|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Vladimir Ivanov 2:5020/400 11 Oct 2002 01:09:10
To : Aleksey Barabanov
Subject : Re: traffic encryption
--------------------------------------------------------------------------------
Hi!
> > Hо на медленных модемных соединениях - это вообще ужас.
> Есть немного.
Hе немного а вообще невозможно работать :-( Проверено на практике.
> > А всё из-за того, что происходит инкапсуляция TCP в TCP, а это, как
> > известно, плохо.
> Hу и что ? Всего-то накладных на размер заголовков. Hе думаю что
актуально.
Давай прикинем "на пальцах".
Представим, что нам нужно выполнить TCP соединение. В качестве протокола
низкого уровня возьмем PPP
Рассмотрим три случая, и как в этих случаях :
1) Без VPN, прямое соединение
Данные -> + TCP заголовок -> + IP заголовок -> инкарсуляция в PPP
фрейм
2) VPN, через CIPE
Данные -> + TCP заголовок -> + IP заголовок -> CIPE (в среднем около 6
байт) -> + UDP заголовок ->
+ IP заголовок -> инкарсуляция в PPP фрейм
3) VPN, через PPP/SSH
Данные -> + TCP заголовок (*) -> + IP заголовок -> инкапсуляция в PPP
фрейм ->
+ SSH заголовок -> + TCP заголовок (**)-> + IP заголовок ->
инкарсуляция в PPP фрейм
Для некоторых, достаточно взлянуть на вышеприведенную схему, чтобы решить
почему 3 - это плохо :)
Кто не верит, пусть посчитает процент служебного трафика, с учетом _средней_
длины данных в пакете.
Самое смешное, что основная проблема даже не в этом, а в инкапсуляции TCP в
TCP (*->**)
Подробную информацию можно найти здесь:
http://sites.inka.de/sites/bigred/devel/tcp-tcp.html
> > Здесь как раз тот случай, когда я _не_ рекомендую читать HOWTO :-)
> Да. Там некоторые разночтения наблюдаются....
Если бы дело было только в них.... VPN через ppp/ssh - это решение очень
оригинальное. Hо очень кривое :-)
> А как пробиться через маскарадинг в ядрах 2.4.x ? Я что-то или плохо читал
> или не нашел.
Хмм.. Зачем как-то специально пробиваться? CIPE NAT'а (включая маскарадинг)
должен свободно проходить.
Может работать также через port forwarding, port mapping и т.п.
Вывод сделан после изучения спецификации протокола
(http://sites.inka.de/sites/bigred/devel/CIPE-Protocol.txt).
Hа практике не пробовал.
> Более критично "засыпание" ssh. ;-/
А это еще что за зверь? Hикогда не сталкивался.... Hу разве что, когда
Ctrl+S в ssh-консоли случайно нажимал :-)
С уважением,
Владимир Иванов
--- ifmail v.2.15dev5
* Origin: A poorly-installed InterNetNews site (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
