боремся с фрагментацией пакетов MTU MSS

izuware

Доброго здоровья..

Столкнулся с проблемой "умирания" IPSEC. Решение проблемы выглядит так
iptables -t mangle -A INPUT -j TCPMSS –set-mss 1402 -s {branch office IP} -p tcp --syn

подробное описание http://www.dlink.co.il/ru/faq/92/507.html

а как это решить на pf ?

izuware

Cейчас на страничке интерфейса поставил MTU 576, tcpdump показывает что пакеты ходят по 1360…. ничего не понимаю но каналы пока работают. Насколько это правильный выход? ifconfig кстати все равно пишет 1500, куда же уходит правильный параметр?

# ifconfig rl2
rl2: flags=8843 <up,broadcast,running,simplex,multicast>mtu 1500
        options=8 <vlan_mtu></vlan_mtu></up,broadcast,running,simplex,multicast>

Shraik

вот, было про иписеки и мтэу

http://forum.pfsense.org/index.php/topic,19900.0.html

izuware

@Shraik:

вот, было про иписеки и мтэу

http://forum.pfsense.org/index.php/topic,19900.0.html

там они тоже в закладке вэба поменяли, это получается для всех соединений, а хотелось бы для конкретных. хотя уже все равно, два дня полет нормальный для всех впнов.

Eugene

а при чём тут iptables?

zar0ku1

@Eugene:

а при чём тут iptables?

казалось бы…

izuware

пофлудим?

zar0ku1

@izuware:

пофлудим?

конечно

scrub in on <if0> all no-df</if0>

izuware

@zar0ku1:

scrub in on <if0> all no-df</if0>

в каком месте применять? после перезагрузки правил файрвола ?

zar0ku1

@izuware:

в каком месте применять? после перезагрузки правил файрвола ?

в pf прменять… эммм... а как у тебя это правило заработает, если ты не перезагрузишь/перечитаешь фаервол?

dvserg

Посмотрите в сторону меню System > Advanced раздел Traffic Shaper and Firewall Advanced . Читаем и активируем нужные галки.

Clear DF bit instead of dropping
Firewall Optimization Options
Disable Firewall Scrub

izuware

@zar0ku1:

@izuware:

в каком месте применять? после перезагрузки правил файрвола ?

в pf прменять… эммм... а как у тебя это правило заработает, если ты не перезагрузишь/перечитаешь фаервол?

так и не понял, куда записать.. :-\

izuware

@dvserg:

Посмотрите в сторону меню System > Advanced раздел Traffic Shaper and Firewall Advanced . Читаем и активируем нужные галки.

Clear DF bit instead of dropping

Firewall Optimization Options

Disable Firewall Scrub

спасибо, попробую.
а на что это должно повлиять?
первый пункт снимаем DF вместо дропа пакета.. так пакеты на самом деле не дропаются …
по второму не понятно что выставить, у меня везде по умолчанию, нормаль
третий вообще непонятен, слово scrub услышал вчера впервый раз ???

zar0ku1

@izuware:

cпасибо, попробую.
а на что это должно повлиять?
первый пункт снимаем DF вместо дропа пакета.. так пакеты на самом деле не дропаются …
по второму не понятно что выставить, у меня везде по умолчанию, нормаль
третий вообще непонятен, слово scrub услышал вчера впервый раз ???

http://www.openbsd.org/faq/pf/scrub.html

@izuware:

так и не понял, куда записать.. :-\

настоятельно рекомендую почитать что такое packet filter (pf) и как им пользоваться