IPIP inú WireGuard: àwọn 20 byte àfikún tí kò sí ẹnìkan tó ṣe ìsètò fún

Àwọn ping kékeré ń kọjá inú òpópónà ní gbogbo ọjọ́, bánà SSH dé, lẹ́yìn náà ìpàdé di dídúró ní àkókò tí gbígbé fáìlì bẹ̀rẹ̀. Àpẹẹrẹ yẹn ń tọ́ka sí ìsètò byte tí a kà ní ìpele tí kò tọ́, níbi tí a fi òpópónà ìta wọ̀n fún èrè tirẹ̀, tí ẹnìkan kò sì yọ èyí tí ó wà nínú kúrò. Pákẹ́tì IPIP tí a fi sínú jẹ́ kìkì pákẹ́tì IP mìíràn fún WireGuard, ìdí ni pé ó ń lo àwọn byte tí o kò fi pamọ́ rí. Àtúnṣe náà jẹ́ ìṣirò, ó sì wọ inú ìtọ́ni mẹ́ta àti tábìlì kan.

Àmì tí ó ń fi í hàn

Ìṣòro ìpín-sísọ ń kéde ara rẹ̀ nípasẹ̀ ìwọ̀n, kì í ṣe nípasẹ̀ àdírẹ́sì rí. Ẹgbẹ́ rẹ ń dáhùn ping 56 byte fún wákàtí kan, lẹ́yìn náà ó dakẹ́ ní 1400 byte nígbà tí òpópónà wà lórí àti kò sí ọ̀nà tí ó yí padà. Ìfọwọ́sọ̀rọ̀ wọ̀ inú, fèrèsé TCP kíkún àkọ́kọ́ kò wọ̀ inú, ìgbékalẹ̀ sì dúró ní àwọn ìṣẹ́jú àáyá lẹ́yìn tí ó dàbí ẹni tí ó ní ìlera.

Wọ̀n òrùlé kí o tó ṣàtúnṣe ohunkóhun, nítorí òrùlé tí a kò wọ̀n ni ohun tí ìwọ yóò lé lẹ́ẹ̀mejì. Fi ìwádìí kan ránṣẹ́ nísàlẹ̀ ìwọ̀n tí a fura sí pẹ̀lú bíìtì do-not-fragment tí a ṣètò, ping -M do -s 1000 10.9.0.2, lẹ́yìn náà tún un ṣe ní ìwọ̀n tí o mọ̀ pé ó tóbi jù. Nígbà tí ìyípadà bá tẹ̀lé ìwọ̀n ẹrù nígbà tí ibi tí ó ń lọ kò yí padà, ìtọ́sọ́nà ń ṣe iṣẹ́ rẹ̀, orí kan sì ṣẹ́ kù nínú ìsètò.

Ka orí kọ̀ọ̀kan lẹ́ẹ̀kan, ní ìpele tí ó tọ́

Bẹ̀rẹ̀ láti MTU tí ó kéré jù lórí ọ̀nà kì í ṣe láti ojú-ipadà òpópónà, nítorí odi wà lókè àwọn ìparí méjèèjì. WireGuard ń ná 60 byte lórí gbígbé IPv4 ìta: 20 fún IP, 8 fún UDP àti 32 fún orí tirẹ̀, àti 80 byte nígbà tí gbígbé yẹn jẹ́ IPv6. wg0 1420 byte ń pa 20 byte ààyè mọ́ nísàlẹ̀ 1440 tí ọ̀nà 1500 byte lè fi pẹ̀lẹ́ fún ni, ìdí ni pé nọ́mbà tí a dà kọ láti wiki ṣì bá a mu níbí. Ya gbogbo àpapọ̀ náà sórí àwòrán, nítorí ẹni tí yóò yí MTU padà lẹ́yìn náà yóò yan nọ́mbà yíyí tuntun yóò sì jogún àṣìṣe rẹ.

Ìlà karùn-ún ni ibi tí ìsètò ń bàjẹ́, nítorí 1400 byte tí ojú-ipadà tí a fi sínú ń gbé ti ní àwọn 40 byte orí pákẹ́tì ìpilẹ̀ nínú. 1360 nínú àwọn byte yẹn nìkan ni ó dé ọ̀dọ̀ ìlànà tí ń ka fáìlì náà. Ka 1400 sí ẹrù ohun-èlò, gẹ́gẹ́ bí àwòrán kankan tí kò ní ọ̀wọ̀n yẹn ń pè ọ́, ẹ̀rọ inú yóò sì parí pẹ̀lú 40 byte tí ó lawọ́ jù níwájú odi tí kò yí.

Ṣètò MTU méjèèjì lọ́tọ̀

Olùgbé àti ẹ̀rọ tí a fi sínú jẹ́ ohun èlò ọ̀tọ̀ọ̀tọ̀, nítorí náà ọ̀kọ̀ọ̀kan nílò iye tirẹ̀. Lo wọ́n ní ìtẹ̀lé yìí, nítorí ẹ̀rọ tí a fi sínú kò jogún ohunkóhun láti ọ̀dọ̀ olùgbé:

ip link set wg0 mtu 1420
ip tunnel add ipip0 mode ipip remote 203.0.113.9 local 198.51.100.4
ip link set ipip0 mtu 1400

Òfin tí ó yẹ kí a rántí: MTU inú = MTU ìta - 20 nígbà tí pákẹ́tì tí òpópónà IPIP ń gbé jẹ́ IPv4, àti - 40 ní kété tí ẹ̀gbẹ́ kankan pákẹ́tì inú di IPv6, nítorí orí tí a fi sínú ń dàgbà láti 20 byte sí 40. Kò sí ohun mìíràn nínú ìyọkúro yẹn. A ti ná èrè WireGuard nígbà tí o yan 1420, gbígba owó rẹ̀ lẹ́ẹ̀mejì ń mú òpópónà tí ó ṣiṣẹ́ pípé tí ó sì dúró lọ́ra níwọ̀n ìgbà tí ẹnìkan kò bá wọ̀n ọ́. Ìgbékalẹ̀ tí ẹ̀rọ méjèèjì ti ń gbé 1400 yíyí ni ìka-ọwọ́ àṣìṣe yẹn gan-an.

IPv6 ní ẹ̀gbẹ́ kankan pákẹ́tì tí a fi sínú ń sọ gbogbo nọ́mbà tí ó wà lókè di asán, nítorí náà ṣe ìṣirò lẹ́ẹ̀kan sí i dípò kíkọ nọ́mbà láti ojú-ìwé tí ó jọra. Àwọn orí tí a yọ kúrò jẹ́ 40 byte ọ̀kọ̀ọ̀kan ní kété tí IPv6 bá farahàn ní ọ̀nà ìta tàbí nínú dátàgírámù ìpilẹ̀, nọ́mbà ẹrù sì ń lọ sílẹ̀ ní ìwọ̀n yẹn gan-an.

Òfin ògiri-iná tí o kò ní nílò rẹ̀, bóyá

Láàrín ẹgbẹ́ WireGuard méjì, ohun kan ṣoṣo tí ó wà lórí waya ni UDP, nítorí náà òfin àbáwọlé fún ìlànà 4, nọ́mbà tí RFC 2003 fi fún ìṣàkópadà IPv4-nínú-IPv4, kò dá ọ̀nà tí a fi sínú, kò sì pa á mọ́ láàyè. Orí IPIP ń gbé inú ẹrù tí a ti fi ààmì ìpamọ́ pa, níbi tí kò sí ògiri-iná etí tí ó ń rí i. Ṣíṣí ìlànà 4 bẹ́ẹ̀ kò ra ohunkóhun mìíràn yàtọ̀ sí ọ̀nà tí a gbà láàyè kan síi sínú olùgbàlejò.

Ìlànà tí ó mẹ́nu kan àwọn orísun àti ibi tí pákẹ́tì ìpilẹ̀ ń lọ jẹ́ ti lẹ́yìn ìṣíṣẹ́ ìṣàkópadà, lórí àwọn ojú-ipadà òpópónà àti nínú tábìlì ìtọ́sọ́nà. Fi síbẹ̀, òfin etí lè dúró ní títì.

Ohun tí WireGuard ń fi dáa mọ̀ ní ti gidi

AllowedIPs ń ṣe ìdájọ́ orísun pákẹ́tì tí WireGuard ń gbé, ohun tí ó ń gbé sì ni pákẹ́tì tí a fi IPIP ṣàkópadà. A gba orísun IPIP tí a gbà láàyè pàápàá nígbà tí orí inú ń dárúkọ olùgbàlejò tí o kò fẹ́ tọ́sọ́nà sí. Nítorí náà orísun ìpilẹ̀ kì í ṣe ohun tí ẹgbẹ́ ṣàyẹ̀wò fún ọ, pẹ̀lú àwọn àdírẹ́sì inú yẹn nílò ìmúṣẹ tirẹ̀ lẹ́yìn ìṣíṣẹ́ ìṣàkópadà.

Ìbora ń pèsè ìgbékalẹ̀ ìtọ́sọ́nà, kì í ṣe ìpele ìpamọ́ kejì. Pípè IPIP ní ààbò àfikún inú WireGuard ń ṣàpèjúwe àpilẹ̀kọ mìíràn.

Fi ìgbésẹ̀-ìgbésẹ̀ ṣàyẹ̀wò, kì í ṣe ping kan

Dán àwọn ìwọ̀n tí ó yí ààlà tí o ṣirò ká wo, lẹ́yìn náà fi dáa mọ̀ ohun tí kọ́nrù tí ó rò nípa ẹ̀rọ méjèèjì. Nígbà tí 1360 byte ẹrù àti 40 byte orí bá parapọ̀ di 1400, ìrópadà àkọ́kọ́ nísàlẹ̀ wọ̀ inú, èkejì sì jókòó ní byte kan jáde kọjá òrùlé:

ping -M do -s 1372 10.9.0.2
ping -M do -s 1373 10.9.0.2
wg show wg0
ip -d link show ipip0

Kíkọjá mímọ́ nísàlẹ̀ òrùlé àti ìkùnà ní ìwọ̀n àkọ́kọ́ tí ó wà lókè rẹ̀ túmọ̀ sí pé ìṣirò dúró láti ìbẹ̀rẹ̀ dé ìparí. Lẹ́yìn náà tún ìgbékalẹ̀ tí ó dúró ní ìbẹ̀rẹ̀ ṣe, nítorí ìwádìí oníṣirò ń fi ìsètò hàn kò sì sọ ohunkóhun nípa ìwọ̀n kíkọ olùránṣẹ́ fúnra rẹ̀. Tí ọ̀nà tí a fi sínú bá ṣì ń já ní ìwọ̀n tí o fi hàn pé ó wọ̀ inú, yẹ àwọn ìṣíṣẹ́ ìṣàkópadà àti àwọn ọ̀nà ìparí jíjìn wò kí o tó gé ìwọ̀n mẹ́wàá mìíràn kúrò nínú MTU.