Ìtúnṣe MSS ti TCP lórí ẹnu-ọ̀nà Linux IPsec: kí ni ó ń túnṣe

Ping ń ṣiṣẹ́, SSH ń ṣiṣẹ́, ojú-ìwé kékeré kan ń gbé wọlé, lẹ́yìn náà gbogbo ìdáhùn ńlá ń dúró títí àkókò yóò fi parí. Àpẹẹrẹ àtijọ́ ń tọ́ka sí ìwọ̀n pákẹ́tì, kì í ṣe ìwọlé: ọ̀nà náà ń gbé ìfọwọ́sowọ́pọ̀ àti kílóbáìtì díẹ̀ àkọ́kọ́, lẹ́yìn náà ẹ̀ka ìwọ̀n kíkún kan ń pòórá. Lórí ẹnu-ọ̀nà Linux IPsec, òfin TCP MSS sábà ni ojútùú, ṣùgbọ́n kìkì bí o bá lóye ohun tí ó ń yí padà àti ibi tí pákẹ́tì tí ó ń fọwọ́ kàn wà ní tòótọ́. Ìtẹ̀léẹ̀sẹ̀ tí ó wà nísàlẹ̀ ń tẹ̀lé pákẹ́tì náà láti àmì àìsàn dé ibi tí a gbé òfin sí, kí o lè dúró ní kété tí àlàyé náà kò bá tún bá a mu.

Àmì àìsàn tí ó ń dábàá MSS

TCP ń ṣe ìdúnàdúrà nípa ìwọ̀n ẹ̀ka tí ó pọ̀ jù lọ nínú ìfọwọ́sowọ́pọ̀. Bí iye yẹn bá tóbi ju èyí tí ọ̀nà náà lè gbé lẹ́yìn ìdìpọ̀, olùránṣẹ́ ń tẹ̀síwájú láti ṣe àwọn ẹ̀ka tí kò dé rárá, ìsopọ̀ náà sì ń dúró lẹ́yìn ìyí àkọ́kọ́. Àwọn ìdáhùn kékeré wọlé; àwọn ńlá kò wọlé.

Ìpadàbọ̀ ICMP lè gba ìsopọ̀ náà là nípasẹ̀ wíwá MTU ọ̀nà, ògiri iná tí ó ń sọ àwọn ìfiránṣẹ́ yẹn nù yóò sì sọ ìdúró náà di ihò dúdú tí kò ní ìró. Ìdí ni pé ònà kanna ń ṣiṣẹ́ fún ohun-èlò kan, ó sì ń kùnà fún òmíràn láìsí ìyàtọ̀ tí ó hàn nínú ìtòlẹ́sẹẹsẹ.

Ohun tí òfin TCPMSS ń ṣe àti ohun tí kò ṣe

Òfin náà ń tún àṣàyàn MSS kọ nínú àwọn pákẹ́tì ìfọwọ́sowọ́pọ̀ TCP bí wọ́n ti ń kọjá. Kò ṣètò MTU ti ojú-ọ̀nà ònà abẹ́lẹ̀, kò yí ìlànà IPsec padà, àti lórí àwọn kérènẹ̀lì ìsinsìnyí ó ń sọ iye tí a kéde kalẹ̀ nìkan dípò gbígbé èyí tí ó ti kéré jù lókè. Ó tún kan TCP nìkan; àwọn ẹrù UDP, ìhùwàsí DNS àti àwọn aṣàyàn ìrìnnà tí a dúnàdúrà lórí wà ní ìta ìkànìyàn rẹ̀.

Nítorí pé ìyípadà náà ń ṣẹlẹ̀ ní àkókò ìfọwọ́sowọ́pọ̀, ìsopọ̀ tí ó ti wà tí a ti dá sílẹ̀ ṣáájú òfin náà ń pa iye rẹ̀ àtijọ́ mọ́. Dánwò pẹ̀lú ìsopọ̀ tuntun, kí o sì retí pé ìgbìyànjú àkọ́kọ́ lẹ́yìn ìyípadà náà ni yóò sọ ohun kan fún ọ. Kò sí ohun kan nínú òfin náà tí ó dé ìsopọ̀ tí ó ti ṣí sílẹ̀ tẹ́lẹ̀. Ìdí ni pé àtúnṣe tí a ṣe ní àárín ìṣẹ̀lẹ̀ kan lè dàbí ẹni pé kò ṣe ohunkóhun.

