کشف Path MTU و سیاه‌چاله ICMP: رفع اختلالات اتصال VPN و تنظیم TCP MSS

یکی از پیچیده‌ترین اختلالات در مهندسی شبکه‌های کامپیوتری، پدیده «انجماد خاموش» (Silent Freeze) در اتصالات است. در این حالت، مصافحه سه‌مرحله‌ای اولیه TCP Three-Way Handshake با موفقیت کامل انجام می‌شود، بسته‌های کنترلی کوچک (۴۰ تا ۶۰ بایت) بدون مشکل جابه‌جا می‌شوند، اما به محض آغاز تبادل داده‌های حجیم کاربردی—مانند بارگذاری یک وب‌سایت پر از محتوای چندرسانه‌ای، تبادل گواهی دیجیتال TLS 1.3 ServerHello یا احراز هویت کلیدهای OpenSSH—ارتباط ناگهان متوقف می‌شود. هیچ پیام خطایی نظیر TCP RST دریافت نمی‌شود و نشست شبکه تا زمان سررسید تایم‌اوت بازفرستادن TCP Retransmission Timeout معلق می‌ماند.

در شبکه‌های خصوصی مجازی و معماری‌های تونل‌زنی لایه ۳ (مانند WireGuard)، این معضل تقریباً همواره از اختلال در سازوکار کشف واحد بیشینه انتقال در مسیر (Path Maximum Transmission Unit Discovery - PMTUD) بر پایه استاندارد RFC 1191 و پدیدار شدن سیاه‌چاله ICMP (ICMP Black Hole) ناشی می‌شود.

شبکه‌های اترنت استاندارد (IEEE 802.3) دارای سقف انتقال Maximum Transmission Unit (MTU) معادل ۱۵۰۰ بایت هستند. با این وجود، هنگامی که تونل‌های رمزنگاری بسته‌ها را درون کپسول‌های امنیتی همراه با احراز اصالت ChaCha20-Poly1305 قرار می‌دهند، سرایندهای اضافه (Encapsulation Overhead) بین ۶۰ تا ۸۰ بایت از ظرفیت را اشغال می‌نمایند. اگر روترهای میانی نتوانند اندازه بسته را به درستی هماهنگ کنند، بسته‌های حجیم ۱۵۰۰ بایتی بدون هیچ هشداری حذف شده و گلوگاه عملکردی شدیدی ایجاد می‌کنند.

[فریم استاندارد شبکه اترنت]
داده‌های کاربردی + سرایند TCP (20B) + سرایند IP (20B) = 1500 بایت (فریم کامل فیزیکی)

────────────────────────────────────────────────────────────────────────────────────────

[ساختار فریم پس از کپسوله‌سازی تونل VPN]
[IP بیرونی (20B)] [UDP بیرونی (8B)] [سرایند WireGuard (16B)] [برچسب Poly1305 (16B)] [بسته درونی]
                                  مجموع سربار کپسوله‌سازی = ۶۰ تا ۸۰ بایت!
سقف مجاز MTU درونی = 1500 - 60 = 1440 بایت (یا 1420 بایت در شبکه‌های سلولی/PPPoE)

سازوکار فنی پروتکل Path MTU Discovery (RFC 1191)

واحد بیشینه انتقال (MTU) تعیین‌کننده بزرگ‌ترین بسته داده بر حسب بایت است که یک رابط شبکه فیزیکی یا مجازی می‌تواند بدون نیاز به قطعه‌قطعه‌سازی (Fragmentation) ارسال نماید.

از آنجا که یک مسیر ارتباطی کامل در اینترنت از شبکه‌های ناهمگن گوناگونی عبور می‌کند—از خطوط پرسرعت نوری Tier-1 Backbone (با ظرفیت MTU ۱۵۰۰ تا ۹۰۰۰ بایت Jumbo Frames) تا اتصالات DSL PPPoE (با سقف ۱۴۹۲ بایت) و شبکه‌های سلولی 4G LTE/5G (با سقف ۱۴۰۰ تا ۱۴۲۰ بایت)—کوچک‌ترین مقدار MTU در میان تمامی گره‌های مسیر تحت عنوان Path MTU (PMTU) شناخته می‌شود.

