The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"FreeBSD, IPSec, mtu & other"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [ Отслеживать ]

"FreeBSD, IPSec, mtu & other"  
Сообщение от iargal (ok) on 26-Фев-08, 12:56 
Добрый день.

Есть кусок сетки работающий по схеме:

|интернет|--|LAN1(172.16.0.0/16)|--172.16.0.106|router1|1.1.10.1--

--|MetroEthernet|--1.1.10.2|router2|172.25.1.100--|LAN2(172.25.0.0/16)|

router1 и router2 представляют собой машинки на FreeBSD 6.2 с поднятым туннелем gif и работающим racoon.

Собственно сетки LAN1 и LAN2 друг-друга видят прекрасно, но http-ресурсы тырнета для сети LAN2, увы, недоступны.
Недоступны они по той причине, что пакеты вида:
10:54:15.134128 IP (tos 0x0, ttl 62, id 22006, offset 0, flags [DF], proto: TCP (6), length: 1500) fk-in-f99.google.com.http > 172.25.4.11.3139: . 1:1461(1460) ack 539 win 65535
приходящие на bge0 router1 на gif0 уже не видны.

На gif0 стоит mtu 1280
А значит пакет размера 1500 и с флагом DF в gif0 (если я правильно все понимаю) не пролезет.
Я пробовал с помощью pf делать так:
scrub in all
scrub in on bge0 all fragment reassemble min-ttl 15 max-mss 1400
scrub in on bge0 all no-df
scrub on bge0 all reassemble tcp

где bge0 - сетевая карта router1 смотрящая в локалку 172.16.0.0/16

Однако это не помогло. Пакеты по-прежнему не пролезают. Пробовал
отключать net.inet.tcp.path_mtu_discovery. Та же ситуация.
Пробовал играться с net.inet.ipsec.dfbit.
Нужен свежий взгляд на проблему.

P.S. Есть еще вариант ipfw + tcpmssd, но не хочется еще какие-то
сервисы городить.

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "FreeBSD, IPSec, mtu & other"  
Сообщение от YuryD (??) on 26-Фев-08, 14:00 
>[оверквотинг удален]
>
>|интернет|--|LAN1(172.16.0.0/16)|--172.16.0.106|router1|1.1.10.1--
>
>--|MetroEthernet|--1.1.10.2|router2|172.25.1.100--|LAN2(172.25.0.0/16)|
>
>router1 и router2 представляют собой машинки на FreeBSD 6.2 с поднятым туннелем
>gif и работающим racoon.
>
>Собственно сетки LAN1 и LAN2 друг-друга видят прекрасно, но http-ресурсы тырнета для
>сети LAN2, увы, недоступны.

А почему собственно ресурсы INET должны быть видны через туннель ? в туннель попадут только те сетки 172.16.x.x, что вы описали на туннеле, а уж никак не весь инет. Остальной инет пойдет обычним маршрутом defaultrouter для LAN2. Поднимайте в LAN1 какой-нить прокси и ходите через него.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "FreeBSD, IPSec, mtu & other"  
Сообщение от iargal (ok) on 26-Фев-08, 14:02 
> А почему собственно ресурсы INET должны быть видны через туннель ?
>в туннель попадут только те сетки 172.16.x.x, что вы описали на
>туннеле, а уж никак не весь инет. Остальной инет пойдет обычним
>маршрутом defaultrouter для LAN2. Поднимайте в LAN1 какой-нить прокси и ходите
>через него.

defaultrouter для LAN2 идет на 172.16.0.106. Собственно в плане маршрутизации там все клево, т.к. на внутреннем интерфейсе router2 я вижу приходящие с инета пакеты. Но не все, те что 1500 не пролезают.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "FreeBSD, IPSec, mtu & other"  
Сообщение от YuryD (??) on 26-Фев-08, 14:08 
>> А почему собственно ресурсы INET должны быть видны через туннель ?
>>в туннель попадут только те сетки 172.16.x.x, что вы описали на
>>туннеле, а уж никак не весь инет. Остальной инет пойдет обычним
>>маршрутом defaultrouter для LAN2. Поднимайте в LAN1 какой-нить прокси и ходите
>>через него.
>
>defaultrouter для LAN2 идет на 172.16.0.106. Собственно в плане маршрутизации там все
>клево, т.к. на внутреннем интерфейсе router2 я вижу приходящие с инета
>пакеты. Но не все, те что 1500 не пролезают.

Не уверен, что с маршрутизацией все хорошо, для проверки гипотезы о MTU измените mtu на клиенте, хотя бы тем-же drtcp

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "FreeBSD, IPSec, mtu & other"  
Сообщение от iargal (ok) on 26-Фев-08, 14:12 
>[оверквотинг удален]
>>>туннеле, а уж никак не весь инет. Остальной инет пойдет обычним
>>>маршрутом defaultrouter для LAN2. Поднимайте в LAN1 какой-нить прокси и ходите
>>>через него.
>>
>>defaultrouter для LAN2 идет на 172.16.0.106. Собственно в плане маршрутизации там все
>>клево, т.к. на внутреннем интерфейсе router2 я вижу приходящие с инета
>>пакеты. Но не все, те что 1500 не пролезают.
>
> Не уверен, что с маршрутизацией все хорошо, для проверки гипотезы о
>MTU измените mtu на клиенте, хотя бы тем-же drtcp

пакет от гугла приходит с mtu 1500. я не могу поменять mtu на гугле -)
мне нужно, чтобы пакет фрагментировался и нормально проходил в туннеле, а ситуация сейчас такова, что пакет приходит на bge0 router 1 (который смотрит в локалку 172.16.0.0/16), а в gif0 уже не попадает.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "FreeBSD, IPSec, mtu & other"  
Сообщение от YuryD (??) on 27-Фев-08, 07:35 
>>[оверквотинг удален]
>пакет от гугла приходит с mtu 1500. я не могу поменять mtu
>на гугле -)

Нууу, как все запущено... Winxx как правило ставят бит DF и mtu по умолчанию для tcp-сессий, соотв при установке TCP-сессии эти параметры согласуются... Уменьшите mtu на клиенте - уменьшится и на гугле...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "FreeBSD, IPSec, mtu & other"  
Сообщение от iargal (ok) on 27-Фев-08, 09:21 
>>>[оверквотинг удален]
>>пакет от гугла приходит с mtu 1500. я не могу поменять mtu
>>на гугле -)
>
> Нууу, как все запущено... Winxx как правило ставят бит DF и
>mtu по умолчанию для tcp-сессий, соотв при установке TCP-сессии эти параметры
>согласуются... Уменьшите mtu на клиенте - уменьшится и на гугле...

Т.е. вы считаете, что следует переколбасить всех клиентов сети, вместо того, чтобы разобраться с одним роутером?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "FreeBSD, IPSec, mtu & other"  
Сообщение от iargal (ok) on 27-Фев-08, 09:23 
Проблема решилась корявым, но работающим методом: установкой mtu 1500 на обоих gif.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру