+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблема с Site to Site EOIP и локальным доступом в интернет

Проблема с Site to Site EOIP и локальным доступом в интернет, RouterOS

Maknz

Guest

21.05.2023 04:19:00

Ребята, знаю, что вопрос, наверное, простой, но всё же… У меня есть два офиса, соединённые через EOIP/IPSEC туннель. Скорость интернета на каждом — 1 Гбит/с, но между офисами мне так и не удалось получить больше 180 Мбит/с, да ещё и переменная скорость, что в часы пик создаёт «узкое место» и пользователи жалуются на тормоза в интернете. Чтобы исправить это, я отключил DHCP через туннель и настроил отдельный DHCP-сервер в удалённом офисе, чтобы шлюз смотрел на их местное интернет-соединение и ускорял трафик интернета. Всё вроде было нормально, пока не заметил, что некоторые сайты перестали загружаться. Google открывается без проблем, а вот speedtest.net, например, грузит только текст без медиа, и многие другие сайты вообще не выводятся. Посмотрел список интерфейсов и увидел, что MTU у моста, в который включён порт EOIP, упала до 1388, как и у самого EOIP-соединения. При этом PPoA-интерфейс провайдера — 1480. Может ли это быть причиной проблем с загрузкой? И как это исправить? Буду благодарен за любую помощь. Спасибо заранее!

wispvt

Guest

09.10.2023 17:39:00

Спасибо ещё раз за информацию. Есть ли более современный и эффективный способ подключить удалённые сайты через интернет вместо EoIP, при котором не возникало бы проблем с размером MTU, и который потреблял бы меньше ресурсов процессора и обеспечивал бы лучшую пропускную способность?

Maknz Guest	#3 0 08.06.2023 22:39:00 Спасибо за помощь, ребята, правило Mangle сработало. Это значительно разгрузило мои EOIP-туннели и ускорило локальный доступ в интернет.

wispvt

Guest

09.10.2023 12:21:00

У меня такая же проблема: мой EoIP-интерфейс находится в бридже вместе с несколькими другими портами. Я использую версию V7.11.2. Если я уменьшаю MTU у EoIP-интерфейса с 1500 до 1458, трафик по туннелю идет гораздо лучше, но это создает проблемы у других пользователей на других интерфейсах в том же бридже. Я не могу добавить mangle-правила для снижения MTU только на EoIP-интерфейсе, так как система выдает ошибку, что нужно использовать именно бридж-интерфейс, к которому он привязан, а это снова приводит к проблемам у всех. Раньше, на старой прошивке, такой проблемы с MTU в туннеле EoIP не было — почему-то в 7.x это перестало работать. Есть идеи?

sindy

Guest

09.10.2023 12:46:00

Вы можете использовать эти правила манглинга немного более сложным способом. Примените правило фильтра моста, чтобы назначить отметку пакета (для простоты — EoIP) кадрам, входящим в мост через интерфейс EoIP, и используйте правила mangle/prerouting, чтобы добавить исходные IP-адреса пакетов с этой отметкой в адресный список (также названный EoIP), с временем жизни адресного списка около 1 часа. Затем замените совпадение по in-interface и out-interface в правилах change-mss на src-address-list=EoIP и dst-address-list=EoIP соответственно.

wispvt

Guest

09.10.2023 16:22:00

Спасибо, я попробую. Есть ли ещё какой-то способ уменьшить MTU ниже 1500 на интерфейсе EoIP, чтобы при этом не повлиять на всех остальных в мосту, даже если они вообще не передают трафик через этот EoIP? Оба конца EoIP-соединения находятся на NAT’овых файрволлах, которые подключены к LAN-мостам.

sindy

Guest

09.10.2023 16:59:00

Такого нет. С точки зрения IP-стека, который работает с MTU, мост (то есть «виртуальный интерфейс роутера, подключённый к виртуальному порту виртуального коммутатора») — это IP-интерфейс. Если у интерфейса моста MTU равен 1500, а вы передаёте ему пакет, размер которого больше MTU EoIP, мост (как «виртуальный коммутатор») пересылает этот пакет на порт EoIP, но EoIP сбросит его, не отправляя ICMP-уведомление обратно, потому что мосты (виртуальные коммутаторы) не генерируют ICMP. Поэтому MTU интерфейса моста автоматически уменьшается до MTU порта-члена с наименьшим значением; если позволить EoIP выставлять MTU автоматически, он возьмёт MTU интерфейса, через который отправляет транспортные пакеты, и вычтет из него размер заголовков. Мост подстраивается под это, заставляя роутер посылать «требуется фрагментация», если пакет, маршрут которого идёт через интерфейс моста, больше установленного размера. Если выставить MTU EoIP принудительно в 1500, это просто значит, что EoIP будет разбивать транспортные пакеты (переносящие полезные пакеты с размером больше лимита) на фрагменты. И даже если удвоение количества пакетов вас не смущает, можно столкнуться с проблемой, когда некоторые сети случайно сбрасывают не первые фрагменты пакетов. Обходной путь — использовать L2TP в BCP (bridge) режиме с MLPPP, который разбивает полезные пакеты до загрузки их в транспортные, а транспортные пакеты при этом никогда не фрагментируются. Проблема с удвоением количества пакетов при этом остаётся.