در پروتکل IPv4 سنتی (RFC 791)، روترهای میانی اجازه داشتند بسته‌های بزرگ‌تر از حد مجاز را خرد کنند (IP Fragmentation). اما این فرایند فشار پردازشی بالایی بر روترها وارد می‌سازد، خطر ریزش داده‌ها را تشدید می‌کند (با گم شدن یک قطعه، کل بسته ۱۵۰۰ بایتی از بین می‌رود) و خطرات امنیتی ناشی از بازسازی قطعات آسیب‌پذیر را به دنبال دارد.

برای پایان دادن به قطعه‌قطعه‌سازی، کارگروه IETF استاندارد RFC 1191 را معرفی نمود: ۱. تنظیم پرچم عدم قطعه‌سازی (DF Flag): فرستنده بیت Don’t Fragment (DF = 1) را در سرایند IPv4 تمام بسته‌های ارسالی فعال می‌کند. ۲. بررسی اندازه در گره‌های میانی: چنانچه یک روتر بسته‌ای با حجم ۱۵۰۰ بایت دریافت کند اما درگاه خروجی آن به ۱۴۲۰ بایت محدود باشد، پرچم DF = 1 مانع از خرد شدن بسته می‌شود. ۳. تولید پیام هشدار ICMP: روتر بسته را حذف کرده و پیام خطای ICMP Destination Unreachable را برای مبدأ ارسال می‌کند: Type 3, Code 4 (Fragmentation Needed and DF set). این پیام حاوی مقدار مجاز گره بعدی (Next-Hop MTU) است. ۴. تنظیم خودکار مبدأ: میزبان مبدأ پس از دریافت اعلان ICMP Type 3 Code 4، میزان PMTU خود را به ۱۴۲۰ بایت کاهش داده و داده‌ها را با ابعاد جدید بازفرست می‌کند.

در استاندارد IPv6 (RFC 8201)، قطعه‌قطعه‌سازی بسته‌ها توسط روترهای میانی کاملاً ممنوع است؛ به‌کارگیری PMTUD اجباری بوده و عبور از سقف مجاز، پیام ICMPv6 Packet Too Big (Type 2, Code 0) را در پی دارد.

پدیدار شدن سیاه‌چاله ICMP (ICMP Black Hole)

کارکرد صحیح استاندارد RFC 1191 به بازگشت بی‌وقفه بسته‌های کنترلی ICMP وابسته است. متأسفانه در اینترنت عمومی، این زنجیره بازخورد غالباً قطع می‌شود.

بسیاری از دیواره‌های آتش سازمانی، روترهای خانگی و تجهیزات میانی اپراتورها کلیه بسته‌های ورودی ICMP را مسدود می‌کنند، چرا که آن‌ها را به اشتباه به عنوان ابزارهای حملات انکار سرویس (DoS) شناسایی می‌نمایند.

[کلاینت مبدأ]                                  [روتر میانی گلوگاه]                          [سرور مقصد]
      │                                                │                                          │
      ├─ 1. TCP SYN (MSS=1460, DF=1) ─────────────────>│─────────────────────────────────────────>│ (Handshake OK)
      │<─ 2. TCP SYN-ACK (MSS=1460) <──────────────────│<─────────────────────────────────────────┤
      │                                                │                                          │
      ├─ 3. ارسال بسته حجیم TLS ClientHello (1500B) ──>│ [سقف MTU مسیر: 1420 بایت]                 │
      │                                                │ (بسته حذف شد: فراتر از گنجایش MTU!)       │
      │                                                │                                          │
      │   (دیواره آتش پیام ICMP Type 3 Code 4 را حذف کرد!)├─ تولید خطای ICMP Fragmentation ──X     │
      │                                                │                                          │
      │   فرستنده هرگز پیام هشداری دریافت نمی‌کند!      │                                          │
      ▼                                                │                                          │
[توقف کامل اتصال: بازفرست بی‌پایان تا سررسید تایم‌اوت] │                                          │

