+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

EoIP туннельный зажим TPC MSS

EoIP туннельный зажим TPC MSS, RouterOS

halacs

Guest

07.02.2021 12:31:00

Привет! У меня есть туннель EoIP между Mikrotik RB4011iGS+RM и Mikrotik CCR1009-7G-1C-1S+PC. В настройках EoIP в Winbox есть опция «Clamp TCP MSS». Даже если я её включаю, мне всё равно приходится добавлять отдельное правило «change MSS» (с MSS 1250) в Firewall/Mangle, чтобы TCP-соединения через туннель работали нормально. По документации я думал, что включения только «Clamp TCP MSS» в настройках EoIP будет достаточно, но это не так. Как думаешь, может ли это быть баг в RouterOS? Мне хотелось бы иметь небольшой MSS (1250) только в туннеле, а не для всей сети. Начал заниматься этим, потому что мой туннель оказался слишком медленным: ожидал около 1 Гбит/с, а получил примерно 100 Мбит/с. Тестировал с копированием файлов по Samba, запросами Apache http/https и копированием через scp. Все с файлами размером 20-25 ГБ. Спасибо и с уважением, Halacs

bobatkins

Guest

23.11.2022 21:15:00

Опция Clamp tcp mss в RouterOS НИКОГДА не работала — и точка! Мне всегда приходилось создавать специальное правило mangle, чтобы решить проблему, которая случайным образом появляется на SSL-сайтах, так как они не могут повторно согласовать TCP MSS. Обычно сбой происходит на сайтах, которые блокируют ICMP, что мешает определению маршрута. Невероятно, что эта проблема существует уже больше 10 лет, и никто в Mikrotik до сих пор её не решил, и да — даже в самой последней версии RouterOS.

anav Guest	#3 0 23.11.2022 21:46:00 Я знаю, что в WireGuard это может работать для решения проблем с MTU. new-mss=clamp-to-pmtu! Также можно использовать L2TP внутри WireGuard и решать проблемы с MTU, подстраивая MRRU.

halacs Guest	#4 0 24.11.2022 07:04:00 WireGuard — это функция Mikrotik RouterOS? Я до сих пор о ней не слышал.

accarda Guest	#5 0 24.11.2022 07:53:00 Вы можете прочитать о WireGuard здесь https://help.mikrotik.com/docs/display/ROS/WireGuard, для чего требуется Ros версии 7.x.

sup5

Guest

24.11.2022 10:31:00

У меня всё работает. Я сделал несколько захватов пакетов, которые подтверждают это. Но есть ограничения: TCP-MSS-клаппинг работает только с нетегированным нативным IPv4-трафиком, проходящим через EoIP-интерфейс. Как только трафик инкапсулируется (802.1q, 802.1ad или PPPoE), он перестаёт работать, и приходится вручную настраивать mangle-правила.

pe1chl

Guest

24.11.2022 10:36:00

Обратите внимание, что любая проблема, которую вы пытаетесь исправить с помощью ограничения TCP MSS, на самом деле вызвана ошибкой где-то в другом месте. Обычно ошибка в том, что люди «полностью блокируют ICMP» в своих файерволах по совету некомпетентных «экспертов», вроде Стива Гибсона. ICMP играет ключевую роль в работе интернета, в данном случае — в обнаружении максимального размера пакета (path MTU), и его блокировка приведёт к сбоям. Ограничение TCP MSS работает как временное решение этих проблем, но гораздо лучше исправить корень проблемы. Почините файерволы.

halacs

Guest

24.11.2022 19:22:00

А, понял! Вот почему TCP-MSS-clamping не работал в моём EoIP-туннеле: у меня внутри EoIP-туннеля есть VLAN-транк. В сети у меня несколько отдельных VLAN. Пришлось вручную настроить правило для этого, и теперь всё отлично работает. Думаю, с этой точки зрения, неважно, что у меня PPPoE-подключение к провайдеру вне EoIP-туннеля. Это влияет только на MTU внутри и вне EoIP-туннеля. А как насчёт IPv6-трафика?

chechito Guest	#9 0 24.11.2022 19:28:00 Тема с подробностями по пунктам, как курс по частям.

anav Guest	#10 0 24.11.2022 21:12:00 Понятия не имею, что это значит, но глядя на этот аватар, мне кажется, что проблема ТС — питание, он кричит: «Я голоден!»

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры