#!/bin/bash

#Força um MSS fixo para remediar o problema do Path MTU Discovery
#ATENÇÃO:
#  1.Você deve permitir troca de pacotes ICMP do tipo echo-request e echo-reply entre os gateways LOCAL e REMOTO
#  2.Você deve permitir pacotes ICMP do tipo redirect e destination-unreachable vindos da INTERNET
#  3.Você vai precisar dos pacotes BC e IPROUTE instalados

#definição do gateway remoto e da rede remota
GATEWAY_REMOTO=200.200.200.200
REDE_REMOTA=172.16.0.0/24

#opcao de DEBUG: coloque como 1 para ativar mensagens
DEBUG=0

function compute_mss() {
	#calcula o MSS para IPSec baseado no MTU fornecido como parâmetro
	#retorna o valor calculado na variável MSS

	local MTU
	local IP_HEADER_LENGTH
	local ESP_HEADER_LENGTH
	local AH_HEADER_LENGTH
	local IPSEC_HEADER_LENGTH
	local ENCRYPTION_HEADER_LENGTH
	local SUBTOTAL_DATA_LENGTH
	local DISCARDED_DATA_LENGTH
	local DATA_LENGTH

	MTU=$1
	
	#tamanho médio do header IP(20<->60)
	IP_HEADER_LENGTH=40

	#tamanho do header ESP
	ESP_HEADER_LENGTH=8

	#tamanho do header AH
	AH_HEADER_LENGTH=12

	#tamanho do header IPSec = ESP + AH
	IPSEC_HEADER_LENGTH=`echo "$ESP_HEADER_LENGTH + $AH_HEADER_LENGTH" | bc`

	#tamanho do header do algoritmo de encriptação
	ENCRYPTION_HEADER_LENGTH=16 #CBC initial value

	#cálculo do tamanho final = MSS
	SUBTOTAL_DATA_LENGTH=`echo "$MTU - $IP_HEADER_LENGTH - $IPSEC_HEADER_LENGTH - $ENCRYPTION_HEADER_LENGTH" | bc`
	DISCARDED_DATA_LENGTH=`echo "$SUBTOTAL_DATA_LENGTH % 16" | bc`
	DATA_LENGTH=`echo "$SUBTOTAL_DATA_LENGTH - $DISCARDED_DATA_LENGTH" | bc`
	MSS=$DATA_LENGTH
}
function pmtu_discovery()
{
	#Efetua um PMTU discovery através de pacotes ICMP entre os gateways LOCAL e REMOTO.
	#Na verdade, utiliza um algoritmo de pesquisa binária para calcular o tamanho máximo do PAYLOAD de um pacote ICMP no canal
	#e, através dessa informação, calcula o PMTU
	local MIN
	local MAX
	local MTU
	local TARGET
	local OK
	local MEDIA
	local IP_HEADER_LENGTH
	local ICMP_PAYLOAD_MAX

	#tamanho MÍNIMO do cabeçalho IP (20<->60 bytes)
	IP_HEADER_LENGTH=20

	#tamanho do cabeçalho ICMP (echo-request/echo-reply)
	ICMP_HEADER_LENGTH=8

	#declaracao de uma funcao em BC para retornar o valor absoluto de um número, ou seja, o valor sem sinal
	LOADABS="
define abs(x) {
  if (x>=0) return(x)
      return(-x)
}
"
	#host de destino (firewall -> interface internet)
	TARGET=$1
		
	#valor mínimo para o PAYLOAD ICMP
	MIN=400
	#obtem o valor do MTU da interface que será utilizada na comunicação entre os gateways
	MTU=`ip route get $TARGET | xargs | sed "s/.*mtu \([[:digit:]]\+\) .*/\1/"`
	#valor máximo para o PAYLOAD ICMP => MTU - IP HEADER - ICMP HEADER
	MAX=`echo "$MTU-$IP_HEADER_LENGTH-$ICMP_HEADER_LENGTH" | bc`

	#Path MTU Discovery através de pesquisa binaria
	while [ `echo "$LOADABS abs($MIN - $MAX)" | bc` -gt 1 ]; do
		#Calculamos a média entre MIN e MAX
		MEDIA=`echo "scale=0;($MIN + $MAX) / 2" | bc`
		if [ $DEBUG -eq 1 ]; then
			echo -n "MEDIA=$MEDIA "
		fi

		#Enviamos o pacote ICMP:
		# -s $MEDIA	: com o PAYLOAD de tamanho $MEDIA
		# -q		: Quiet
		# -M do		: Com a flag DF(Don't Fragment) setada
		# -W 2		: Aguardamos até 2 segundos pela resposta
		# -c 1		: apenas 1 pacote
		# $TARGET	: para o host $TARGET
		#e redirecionamos a saída para /dev/null, porque precisamos apenas do código de saída(Exit Code ou $?)
		ping -s $MEDIA -q -M do -W 2 -c 1 $TARGET 1>/dev/null 2>/dev/null
		OK=$?
		if [ $OK == 0 ]; then
			#Funcionou! Portanto, o mínimo passa a ser a média, ou seja, MIN=MEDIA
			if [ $DEBUG -eq 1 ]; then
				echo "[OK]"
			fi
			MIN=$MEDIA
		else
			#Não funcionou... portanto, o máximo passa a ser a média menos 1, ou seja, MAX=MEDIA-1
			if [ $DEBUG -eq 1 ]; then
				echo "[NOK]"
			fi
			MAX=`echo "$MEDIA-1" | bc`
		fi
		#enviamos um pacote ICMP a cada 0.5 segundos para tentar não despertar nenhum IDS ou FIREWALL
		sleep 0.5
	done
	#o valor de $MIN será o máximo PAYLOAD do pacote ICMP que conseguiu trafegar do gateway LOCAL para o REMOTO e vice-versa
	ICMP_PAYLOAD_MAX=$MIN
	#agora calculamos o PMTU => PAYLOAD + ICMP HEADER + IP HEADER
	PMTU=`echo "$ICMP_PAYLOAD_MAX+$ICMP_HEADER_LENGTH+$IP_HEADER_LENGTH" | bc`
}

#inicialização das variáveis
MSS=-1
PMTU=-1

#efetua o PMTU discovery até o gateway remoto. PMTU conterá o valor final.
pmtu_discovery $GATEWAY_REMOTO
#calcula o MSS baseado no PMTU retornado. MSS conterá o valor final.
compute_mss $PMTU

#incluímos as seguintes regras no IPTABLES para forçar o MSS em qualquer estabelecimento de conexões com a rede remota
iptables -I FORWARD 1 -p tcp -d $REDE_REMOTA --tcp-flags SYN,RST SYN -j TCPMSS --set-mss $MSS
iptables -I FORWARD 2 -p tcp -s $REDE_REMOTA --tcp-flags SYN,RST SYN -j TCPMSS --set-mss $MSS
iptables -I OUTPUT 1 -p tcp -d $REDE_REMOTA --tcp-flags SYN,RST SYN -j TCPMSS --set-mss $MSS
iptables -I OUTPUT 2 -p tcp -s $REDE_REMOTA --tcp-flags SYN,RST SYN -j TCPMSS --set-mss $MSS
if [ $DEBUG -eq 1 ]; then
	echo "PMTU=$PMTU"
	echo "MSS=$MSS"
fi
exit 0