为何内核会对校验和错误的TCP报文进行确认？

问题场景 #

后端系统与服务器通信时，因中间网关MTU过小导致HTTP请求被IP分片，服务器重组后部分TCP报文出现校验和错误，但内核未丢弃错误报文反而发送ACK，致使服务器收到损坏载荷无法正常处理。内核版本为2.6.32-696，抓包显示仅2个重组报文存在校验和错误，其余正常。

可能原因 #

• 内核IP重组校验逻辑缺陷：2.6.32系列内核的IP分片重组模块，在部分场景下未对重组后的TCP报文正确执行校验和验证，直接将损坏报文提交至上层协议栈。
• 硬件校验和卸载异常：服务器网卡开启TCP校验和卸载功能后，硬件在处理分片重组报文时可能出现校验和计算错误，而内核直接信任硬件结果，未进行二次验证。
• TCP校验和重组遗漏：内核重组IP分片时，未正确重新计算TCP报文的校验和，导致重组后的报文校验和值错误，但内核误判为合法。

解决措施 #

• 内核补丁修复：针对2.6.32-696内核，查找并应用修复IP重组后TCP校验和验证逻辑的补丁，重新编译部署内核。
• 关闭硬件校验和卸载：通过ethtool命令禁用网卡的TCP校验和卸载，强制内核执行软件校验：

  # 替换eth0为实际网卡名称
  ethtool -K eth0 tx-checksum-ipv4 off rx-checksum-ipv4 off
  # 验证配置
  ethtool -k eth0 | grep checksum
  

• 调整MTU/MSS避免分片：协调中间网关将MTU调整为标准1500字节，或在服务器端设置TCP MSS以规避IP分片：

  # 临时设置TCP MSS为1460（对应MTU 1500）
  sysctl -w net.ipv4.tcp_mss=1460
  # 永久生效：将net.ipv4.tcp_mss=1460写入/etc/sysctl.conf后执行sysctl -p
  

• 应用层完整性校验：在后端系统中增加HTTP请求内容的完整性校验（如计算SHA-1哈希并与客户端传递的哈希值对比），发现损坏报文时主动丢弃并触发客户端重传。

内容的提问来源于stack exchange，提问作者patrick