Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Настройка IPsec

    Scheduled Pinned Locked Moved Russian
    24 Posts 3 Posters 2.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      Sventer @werter
      last edited by

      @werter нет, Virtio не стал оставлять, т.к. порезалась скорость. Попробую выставить для диска и сети virtio, при этом ещё раз более детально проверю остальное что написано.

      1 Reply Last reply Reply Quote 0
      • S
        Sventer
        last edited by

        Но из-за чего он всё-таки может тогда резать download при смене сетевухи на Virtio тогда

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by

          @Sventer

          Выполните все рекомендации + обновите пф. Есть вероятность ,что проблема уйдет.

          S 1 Reply Last reply Reply Quote 0
          • S
            Sventer @werter
            last edited by

            @werter Спасибо за помощь, на днях выполню рекомендации из руководства. Если вдруг что-то не пойдёт, напишу здесь))

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @Sventer
              Бэкап конфига пф + бэкап\снепшот ВМ с пф - обязательны )

              Зы. Связка Центр + филиалы у меня на Openvpn + OSPF (пакет FRR). Крайне гибкая штука получилась. Рекомендую

              S 1 Reply Last reply Reply Quote 0
              • S
                Sventer @werter
                last edited by

                @werter Это само собой)

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by werter

                  @Sventer

                  Вы тоже прочувствовали удобство вирт-ции? Эй, "критики", где вы там ? )

                  S 1 Reply Last reply Reply Quote 0
                  • S
                    Sventer @werter
                    last edited by

                    @werter Ещё какое удобство)

                    1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @Sventer
                      last edited by

                      @Sventer
                      Здр
                      попробуйте поиграться mss
                      Сделайте его равным 1360

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by werter

                        @Konstanti
                        +

                        Только сперва определить макс размер MTU. Можно с пом. ping-а

                        В Win: ping -f -t -l 1472 <адрес-в-удаленной-сети> . И крутить от 1472 в сторону уменьшения, если пинг не пойдет.

                        S 1 Reply Last reply Reply Quote 0
                        • S
                          Sventer @werter
                          last edited by

                          @werter Ну на 1472 пинг проходит нормально

                          K 1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @Sventer
                            last edited by Konstanti

                            @Sventer
                            Не совсем понятно , зачем все это )
                            если mss изначально равен 1400 .

                            Enable MSS clamping on TCP flows over VPN. This helps overcome problems with PMTUD on IPsec VPN links. If left blank, the default value is 1400 bytes.

                            1 Reply Last reply Reply Quote 0
                            • werterW
                              werter
                              last edited by

                              Пинг на удаленный хост за другим пф ?

                              S 1 Reply Last reply Reply Quote 0
                              • S
                                Sventer @werter
                                last edited by

                                @werter да, на хост, который находится за другим pf

                                1 Reply Last reply Reply Quote 0
                                • werterW
                                  werter
                                  last edited by werter

                                  @Konstanti said in Настройка IPsec:

                                  Enable MSS clamping on TCP flows over VPN.

                                  ping - ICMP
                                  Бывает, что у провайдера криво настроен MTU. Для этого и проверяли.

                                  Придерживаюсь, что проблема может быть в накладных расходах на шифрование\дешифрование трафика.

                                  Если временно сменить тип туннеля на ovpn ssl + вкл. HW AES на пф, если CPU это умеет и проверить?

                                  S K 2 Replies Last reply Reply Quote 0
                                  • S
                                    Sventer @werter
                                    last edited by

                                    @werter Попробую Ваш совет

                                    1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @werter
                                      last edited by Konstanti

                                      @werter

                                      Причин для падения скорости может быть много
                                      Я бы не грешил на процессор и алгоритмы ширования ( но это мое мнение)
                                      вот замер скорости на туннеле из Москвы до французского сервера на базе IPSEC ( скорость канала 80 мбит/сек) - сервер виртуальный,1 ядерный, 1 Гб ОЗУ

                                      933e5231-6d3c-46c7-8d72-017ec20552bf-image.png

                                      я бы использовал iperf с обеих сторон для проверки скорости
                                      сначала без туннеля , а потом в туннеле
                                      и все-таки выставил mss 1360 для начала
                                      Но при этом , иногда скорость падает значительно
                                      traceroute показывает задержки на одном из европейских узлов

                                      1 Reply Last reply Reply Quote 0
                                      • First post
                                        Last post
                                      Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.