هنگامی که روتر میانی بسته ۱۵۰۰ بایتی را حذف کرده و اعلان ICMP Type 3 Code 4 می‌فرستد، اما دیواره آتش مسیر برگشت آن را معدوم می‌سازد:

• فرستنده اصلاً باخبر نمی‌شود که بسته‌اش به دلیل حجم غیرمجاز از بین رفته است.
• سیستم فرستنده تصور می‌کند بسته به خاطر ترافیک موقت مفقود شده و همان بسته ۱۵۰۰ بایتی را با DF = 1 دوباره می‌فرستد.
• روتر گلوگاه مجدداً آن را دور می‌ریزد.
• اتصال دچار انسداد دائمی می‌شود: بسته‌های کوچک TCP ACK (۴۰ تا ۶۰ بایت) به راحتی عبور می‌کنند، اما داده‌های اصلی در یک سیاه‌چاله ICMP ناپدید می‌گردند.

محاسبه دقیق سربار تونل برای پروتکل‌های WireGuard و RiceGuard

در برپایی اتصالات لایه ۳، محاسبه ریاضی سقف MTU حیاتی است. هر بسته ارسالی در یک قاب UDP خارجی همراه با رمزنگاری ChaCha20-Poly1305 کپسوله‌سازی می‌شود.

تحلیل سربار افزوده در پروتکل WireGuard:

بر روی یک رابط فیزیکی عادی با MTU معادل ۱۵۰۰ بایت:

• کارت شبکه مجازی WireGuard مبتنی بر IPv4 (wg0) حداکثر گنجایش 1500 - 60 = 1440 بایت را داراست.
• رابط مجازی مبتنی بر IPv6 حداکثر گنجایش 1500 - 80 = 1420 بایت را پشتیبانی می‌کند.

در عمل، خطوط اینترنت زیرساختی محدودیت‌های بیشتری تحمیل می‌کنند: ارتباطات PPPoE حدود ۸ بایت سربار دارند (MTU معادل ۱۴۹۲) و شبکه‌های 4G/5G از پروتکل GTP بهره می‌برند که سقف MTU پایه را به ۱۴۰۰ تا ۱۴۲۰ کاهش می‌دهد.

برای تضمین پایداری همه‌جانبه، دروازه‌های Anycast سرویس VPNRice مقدار MTU پیش‌فرض را بر روی عدد امن ۱۴۲۰ بایت (یا ۱۲۸۰ بایت—حداقل سقف الزامی در استاندارد IPv6 RFC 8200) تثبیت می‌نمایند.

تنظیم TCP MSS (MSS Clamping): راهکار پیشگیرانه در برابر سیاه‌چاله

در حالی که PMTUD پس از وقوع خطا فعال می‌شود، پروتکل TCP سازوکاری پیشگیرانه برای جلوگیری از ایجاد بسته‌های فراتر از گنجایش ارائه می‌دهد: تنظیم بیشینه اندازه قطعه (TCP MSS Clamping).

در جریان مصافحه اولیه، دو طرف بیشترین گنجایش دریافت خود را از طریق فیلد گزینه‌های TCP در بسته‌های SYN و SYN-ACK مبادله می‌کنند. مقدار MSS نشان‌دهنده حداکثر داده خالص در یک بسته بدون احتساب سرایندهای IP و TCP است:

$$\text{MSS} = \text{MTU رابط} - \text{سرایند IP (20/40B)} - \text{سرایند TCP (20B)}$$

• در رابط اترنت ۱۵۰۰ بایتی: $\text{MSS} = 1500 - 20 - 20 = 1460\text{ بایت}$.
• در تونل WireGuard با سقف ۱۴۲۰ بایت: $\text{MSS} = 1420 - 20 - 20 = 1380\text{ بایت}$ (یا ۱۳۶۰ بایت برای IPv6).

چنانچه دستگاه داخل تونل با مقدار پیش‌فرض ۱۴۶۰ بایت اقدام به برقراری ارتباط کند، سرور دوردست بسته‌های ۱۵۰۰ بایتی صادر خواهد کرد که قادر به ورود به تونل نیستند.

برای جلوگیری از این تداخل، درگاه VPN بسته‌های TCP SYN عبوری را بررسی کرده و فیلد MSS را بازنویسی می‌کند:

# تنظیم خودکار مقدار TCP MSS متناسب با Path MTU در فایروال iptables لینوکس
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# تعیین مقدار عددی ثابت برای پایداری در بسترهای سلولی
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1360

با تنظیم MSS در نقطه ورودی تونل، هر دو سمت پیش از انتقال نخستین بایت داده از محدودیت پهنای بسته آگاه شده و مانع از تشکیل بسته‌های نامتعارف و افتادن در سیاه‌چاله‌های ICMP می‌شوند.

کشف در سطح لایه بسته‌بندی (PLPMTUD - RFC 4821)

برای ترافیک بدون اتصال TCP—مانند بسته‌های UDP در فناوری HTTP/3 (QUIC)، پرس‌وجوهای DNS یا پخش ویدیو—امکان تنظیم MSS وجود ندارد.

برای خنثی‌سازی سیاه‌چاله‌های ICMP در ترافیک UDP، سازمان IETF استاندارد RFC 4821 را تدوین نمود: Packetization Layer Path MTU Discovery (PLPMTUD).

در این مدل، نرم‌افزار مبدأ بسته‌های آزمایشی با اندازه‌های افزایشی ارسال می‌کند. در صورت تایید دریافت از مقصد، پشتیبانی مسیر از آن اندازه قطعی تلقی می‌شود؛ در صورت عدم دریافت پاسخ، سیستم بدون نیاز به پیام‌های ICMP سقف تخمینی PMTU را کاهش می‌دهد. پروتکل‌های جدید نظیر QUIC (RFC 9000 بخش ۱۴) به صورت پیش‌فرض از این سازوکار بهره می‌برند.

ملاحظات امنیتی و تحلیل ردپای دیجیتال

مدیریت دقیق اندازه فریم‌های شبکه پیامدهای امنیتی روشنی به همراه دارد:

۱. خنثی‌سازی حملات قطعه‌سازی بسته (Fragmentation Attacks): مهاجمان با تکه‌تکه کردن بسته‌های مخرب (مطابق RFC 1858 و RFC 3128) پرچم‌های کنترلی را به قطعات بعدی منتقل می‌کردند تا فیلترهای ساده را فریب دهند. اعمال دقیق محدودیت MTU و حذف قطعات مشکوک این روزنه را مسدود می‌سازد. ۲. جلوگیری از شناسایی سیستم‌عامل از طریق MSS: ابزارهای ارزیابی ترافیک با تحلیل اندازه اولیه MSS در بسته‌های SYN نوع سیستم‌عامل کلاینت را تشخیص می‌دهند. ۳. کاهش پدیده Bufferbloat: خرد شدن بسته‌های بزرگ در گره‌های میانی صف سوئیچ‌ها را متورم کرده و نوسان تأخیر (Jitter) شدیدی در تبادلات زمان‌واقعی ایجاد می‌کند.

بهینه‌سازی سراسری ترافیک در پلتفرم VPNRice

زیرساخت VPNRice با تکیه بر فناوری‌های پیشرفته پروتکل RiceGuard هرگونه اختلال و انجماد اتصال را برطرف می‌سازد:

• تنظیم خودکار TCP MSS در گره‌های Anycast: تمامی سرورهای VPNRice بسته‌های TCP را به گونه‌ای کالیبره می‌کنند که هیچ برنامه‌ای بسته‌ای فراتر از گنجایش تونل صادر نکند.
• انتخاب MTU بهینه ۱۴۲۰ بایت: رابط‌های شبکه به گونه‌ای مقداردهی شده‌اند که در شبکه‌های متغیر موبایل بدون قطعه‌قطعه‌سازی داده‌ها را عبور دهند.
• سیاست قطعی عدم پذیرش بسته‌های تکه‌تکه: ترافیک ورودی مشکوک حذف شده و راستی‌آزمایی با ChaCha20-Poly1305 ضامن سرعت پایدار و امنیت شبکه خواهد بود.