Desde hace algún tiempo me consultan acerca de problemas que se presentan en redes VPN IPSec con el MTU (La unidad máxima de transferencia o Maximum Transfer Unit) y trataré de explicar por qué se producen estos problemas.
Ejemplos de MTU para distintos protocolos usados en Internet:
Ethernet: 1518 bytes
PPPoE: 1492 bytes
ATM (AAL5): 8190 bytes
FDDI: 4470 bytes
PPP: 576 bytes
Para el caso de IP (Protocolo de Internet), el máximo valor de la MTU es 65.536 bytes pero este es en realidad un valor teórico. El tamaño del datagrama IP por defecto es 576 bytes y esto tiene que ver con el hecho de que un datagrama IP atravesará varios tipos de red IP antes de llegar hasta su destino y se debería estar seguro de que puede atravesar toda red en su camino. En la actualidad casi todas las redes están basadas en productos Ethernet y sus derivados por lo que se ha fijado de hecho el tamaños del MTU en 1500 bytes.
El protocolo ICMP es necesario para que PMTUD (Path MTU Discovery) funcione. Esto consiste en una serie de mensajes ICMP que establecen el tamaño maximo del MTU de destino y por lo tanto el tamaño máximo del datagrama que podemos enviar al destino.
Para descubrir el MTU hasta algún destino, se utiliza una técnica conocida como PMTU-D “Path MTU – Discovery”, la cual depende de un paquete icmp de tipo “destination-unreachable” con código “Fragmentation needed but DF set” (tipo 3, código 4).
Cada vez más administradores de red con poco conocimiento real del protocolo IP y para evitar ataques de negación de servicio (DoS) se dedican a bloquear el pineo en general (ping) o protocolo ICMP (de capa cuatro según el modelo OSI) y esto trae problemas en la interoperabilidad de las redes al no funcionar PMTUD y no poder determinar el maximo MTU del destino.
El problema con las VPN IPSEC
Los datagramas IPSEC no deben ser fragmentados para preservar la integridad de los datos cifrados. Cuando un datagrama llega a un Gateway IPSec se le suman a los 1500 bytes que trae los datos de encabezamiento IPSec por lo que el datagrama sobrepasa los 1500 bytes. Como el administrador de la red cerró los pines es decir bloqueó el protocolo ICMP en su totalidad, los equipos carecen de una herramienta que les permite averiguar el MTU de destino y son bloqueados al no poder disminuirse el tamaño del datagrama según sea necesario.
La solución en Linux y Openswan:
Los sistemas linux vienen por defecto con el PMTUD desactivado y debe ser activado agregando al archivo /etc/sysctl.conf lo siguiente:
net.ipv4.ip_no_pmtu_disc=0
No bloquer los mesajes de PING o ICMP de icmp de tipo “destination-unreachable” con código “Fragmentation needed but DF set” (tipo 3, código 4).