Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Настройка IPsec

    Scheduled Pinned Locked Moved Russian
    24 Posts 3 Posters 2.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      Sventer @werter
      last edited by

      @werter Спасибо за помощь, на днях выполню рекомендации из руководства. Если вдруг что-то не пойдёт, напишу здесь))

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        @Sventer
        Бэкап конфига пф + бэкап\снепшот ВМ с пф - обязательны )

        Зы. Связка Центр + филиалы у меня на Openvpn + OSPF (пакет FRR). Крайне гибкая штука получилась. Рекомендую

        S 1 Reply Last reply Reply Quote 0
        • S
          Sventer @werter
          last edited by

          @werter Это само собой)

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by werter

            @Sventer

            Вы тоже прочувствовали удобство вирт-ции? Эй, "критики", где вы там ? )

            S 1 Reply Last reply Reply Quote 0
            • S
              Sventer @werter
              last edited by

              @werter Ещё какое удобство)

              1 Reply Last reply Reply Quote 0
              • K
                Konstanti @Sventer
                last edited by

                @Sventer
                Здр
                попробуйте поиграться mss
                Сделайте его равным 1360

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by werter

                  @Konstanti
                  +

                  Только сперва определить макс размер MTU. Можно с пом. ping-а

                  В Win: ping -f -t -l 1472 <адрес-в-удаленной-сети> . И крутить от 1472 в сторону уменьшения, если пинг не пойдет.

                  S 1 Reply Last reply Reply Quote 0
                  • S
                    Sventer @werter
                    last edited by

                    @werter Ну на 1472 пинг проходит нормально

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @Sventer
                      last edited by Konstanti

                      @Sventer
                      Не совсем понятно , зачем все это )
                      если mss изначально равен 1400 .

                      Enable MSS clamping on TCP flows over VPN. This helps overcome problems with PMTUD on IPsec VPN links. If left blank, the default value is 1400 bytes.

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        Пинг на удаленный хост за другим пф ?

                        S 1 Reply Last reply Reply Quote 0
                        • S
                          Sventer @werter
                          last edited by

                          @werter да, на хост, который находится за другим pf

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @Konstanti said in Настройка IPsec:

                            Enable MSS clamping on TCP flows over VPN.

                            ping - ICMP
                            Бывает, что у провайдера криво настроен MTU. Для этого и проверяли.

                            Придерживаюсь, что проблема может быть в накладных расходах на шифрование\дешифрование трафика.

                            Если временно сменить тип туннеля на ovpn ssl + вкл. HW AES на пф, если CPU это умеет и проверить?

                            S K 2 Replies Last reply Reply Quote 0
                            • S
                              Sventer @werter
                              last edited by

                              @werter Попробую Ваш совет

                              1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @werter
                                last edited by Konstanti

                                @werter

                                Причин для падения скорости может быть много
                                Я бы не грешил на процессор и алгоритмы ширования ( но это мое мнение)
                                вот замер скорости на туннеле из Москвы до французского сервера на базе IPSEC ( скорость канала 80 мбит/сек) - сервер виртуальный,1 ядерный, 1 Гб ОЗУ

                                933e5231-6d3c-46c7-8d72-017ec20552bf-image.png

                                я бы использовал iperf с обеих сторон для проверки скорости
                                сначала без туннеля , а потом в туннеле
                                и все-таки выставил mss 1360 для начала
                                Но при этом , иногда скорость падает значительно
                                traceroute показывает задержки на одном из европейских узлов

                                1 Reply Last reply Reply Quote 0
                                • First post
                                  Last post
                                Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.