MTU / MSS を最適化する | yabe.jp
ルーターを語る上で避けて通れないのが MTU / MSS ですね。自分も L2TPv3 によるレイヤー２ VPN を設定したのを機に、きちっと計算してみました。 MTU / MSS とは MTU は通信インターフェースが通せる最大データサイズ、 MSS は TCP/IP の通信の際のデータ（ペイロード）の最大サイズです。例えば大抵の LAN のインターフェースである Ethernet の場合 MTU は 1500 バイトです。その Ethernet で TCP/IP のパケットを流す場合、 MSS は大抵の場合 MTU – IP ヘッダ – TCP ヘッダ = 1500 – 20 – 20 = 1460 となります。パケットの大きさが MTU の大きさを超えると不必要にパケットが分割され、通信が遅くなります。そのようなオーバーヘッドを避けるには、ルーターで適切に MTU / MSS を設定
StrongSwan で作る iOS 対応 IKEv2 VPN サーバー - Qiita
iOS から接続できる IKEv2 VPN サーバーの作り方を紹介します。 準備 iOS デバイスにクライアント証明書をそれぞれ発行するのは面倒なので、クライアント側はユーザー名とパスワードで認証することにして、サーバー証明書だけ準備しておきます。 サーバー証明書 OpenSSL 等を用いて適当に作成します。作成方法は簡単に検索で見つかるのでここでは書きませんが、 CN はサーバー名になるので気をつけましょう。既存のサーバー証明書があれば流用する事もできます。 秘密鍵を /etc/ipsec.d/private/ に、証明書を /etc/ipsec.d/certs/ にコピーしておきます。以降の説明では、それぞれのファイル名が server.key および server.pem であるものとします。 StrongSwan 設定 StrongSwan をインストールしたら必要な設定を書き込み
strongSwanでVPN (IKEv2)を構築する - Qiita
1.はじめに 前回はL2TP/IPSecなVPNを作成しました。 今回はIKEv2(IPSec EAP MSCHAPv2)なVPNを構築します。 以下のクライアントから接続できることを確認しています。 Windows 10: IKEv2接続 Android 6.0.1: strongSwan VPN Client VPNサーバーのOSは以下の通りです。 UbuntuServer 15.04 SELinux は無効化 2.手順 2.1.必要なアプリの導入 2.2.各種設定 認証用ファイル作成 サーバー側用に秘密鍵や証明書を作成します。strongSwanには証明書の作成向けにipsec pkiがあります。作成したファイルは以下の場所に適切に配置します。 /etc/ipsec.d/cacerts/: 認証局証明書 /etc/ipsec.d/certs/: サーバー証明書 /etc/ipsec.
MSS クランプによって Path MTU Discovery 問題を回避する (ADSL, ケーブル, PPPoE, PPtP ユーザ向け)
15.7. MSS クランプによって Path MTU Discovery 問題を回避する (ADSL, ケーブル, PPPoE, PPtP ユーザ向け)先に説明があったように、Path MTU Discovery は、 もう以前のようにはうまく動作しません。 ネットワークの経路のどこかに、MTU の制限 (<1500) があるとわかっているような場合に、 PMTU Discovery がこれを発見してくれると期待することはできません。 MTU 以外にも、パケットの最大サイズを設定する方法はあります。 これは Maximum Segment Size と呼ばれています。 これは SYN パケットの一部、TCP オプションのフィールドです。 最近の Linux カーネルと、いくつかの PPPoE ドライバ (特に Roaring Penguin のが素晴らしい) は、 この MSS を「クラ
IPSec で暗号化されたパケットの，iptables 上での識別方法 : DSAS開発者の部屋
Linux 2.6 カーネルでは，2.4 カーネルの FreeS/WAN の IPSec の実装とは異なって，ESP でカプセル化されたパケットが届くネットワークインタフェースと，カプセル化が解かれたパケットが届くインタフェースは同じものにるので，IPSec のチャンネルを通ってきたパケット，を識別しづらくなっています．(2.4 カーネルの FreeS/WAN の場合，カプセル化が解かれたパケットは，専用のインタフェースから届く形になっています.) しかし，フィルタリングする上で，そのパケットが ESP 化されて届いたのかそれとも生の形で届いたのかを識別するのは，時としてとても重要になります． iptables -A FORWARD -m policy --pol ipsec --proto esp --dir in -i $OUT -d $LAN -j ACCEPT といった形になります
Forwarding and Split-Tunneling :: strongSwan Documentation
In remote access situations clients will usually send all their traffic to the gateway. Below we explain how this traffic can be forwarded and properly routed back to the roadwarriors. In some situations it might be more desirable to send only specific traffic via the gateway, for instance, to unburden it from forwarding web or even worse, file sharing traffic. Therefore, we also explain how to en
CentOSでVPN(IKEv2) を 構築する with StrongSwan Part.2 ~ MTU値の調整 ~ - /var/log/soymsk
