У меня есть две настройки, в которых я хочу изменить MSS для пакетов, проходящих через систему. В первом у меня есть настройки enp2s0 и enp3s0 в качестве моста. Есть ли способ заставить iptables изменить MSS во входящем пакете, прежде чем он передаст его обратно?
[root@localhost network-scripts]# ip a s
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: enp1s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN qlen 1000
link/ether 00:60:e0:6f:8c:62 brd ff:ff:ff:ff:ff:ff
3: enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq master br0 state UP qlen 1000
link/ether 00:60:e0:6f:8c:63 brd ff:ff:ff:ff:ff:ff
4: enp0s31f6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 00:60:e0:6f:8c:61 brd ff:ff:ff:ff:ff:ff
inet 192.168.5.248/24 brd 192.168.5.255 scope global enp0s31f6
valid_lft forever preferred_lft forever
inet6 fe80::1842:306e:fb55:fe3/64 scope link
valid_lft forever preferred_lft forever
5: enp3s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq master br0 state UP qlen 1000
link/ether 00:60:e0:6f:8c:64 brd ff:ff:ff:ff:ff:ff
7: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP qlen 1000
link/ether 00:60:e0:6f:8c:63 brd ff:ff:ff:ff:ff:ff
inet6 fe80::260:e0ff:fe6f:8c63/64 scope link
valid_lft forever preferred_lft forever
[root@localhost network-scripts]#
Во втором случае у меня настроен весь трафик на фиктивный tun0, который отправляет трафик в очередь 0, где программа, похожая на snort, анализирует пакеты.
root@pink:~/blue# iptables-save
# Generated by iptables-save v1.6.0 on Sun Jan 14 13:22:07 2018
*raw
:PREROUTING ACCEPT [84:6848]
:OUTPUT ACCEPT [21:2348]
-A PREROUTING -i tun0 -j NFQUEUE --queue-num 0
COMMIT
# Completed on Sun Jan 14 13:22:07 2018
# Generated by iptables-save v1.6.0 on Sun Jan 14 13:22:07 2018
*filter
:INPUT ACCEPT [110838:165446612]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [87556:6202390]
COMMIT
# Completed on Sun Jan 14 13:22:07 2018
root@pink:~/blue#
Я пробовал это https://www.frozentux.net/iptables-tutorial/chunkyhtml/x4721.html но, похоже, это не сработало.
Вы можете использовать цель TCPMSS iptables, чтобы изменить значение TCP MSS, т.е. выполнить ограничение MSS.
Чтобы установить конкретный MSS (здесь: 800), используйте:
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 800
Обратите внимание, что это становится немного сложнее, если вы используете conntrack. Это правило должно прийти перед правило conntrack. В противном случае он будет работать только для SYN-пакетов, но не для SYN ACK, которые будут приняты conntrack до того, как они попадут в правило TCPMSS.
Также обратите внимание, что фиксация MSS - это хитрость и она нужна только в том случае, если у вас сломаны приложения конечного пользователя.