutunu bir forward veya postrouting zincirinde ayarlar.

IKE ve ESP için dış dinleme kurallarını iç iletme kurallarından ayrı tutun. Hem uygulama akışını hem de dış protokolü yetkilendirmeye çalışan tek bir kural, sonunda ikisiyle de güvenilir biçimde eşleşmez.

Güvenlik duvarının sahibine ve NAT sırasına saygı gösterin

UFW ana makinenin güvenlik duvarına sahipse, mangle ve iletme değişikliklerini bir sonraki yeniden yüklemede kaybolan bir komut yazmak yerine desteklenen kalıcı yapılandırması aracılığıyla ekleyin. Yanlış tabloya veya bir terminal kuralından sonra eklenen kuralın hiçbir etkisi yoktur ve canlı tablo bunu sizden gizler.

Kaynak çevirisi, bununla sık sık etkileşime giren ayrı bir karardır. Genel bir masquerade kuralından önce yerleştirilen bir istisna, korunan trafiğin ilkesinin gerektirdiği kaynağı kaybetmesini önler; boyut sorununu düzeltmez ve bir boyut kuralı çeviri sorununu düzeltmez.

Dar biçimde doğrulayın, sonra durun

Başarısız hizmete yeni bir bağlantı açın ve hem uygulamayı hem de kuralın sayaçlarını izleyin. Takılma geçerse, o kapsüllemeyle o TCP yolu hakkında kanıtınız var. Her VPN protokolünün uyduğuna, her UDP uygulamasının düzeltildiğine veya belirli bir üst akış hizmetinin asıl neden olduğuna dair kanıtınız yok.

ICMP boyut geri bildiriminin ilkenin izin verdiği yerde çalışmasına izin verin ve dış IPsec yolu iç rota tarafından temsil edilmediğinde rota MTU'suna dayalı otomatik sınırlamayı dikkatle ele alın. Sonuç ne kadar darsa, bir sonraki olayı teşhis etmek o kadar kolaydır.