Gbé òfin náà sí ọ̀nà TCP inú

Lórí ẹnu-ọ̀nà Linux tí ó dá lórí ìlànà, pákẹ́tì tí a fi ránṣẹ́ síwájú ṣì dàbí TCP lasan nígbà tí ògiri iná bá rí i. Ìlànà IPsec pinnu pé a ó dáàbò bo pákẹ́tì náà; ògiri iná kò rí orí-ọ̀rọ̀ ESP fún ṣíṣàn inú, nítorí náà ìbámu pẹ̀lú ESP níbí ń ṣàpèjúwe pákẹ́tì tí ó yàtọ̀ pátápátá. Àìbámu yẹn ni ìdí tí àwọn òfin kan fi dàbí ẹni tí ó tọ́ tí wọ́n kò sì bámu rárá.

Nínú àwọn ọ̀rọ̀ iptables, òfin náà wà nínú tábìlì mangle lórí ọ̀nà ìfiránṣẹ́ síwájú, tí a fi mọ́ àwọn pákẹ́tì ìfọwọ́sowọ́pọ̀: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1270. Nọ́mbà náà jẹ́ àpẹẹrẹ, kì í ṣe ìdúró àgbáyé; yọ ọ jáde láti inú ìnáwó ìdìpọ̀ àti MTU gidi ti ọ̀nà náà. Ìbámu nftables ń ṣètò ìwọ̀n ẹ̀ka tí ó pọ̀ jù lọ nínú ẹ̀wọ̀n forward tàbí postrouting.

Ya àwọn òfin ìgbọ́rọ̀ ìta fún IKE àti ESP sọ́tọ̀ kúrò lára àwọn òfin ìfiránṣẹ́ inú. Òfin kan ṣoṣo tí ó ń gbìyànjú láti fàyè gba ṣíṣàn ohun-èlò àti ìlànà ìta pẹ̀lú nígbẹ̀yìngbẹ́yín kò bá ọ̀kan nínú wọn mu ní ìgbẹ́kẹ̀lé.

Bọ̀wọ̀ fún ẹni tí ó ni ògiri iná àti ìtẹ̀léẹ̀sẹ̀ NAT

Bí UFW bá ni ògiri iná ti agbàlejò, fi àwọn ìyípadà mangle àti ìfiránṣẹ́ kún nípasẹ̀ ìtòlẹ́sẹẹsẹ ayé àtọ̀runwá tí ó ṣe àtìlẹ́yìn fún dípò kíkọ àṣẹ tí yóò pòórá ní ìgbà tí a bá tún gbé e wọlé. Òfin tí a fi sínú tábìlì tí kò tọ́ tàbí lẹ́yìn òfin ìparí kò ní ipa, tábìlì tí ó wà ní ìṣiṣẹ́ sì ń fi ìyẹn pa mọ́ fún ọ.

Ìtumọ̀ orísun jẹ́ ìpinnu ọ̀tọ̀ tí ó sábà ń ṣe àjọṣepọ̀ pẹ̀lú èyí. Àyọkùrò tí a gbé síwájú òfin masquerade gbogbogbò ń dáàbò bo ìrìnnà tí a ṣe ààbò fún láti pàdánù orísun tí ìlànà rẹ̀ ń béèrè; kò túnṣe ìṣòro ìwọ̀n kan, òfin ìwọ̀n kan kò sì túnṣe ìṣòro ìtumọ̀ kan.

Ṣàyẹ̀wò ní dídín, lẹ́yìn náà dúró

Ṣí ìsopọ̀ tuntun sí iṣẹ́ tí ó ń kùnà kí o sì wo ohun-èlò náà àti àwọn olùkà òfin náà. Bí ìdúró náà bá lọ, o ní ẹ̀rí nípa ọ̀nà TCP yẹn pẹ̀lú ìdìpọ̀ yẹn. O kò ní ẹ̀rí pé gbogbo ìlànà VPN bámu, pé gbogbo ohun-èlò UDP ti túnṣe, tàbí pé iṣẹ́ òkè kan pàtó ni ó jẹ́ kókó ìpilẹ̀.

Jẹ́ kí ìpadàbọ̀ ìwọ̀n ICMP ṣiṣẹ́ níbi tí ìlànà bá gbà á, kí o sì tọ́jú ìtúnṣe aládàáṣe tí ó dá lórí MTU ti ipa-ọ̀nà pẹ̀lú ìṣọ́ra nígbà tí ọ̀nà IPsec ìta kò bá jẹ́ aṣojú nípasẹ̀ ipa-ọ̀nà inú. Bí ìparí náà bá dín tó, bẹ́ẹ̀ ni yóò rọrùn láti ṣàyẹ̀wò ìṣẹ̀lẹ̀ tí ó tẹ̀lé.