sindy

Guest

09.10.2023 18:32:00

Лучший способ — полностью избегать L2-туннелирования, чтобы проблемы с MTU решались на уровне маршрутизации, как и должно быть. Без ограничения MTU полезной нагрузки любое туннелирование (даже L3) почти всегда удваивает количество пакетов, потому что туннелирование добавляет накладные байты к полезным пакетам при формировании транспортных, и лишние байты переходят во фрагменты. «Почти» потому, что некоторые полезные пакеты меньше MTU туннеля. Так что если вам всё же нужно L2-туннелирование через интернет, то L2TP с BCP и MLPPP — всё ещё лучший вариант, так как его транспортные пакеты не фрагментируются. Что касается нагрузки на CPU, то особой разницы, используете вы EoIP, L2TP или VxLAN, нет. А если применяете шифрование, то процесс упаковки L2-кадров в L3-пакеты — совсем мелочь на фоне нагрузки от шифрования и расшифровки.

wispvt Guest	#9 0 09.10.2023 18:42:00 Спасибо

wispvt

Guest

#10

11.10.2023 21:31:00

Мне удалось достаточно легко настроить l2tp с BCP. Проблема в том, что пинг на любые хосты с обеих сторон туннеля возвращает постоянные дубликаты (DUP), так что, скорее всего, трафик тоже дублируется. Но скорость по l2tp значительно лучше, чем по EoIP. Когда я возвращаю EoIP-ссылку онлайн, пинги снова становятся нормальными. На L2TP у меня max mtu и max mru установлены на 1450, а mrru на 1600, чтобы принудительно включить MLPPP. Я проверил таблицы ARP и хостов с обеих сторон – всё в порядке. Искал в интернете, но не могу понять, почему по l2TP идут дублированные пакеты при пинге. Может, это из-за того, что у l2tp нет назначенного MAC-адреса в интерфейсах? Есть идеи?

sindy

Guest

#11

11.10.2023 21:40:00

Думаю, вы как-то умудрились одновременно задействовать туннели L3 и L2, но это всего лишь предположение. Мне нужно увидеть полные конфигурационные экспорты с обеих сторон туннеля, а также адреса, которые вы использовали для пинга (и исходный, и целевой). Не забудьте обезличить экспорты, сохранив при этом целостность префиксов адресов, если в конфигурации используются какие-то публичные или глобальные адреса.

wispvt

Guest

#12

11.10.2023 21:58:00

Office End
/ppp profile add bridge=bridge1 bridge-horizon=1 interface-list=LAN name="BCP Profile" use-encryption=yes use-ipv6=no
/interface l2tp-server server set default-profile="BCP Profile" enabled=yes mrru=1600

Remote End
/ppp profile add bridge=bridge1 name="BCP Profile" use-encryption=yes use-ipv6=no
/interface l2tp-client add connect-to=xxx.xxx.xxx.xxx disabled=no max-mru=1540 max-mtu=1540 mrru=1600 name="NOC Link" profile="BCP Profile" user=xxx

Адреса были просто 192.168.xxx.xxx, которые мы пингуем в нашей внутренней LAN, по которой этот канал проходит через интернет и между двумя сайтами за натированными фаерволами.

sindy Guest	#13 0 11.10.2023 22:12:00 Указаны ли локальный и удалённый адреса в строке /ppp secret на стороне сервера? Если да, что произойдет, если их убрать?

wispvt Guest	#14 0 11.10.2023 23:08:00 Адреса не указаны. В секрете заданы только имя, пароль и профиль. Должен ли где-то быть привязан MAC-адрес к этому интерфейсу? Также нужно ли ставить arp=proxy-arp на мостах и задавать admin-mac-адрес с обеих сторон? Я видел, что некоторые так делают в своих настройках, но на презентациях MUM про L2TP с BCP этого никогда не упоминали.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры