 Path MTU Discoveryブラックホールの問題解決
その１
TCPを使用した通信に限定した解決方法になりますが、異なるMTU値が定義されたルータにて
適正なMSSサイズを定義することにより、通信のはじめとなる3
way-handshakeの際にルータに
設定されたMSSサイズが送信先に通知される為、送信元で作成されるIPデータグラムがルータ
のMTU値を超えることなく正常に通信することができます。ルータでMTU値を小さく設定していた
しても、自動的にMSS値が調整されてI/Fに適用される分けではないので、MTU値が小さくなる
I/FのルータでこのMSS値を設定することは推奨というより必須です。例えば、以下の設定により
このCiscoルータを通過するTCP SYNパケットのMSSが
[ 960 ] となり、送信先へ通知されます。
| Cisco(config-if)# ip tcp adjust-mss 960 |
Path MTU Discoveryブラックホールの問題解決 その２
DF=1( 分割禁止 ) にて受信したIPデータグラムを、着信インターフェースにてDFビットをクリアする
こと ( DF=0 ) により、ルータ上でフラグメントが可能にすることによってもこの問題を解決できます。
但し、着信パケットに対してその都度、IPフラグメントを発生させるとスループットが著しく落ちます。
※ 送信元PCによるデータ分割とルータ上での着信パケットに対するデータ分割は意味が違います。
問題解決1の方法でも解決せず、PMTUD Black Holeにより通信できなくなる状態が発生した時の
苦肉の策として使用する手法と言えます。以下はCiscoでroute-mapを使用してDF=0にする例です。
Cisco(config)# interface fastethernet 0/0
Cisco(config-if)# ip policy route-map R-df
Cisco(config)# route-map R-df permit 10
Cisco(config-route-map)# match ip address
101
Cisco(config-route-map)# set ip df 0
Cisco(config)# access-list 101 permit ip
any any
|
その他、ネットワーク上でGREトンネリングを実装しているルータのTunnelインターフェース上で
MTU値を1500に上げる手法もありますが、この手法でもルータ上でIPフラグメントが発生します。
因みに、Path MTU Discoveryが有効になっているホストでは一般的に全てのTCP/IPパケットに
DFビットが立ちます(DF=1)が、例えばPINGのICMP
datagramにはIPでDFビットが立っておらず
WindowsからDFビットを立ててPINGするためには
[ -f ] のパラメータをPINGコマンドに必要です。
ICMP( type3 code4) メッセージの制限
Ciscoルータでは、DoS攻撃に対してCPUを保護するために、送信するICMP
( type3 code4 ) の
メッセージを1秒につき2パケット(
= 500msあたり1パケット
) に制限しています。デフォルト設定で
Ciscoルータでは [ ip icmp rate-limit
unreachable DF 500 ] と定義されています。従いまして、
1秒につき2パケット以上のICMP( type3
code4
)メッセージを出す必要のある環境では、この値を
調整するか、以下のように [ no ] で打ち消してICMPメッセージの制限を無効にする事もできます。
| Cisco(config# no ip icmp rate-limit unreachable
DF |
ICMPのフィルタリングについて
Path MTU Discoveryが失敗するのは、一般的にICMPのフィルタリングが原因とされています。
ネットワーク管理者は、ICMPフィルタイングをACLなどで実装する時、特定のICMPのメッセージ
タイプだけのブロックではなく全てのICMPをブロック
[ deny icmp any any ] にする傾向があると
言われています。ICMPのフィルタリングを実装する場合は、以下のACL101で実装しているように
最低限 [ code3=unreachable ] [ code11=time-exceed
] は許可することが推奨とされています。
Cisco(config# access-list 101 permit icmp
any any unreachable
Cisco(config# access-list 101 permit icmp
any any time-exceeded
Cisco(config# access-list 101 deny icmp any
any
Cisco(config# access-list 101 permit ip any
any
|
|