[IPv4] Send icmp errors using inbound ifaddr #58

New Issue

mantis-bot · 2021-01-05T14:01:54+01:00

mantis-bot commented

2021-01-05 14:01:54 +01:00

Durch den ganzen NAT Blödsinn bei IPv4 müssen auch ICMP Fehler zwingend durchs NAT, damit der Inhalt des ICMP Packets ebenfalls passend zurückgenated werden kann.

Normalerweise senden Router ICMP Fehler wie neue Pakete, daher senden Router mit eigenem WAN für VPN ICMP Fehler nicht über das Interface zurück, über das das Fehlererzeugende Paket gekommen ist, sondern über das WAN Interface.
Dadurch können Probleme mit der PMTUD entstehen, die durch das dank der vielen kaputten Webserver mit kaputten Firewalls bei IPv4 nötige MSS Clamping meistens versteckt werden.

Mit "net.ipv4.icmp_errors_use_inbound_ifaddr = 1" kann das Problem umgangen werden.

Für das klassische Setup, bei dem ein layer3 Router Downstream keine verkleinerte MTU mehr hat, ist das egal, dennoch sollten wir diese Option setzen.

Reported by: fbl
Submitted on: 2020-05-08
Imported from: https://mantis.freifunk-franken.de/view.php?id=0000142

Durch den ganzen NAT Blödsinn bei IPv4 müssen auch ICMP Fehler *zwingend* durchs NAT, damit der Inhalt des ICMP Packets ebenfalls passend zurückgenated werden kann. Normalerweise senden Router ICMP Fehler wie neue Pakete, daher senden Router mit eigenem WAN für VPN ICMP Fehler nicht über das Interface zurück, über das das Fehlererzeugende Paket gekommen ist, sondern über das WAN Interface. Dadurch können Probleme mit der PMTUD entstehen, die durch das dank der vielen kaputten Webserver mit kaputten Firewalls bei IPv4 nötige MSS Clamping meistens versteckt werden. Mit "net.ipv4.icmp_errors_use_inbound_ifaddr = 1" kann das Problem umgangen werden. Für das klassische Setup, bei dem ein layer3 Router Downstream keine verkleinerte MTU mehr hat, ist das egal, dennoch sollten wir diese Option setzen. Reported by: fbl Submitted on: 2020-05-08 Imported from: https://mantis.freifunk-franken.de/view.php?id=0000142

fbl was assigned by mantis-bot

2021-01-05 14:01:54 +01:00

fbl added the

mantis

label 2021-01-05 14:24:07 +01:00

fbl added this to the 20210211-beta milestone 2021-01-05 15:54:09 +01:00

fbl added the

layer3

label 2021-01-05 15:54:24 +01:00

fbl commented

2021-01-09 11:41:45 +01:00

Already fixed with c91e2d03ec