Site to Site openVPN tcp Problem
-
Hallo Forum,
ich habe seit geraumer Zeit ein Problem mit eine Site to site openVPN Tunnel.Zur einfacheren Erklärung eine kleine Zeichnung:
Der Tunnel steht.
Der Linux Rechner mit der IP 192.168.230.104 kann einen Ping auf 172.29.77.100 machen. Auch geht ein ping auf 8.8.8.8
Auf dem 172.29.77.100 läuft ein Test Webserever.
Auf dem 192.169.230.104 mache ich ein wget http://172.29.77.100
Nach 9 % wir eine Pause eingelegt. Dann weitere bits geladen. Irgendwann ist die Index.html mal da, dauert aber ein paar Minuten.
Zwischen den beiden Standorten ist ein MPLS Netz mit ausreichend Bandbreite. Daran kann es schon mal nicht liegen.An einem Regelsatz kann es auch nicht liegen, denn dann würde ja gar nichts übertragen werden.
Der Tunnel steht stabil. Ein daherging zeigt keine Verluste.Gerne liefere ich sämtliche Konfigurationsparameter. Bin hier nach einer Standard Anleitung aus dem netz vorgegangen.
Gibt es hier im Forum eine Idee wo ich nachschauen kann?
Ach ja, wenn der Webserver im 192.168.230er netz ist fluppt das. Liegt also auch nicht am Webserver oder am wget.
Viele Grüße
Alex -
@apietsch said in Site to Site openVPN tcp Problem:
Zwischen den beiden Standorten ist ein MPLS Netz
Eventuell nehmen einige Pakete der Verbindung diesen Weg.
Wenn das das Problem ist, hilft vermutlich nur Masquerading auf der 172.29.77.15. -
@apietsch
Moinsen,
obwohl die openVPN Macher auch TCP ermöglichen, raten sie afaik doch weiter eher zu udp.
Vielleicht ist die Verzögerung hier zu begründen?https://openvpn.net/faq/what-is-tcp-meltdown/
-
@the-other
moinsen,
Danke für deine Antwort.
der Tunnel wir über UDP aufgebaut. Ich meinte, dass TCP Pakete über den Tunnel nicht kontinuierlich transportiert werden.VG Alex
-
@viragomann
Danke für eine Antwort.
hatte ich auch schon gedacht. Wen ich aber den Tunnel abbaue, gehen gar keine Pakete mehr rüber.
VG Alex -
@apietsch
Könnte sein, dass das SYN Paket immer über die VPN läuft, aber weitere nicht.
Um weiterzukommen würde ich entweder das Masquerading mal einrichten, ist eine simple NAT Regel, oder den Traffic dahingehend untersuchen. Letzteres wird aber aufwendiger sein.
