set security-association mss-fix out (crypto map)
set security-association mss-fix out (crypto map)
Команда set security-association mss-fix out включает режим изменения опции MSS (Maximum segment size) в TCP заголовке исходящего TCP пакета, подлежащего шифрованию.
Синтаксис set security-association mss-fix out no set security-association mss-fix out | |
Режимы команды | Crypto map configuration. |
Рекомендации по использованию | Просматриваются TCP заголовки у исходящих, подлежащих шифрованию пакетов. В случае, если в TCP заголовке выставлен флаг SYN и есть опция MSS, то значение MSS сравнивается с вычисленным (см. Примечание 1). Если текущее значение опции MSS в TCP заголовке превышает вычисленное, то в заголовок прописывается вычисленное значение и корректируется контрольная сумма TCP заголовка. |
Примечание 1 | Значение вычисляется на основе параметра эффективного MTU трассы для данного IPsec SA, полученного при работе PMTUD (Path MTU Discovery) для данного IPsec SA, и выставленного значения MTU из set security-association mtu – из двух выбирается наменьшее значение MTU. Если set security-association mtu не задан, то используется MTU, полученный в ходе работы "Path MTU Discovery" (см. Примечание 2). Из полученного ранее MTU вычитаются накладные расходы на шифрование, длина TCP заголовка (20 байт) и длина IP заголовка – в зависимости от версии IP данного TCP пакета - 20 байт для IPv4 либо 40 байт для IPv6. Итоговое значение и сравнивается с опцией MSS в TCP заголовке. |
Примечание 2 | Механизм PMTUD (Path MTU Discovery) работает следующим образом: производится обработка ICMP-сообщений типа destination unreachable/fragmentation needed, приходящих в ответ на IPsec-пакеты. На основе этих сообщений вычисляется эффективное значение MTU трассы (максимальный размер пакета, проходящего по всему каналу без фрагментации) |