特定のサイトにつながらない 前記事で設定したVPNサーバーを経由した場合に、特定の一部サイト（github.com, yahoo.com)にアクセスできないことがわかった。 現象としては、 ping は通るが、80ポートの返答がない https, httpなどプロトコルにはよらない VPNサーバーとして動かしているLinux(CentOS)上からはアクセスできる。 tracerouteの結果は、最初の数段は通るが、以降はtimeoutしてしまっていた。 これもかなりハマってしまったが、原因を探してみると、どうやら経路間のMTU値の設定がVPNを経由した場合にうまくいかないようだ。 PMTUD MTUはMaximum Transmission Unitの略で、１フレームごとに送信するデータの最大値を意味する。 MTUは現在ではデフォルト1500になっていることが多いが、経路によってはこの値が
IPsec - AH・ESP・IKE
◆ IPsecとは IPsecは、暗号化システムの技術によりネットワーク層にて、データのセキュリティを保護するのに使用 されるプロトコルです。 IPsecは、AH、ESP、IKEなどのプロトコルから構成されています。このIPsecを 使用したVPN接続により、インターネットなどの公共インフラでも安全に通信することが可能になります。 ◆ IPsecの動作するレイヤー IPsecはネットワーク層で動作するので、上位層であるトランスポート層でTCPであろうがUDPであろうが 問題なく動作するし、制限もない事から特定のアプリケーションに依存しません。ただしネットワーク層は IPである必要があります。ちなみにIPsecとは関係ありませんが、SSLはセッション層で動作します。そして ネットワーク層はIP、トランスポート層はTCPである必要があります。このためTCP/IPを利用するすべての アプリケーシ
拠点間インターネットVPN （NAT超え）に関する整理 | Check!Site
記事投稿者：山下 晴規 記事公開日：2012/12/24 最終更新日：2014/02/03 （この記事は約1年以上経過しています。） 拠点間インターネットVPN（IPsec）を使って、NATをかました通信を行う事を考えています。その為の考え方や仕様について、簡単に整理してみました。初歩的なところからになり、かつ、技術的な詳細までには踏み込んでいませんが、以下に記載しておきます。 VPNの種類 まず、VPNとは、Virtual Private Network の略で、仮想的にプライベートネットワークを繋げる技術です。 VPNの種類を大きく分けると インターネットVPN と IP-VPN の2種類があります。 インターネットVPNの種類を大きく分けると、IPsec-VPN と SSL-VPN の2種類があります。 IPsec-VPN の種類を大きく分けると、拠点間VPNと、リモートアクセスVP
strongSwan 5: How to create your own private VPN | Zeitgeist
Update 04/20/2014: Adjusted to take into account the modular configuration layout introduced in strongSwan 5.1.2. Tweaked cipher settings to provide perfect forward secrecy if supported by the client. This article is a step by step guide on how to prepare strongSwan 5 to run your own private VPN, allowing you to stop snoopers from spying on your online activities, to bypass geo-restrictions, and t
MTU woes in IPsec tunnels and how you can fix it | Zeitgeist
Today I ran into a problem with IPsec Xauth PSK and the built-in Android VPN client (Android 4.1.2), resulting in some sites (such as www.yahoo.com) not loading through the VPN tunnel. Turns out I was dealing with MTU issues. When the Android VPN is started, it sets the MTU to 1500 on the tun0 interface: $ ip link show tun0 33: tun0: <POINTOPOINT,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOW
iOS用のIKEv2なVPN接続環境を作成 - Qiita
常時接続（Always-on）VPNの環境を試してみたかった事と、 自宅アクセスをSoftetherによるL2TP/IPSecから置き換えるためのメモ （iOS10.1では常時+プロキシができなくなっている模様。10.2に期待） ある程度形ができたので時間がある時に更新をしておきたい MSSの調整とファイアーウォールの手軽な方法が見当たらないので、未だ実用は難しい。 現版は試行錯誤中のもの 何かお手軽な認証局は無いものか。 さくらのVPS（プラン1G） Ubuntu Server 16.04.1 LTS（ISOイメージインストール） CentOSも概ね同じ手順。 /etc を /etc/strongswan に読み替え、 ipsec コマンドを strongswan コマンドに読み替える。 インストールは
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPSEC IKEv2 による VPN 構築方法メモ for mac/windows/android | moriya9n.github.io
Objective-C 2.0プログラミング言語