+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Не фрагментируй бит – очистка.

Не фрагментируй бит – очистка., RouterOS

changeip

Guest

22.08.2006 16:22:00

У меня серьезная проблема с PMTU, битом "не фрагментировать", и VPN-туннелями… У клиентов снаружи на L2TP-туннелях (MTU 1400-1460) не получается получать почту от многих крупных отправителей, например, Cox, Hotmail, Yahoo и т.д. Мы выяснили, что дело в том, что ICMP-пакеты типа 3, код 4, возвращающиеся к ним с сообщением об ошибке PMTU, не доходят, поэтому они продолжают отправлять нам пакеты размером 1500 байт. Это нормально для обычной маршрутизации, но по какой-то причине они устанавливают бит "не фрагментировать", и поэтому мы не можем фрагментировать пакеты для отправки по туннелю. Симптомы: зависающие соединения, неполные сообщения, задержки и т.д. Мне нужна возможность сбрасывать бит "не фрагментировать" на пакетах в Mikrotik. Действие "strip ipv4 options" в mangle не сбрасывает этот бит. У кого-нибудь еще возникала такая проблема? Есть ли какой-нибудь способ пропустить эти пакеты по туннелям, не ставя Cisco перед ними? Микротик-гуру — можно ли добавить еще одну опцию mangle для сброса бита DF? Пожалуйста, пожалуйста, пожалуйста : ) Наш новый портативный IP-проект оказывается под ударом из-за этого — и я не хочу использовать что-то другое, кроме RouterOS, если это не обязательно. : ) Сэм

Eugene Guest	#2 0 23.08.2006 09:54:00 У IPsec-политики есть опция для очистки бита DF. И её можно использовать, не запуская сам IPsec-туннель.

changeip

Guest

23.08.2006 14:08:00

Можно ли добавить это в будущую версию в качестве действия "mangle"? Как, например, удаление IPv4 options? А пока я впихнул EoIP туннель в l2tp, и это работает, но это не совсем правильный способ. Не могу предложить такое решение тысячам пользователей, которых мы надеемся привлечь. Спасибо, Сэм.

changeip

Guest

23.08.2006 14:11:00

PS - Подскажи, как это настроить? Нужны ли статические IP-адреса на концах туннеля, чтобы их можно было добавить в политику? Нужно ли создавать политику для каждого туннеля? Можешь привести пример? Вот что я пробовал, и это, кажется, не помогло: `/ip ipsec policy`.

`add src-address=0.0.0.0/32:any dst-address=204.16.17X.0/24:any protocol=all \
action=accept level=use ipsec-protocols=esp tunnel=no \
sa-src-address=0.0.0.0 sa-dst-address=0.0.0.0 proposal=default \
manual-sa=none dont-fragment=clear disabled=no`

Правило политики увеличило счетчик, но, похоже, не влияет на трафик, направленный на этот подсеть. Спасибо, Сэм.

SvZol Guest	#5 0 29.11.2018 09:07:00 Хотя прошло уже 12 лет, я все равно буду записывать заметки, потому что сам искал ответ. Сейчас в “ip firewall mangle” находится среди действий “action = clear-df”.

Anumrak Guest	#6 0 29.11.2018 10:04:00 Ну что, поехали https://wiki.mikrotik.com/wiki/Manual%3AIP/Firewall/Mangle#Properties

rishi321

Guest

08.08.2019 19:59:00

Прикрепляю картинку, чтобы показать эту фичу в Winbox. Эта тема помогла мне разобраться. Некоторые сайты устанавливают бит DF для SSL-сайтов, и я думаю, мы можем использовать это правило mangle (в IP>Firewall>Mangle), чтобы его очистить и позволить сайтам работать через фрагментацию. Для трафика через туннель нужно настроить это как правило forward. Если хотите протестировать это с помощью Ping на Mikrotik, придется добавить еще одно правило для output. И, конечно, нужно повторить это с обеих сторон.

ki4swy Guest	#8 0 19.07.2020 06:09:00 Ненавижу воскрешать старые темы, но недавно у меня возникла проблема: я перестал заходить на многие сайты (struts.apache.org, usps informed delivery, cbs all access streaming). После анализа сетевых пакетов я заметил кучу ICMP Fragment Messages… Добавление этого mangle решило мою проблему. Есть какие-нибудь идеи, почему вдруг это стало проблемой? Но только на моем устройстве (CCR1036-12G-4S). У меня есть RB2011, и там всё работает нормально, mangle rule не требуется?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры