Mikrotik.moscow [тема: Проблема с MTU в IKEv2] http://mikrotik.moscow Новое в теме Проблема с MTU в IKEv2 форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 05:51:48 +0300 Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
@anis Ты и sindy здесь единственные активные, так что, пожалуйста, не цитируйте так много.
04.03.2024 14:21:00, msatter.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402663 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402663 Mon, 04 Mar 2024 14:21:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Провайдер сказал, что с трафиком ничего не делают.
04.03.2024 14:17:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402662 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402662 Mon, 04 Mar 2024 14:17:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Извиняюсь https://ibb.co/L8GhWPz
04.03.2024 14:07:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402661 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402661 Mon, 04 Mar 2024 14:07:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Я запросил /ip ipsec policy print detail. Но меня здесь тревожит то, что динамически созданная политика для телефона отмечена как I (Invalid), что для меня выглядит странным, учитывая, что есть всего одна реальная политика, а остальные — шаблоны.
04.03.2024 12:20:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402660 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402660 Mon, 04 Mar 2024 12:20:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Окей, это с активным клиентом 10.50.0.12 ikev2 https://ibb.co/Sf1qkt8
04.03.2024 11:55:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402659 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402659 Mon, 04 Mar 2024 11:55:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Экспорт показывает настроенные элементы; сами политики генерируются динамически на основе шаблонов. А ваши шаблоны довольно широкие. Поэтому я хочу получить вывод из print, а не из export для политик.
04.03.2024 11:43:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402658 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402658 Mon, 04 Mar 2024 11:43:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Извините, я не могу перевести содержимое по ссылке. Пожалуйста, предоставьте текст сообщения напрямую.
04.03.2024 11:42:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402657 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402657 Mon, 04 Mar 2024 11:42:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Я выложил всю конфигурацию ipsec, заменил только wan ip, а в сертификатах был указан мой email. Всё остальное осталось без изменений, а правила сейчас неактивны.
04.03.2024 11:15:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402656 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402656 Mon, 04 Mar 2024 11:15:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Чтобы понять это, я бы проследил TCP-пакеты с SYN+ACK, которые приходят через WAN, и посмотрел, какой у них MSS. Если он меньше 1460, значит где-то между твоим WAN и отправителем что-то вмешивается в трафик. Но чтобы точно убедиться, нужен девайс с публичным IP где-то в интернете (например, у твоего друга с другим провайдером) и одновременно мониторить пакеты у него и у тебя, когда пытаешься открыть его адрес по web или telnet (неважно, слушает ли там сервис, нам важен только SYN-пакет, ответ необязателен). Что касается «без смены провайдера», боюсь, придется завести виртуальную машину в каком-нибудь дата-центре и сделать туннель к ней, чтобы обойти неправильную обработку MSS у провайдера. Хотя может, проще просто вежливо поговорить с провайдером?
04.03.2024 11:11:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402655 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402655 Mon, 04 Mar 2024 11:11:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
action=change-mss пробовал менять разные значения, но безрезультатно. Я также склоняюсь к тому, что проблема у провайдера, и если это так, то возможно ли решить этот вопрос, не меняя провайдера? Что нужно сделать, чтобы определить и отследить проблему?

[mtk@mtk-ccr1016] > /ip ipsec
[mtk@mtk-ccr1016] /ip ipsec> export
# mar/04/2024 13:04:15 by RouterOS 6.49.10  
# software id =  
#  
# model = CCR1016-12G  
# serial number =  
/ip ipsec mode-config  
add address=10.50.0.12 address-prefix-length=22 name=IKEv2-Server static-dns=172.16.0.1 system-dns=no  
/ip ipsec policy group  
add name=ipsec  
add name=IKEv2-Server  
/ip ipsec profile  
add enc-algorithm=aes-256,aes-192,aes-128,3des name=ipsec-profile  
add dh-group=modp2048,modp1536,modp1024 enc-algorithm=aes-256,aes-192,aes-128,3des hash-algorithm=sha256 name=IKEv2-Server  
add name=copy  
/ip ipsec peer  
add exchange-mode=ike2 local-address=ip wan name=IKEv2-Server passive=yes profile=IKEv2-Server  
add disabled=yes exchange-mode=ike2 name=copy passive=yes profile=IKEv2-Server  
/ip ipsec proposal  
add enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc,3des name=ipsec-proposal pfs-group=none  
add auth-algorithms=sha512,sha256,sha1 enc-algorithms="aes-256-cbc,aes-256-ctr,aes-256-gcm,aes-192-ctr,aes-192-gcm,aes-128-cbc,aes-128-ctr,aes-128-gcm" lifetime=8h name=IKEv2-Server pfs-group=none  
add name=copy  
/ip ipsec identity  
add auth-method=digital-signature certificate=vpn.ike2 generate-policy=port-strict match-by=certificate mode-config=IKEv2-Server peer=IKEv2-Server policy-template-group=IKEv2-Server remote-certificate=ra@vpn.ike2 remote-id=user-fqdn:ra@vpn.ike2  
add auth-method=digital-signature certificate=name comment=copy disabled=yes generate-policy=port-strict match-by=certificate mode-config=IKEv2-Server peer=IKEv2-Server policy-template-group=IKEv2-Server remote-certificate=ra@name remote-id=user-fqdn:ra@name  
add disabled=yes generate-policy=port-strict mode-config=IKEv2-Server peer=IKEv2-Server policy-template-group=IKEv2-Server secret="vJ$beWkTJ7q@9S~`>]q)YrLH"  
/ip ipsec policy  
add dst-address=0.0.0.0/0 group=ipsec proposal=ipsec-proposal src-address=0.0.0.0/0 template=yes  
add dst-address=10.50.0.0/24 group=IKEv2-Server proposal=IKEv2-Server src-address=0.0.0.0/0 template=yes  
add comment=copy disabled=yes dst-address=0.0.0.0/0 group=IKEv2-Server proposal=IKEv2-Server src-address=0.0.0.0/0 template=yes  
[mtk@mtk-ccr1016] /ip ipsec>
04.03.2024 11:02:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402654 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402654 Mon, 04 Mar 2024 11:02:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Сначала, возможно, стоит изменить IP-шлюз в экспорте. Далее, я вижу, что у тебя есть два правила action=change-mss в forward mangle — правильно я понимаю, что они не помогают? Хотелось бы увидеть вывод /ip ipsec policy print detail (естественно, с закрытыми публичными адресами); если там не будет подсказок, то продвинутая прослушка будет последним средством. Я видел случаи, когда правила change-mss не помогали, потому что какой-то идиот в провайдере тоже использовал change-mss, но игнорировал исходное значение MSS и с радостью ставил большее. Чтобы это доказать, нужно настроить TCP-сессию с другим устройством где-то в интернете, на котором тоже можно было бы слушать и посмотреть значение MSS в поле SYN, когда оно доходит до того устройства после прохождения через интернет и особенно через провайдера.
04.03.2024 10:45:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402653 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402653 Mon, 04 Mar 2024 10:45:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
firewall: для теста разрешено всё. Входящие адреса изменены; всё остальное взято с рабочего роутера, на котором клиент 10.50.0.12 открывает только поисковик Google, остальные сайты недоступны. # 03/мар/2024 16:06:57, RouterOS 6.49.10  
# software id = UH1D-IK15  
#  
# модель = CCR1016-12G  
# серийный номер = D6450EB884C9  
/interface bridge  
add arp=reply-only name=bridge1  
/interface ethernet  
set [ find default-name=ether1 ] name=ether1-WAN
set [ find default-name=ether2 ] disabled=yes
set [ find default-name=ether3 ] disabled=yes
set [ find default-name=ether4 ] disabled=yes
set [ find default-name=ether5 ] disabled=yes
set [ find default-name=ether6 ] disabled=yes
set [ find default-name=ether7 ] name=ether7
set [ find default-name=ether8 ] disabled=yes
set [ find default-name=ether9 ] disabled=yes
set [ find default-name=ether10 ] disabled=yes
set [ find default-name=ether11 ] disabled=yes
set [ find default-name=ether12 ] disabled=yes
/interface vlan  
add interface=ether1-WAN name=vlan1 vlan-id=1  
/interface list  
add name=Lan  
add name=WAN  
add name=discover  
/ip ipsec mode-config  
add address=10.50.0.12 address-prefix-length=22 name=IKEv2-Server static-dns=172.16.0.1 system-dns=no  
/ip ipsec policy group  
add name=ipsec  
add name=IKEv2-Server  
/ip ipsec profile  
add enc-algorithm=aes-256,aes-192,aes-128,3des name=ipsec-profile  
add dh-group=modp2048,modp1536,modp1024 enc-algorithm=aes-256,aes-192,aes-128,3des hash-algorithm=sha256 name=IKEv2-Server  
/ip ipsec peer  
add exchange-mode=ike2 local-address=123.45.67.89 name=IKEv2-Server passive=yes profile=IKEv2-Server  
/ip ipsec proposal  
add enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc,3des name=ipsec-proposal pfs-group=none  
add auth-algorithms=sha512,sha256,sha1 enc-algorithms="aes-256-cbc,aes-256-ctr,aes-256-gcm,aes-192-ctr,aes-192-gcm,aes-128-cbc,aes-128-ctr,aes-128-gcm" lifetime=8h name=IKEv2-Server pfs-group=none  
/ip pool  
add name=pool4 ranges=172.16.4.1-172.16.4.254  
add name=pool3 next-pool=pool4 ranges=172.16.3.1-172.16.3.254  
add name=pool2 next-pool=pool3 ranges=172.16.2.1-172.16.2.254  
add name=pool1 next-pool=pool2 ranges=172.16.1.1-172.16.1.254  
/ppp profile  
add change-tcp-mss=yes name=l2tp-remote-client-to-site only-one=no use-compression=yes use-encryption=yes  
/snmp community  
set [ find default=yes ] disabled=yes
add addresses=0.0.0.0/0 name=snmp_public  
/system logging action  
set 1 disk-file-count=10  
set 3 bsd-syslog=yes remote=172.16.1.135 syslog-facility=syslog  
add name=ipsec target=memory  
add name=l2tp target=memory  
/interface bridge port  
add bridge=bridge1 hw=no interface=ether7  
add bridge=bridge1 interface=vlan1  
/ip neighbor discovery-settings  
set discover-interface-list=none  
/interface l2tp-server server  
set authentication=mschap2 default-profile=l2tp-remote-client-to-site enabled=yes one-session-per-host=yes use-ipsec=required  
/interface pptp-server server  
set authentication=mschap2 default-profile=pptp  
/ip address  
add address=172.16.0.1/22 interface=bridge1 network=172.16.0.0  
add address=123.45.67.89/29 interface=ether1-WAN network=123.45.67.89  
/ip dhcp-server network  
add address=172.16.0.0/22 dns-server=172.16.0.1 gateway=172.16.0.1 ntp-server=172.16.0.1  
/ip dns  
set allow-remote-requests=yes cache-max-ttl=1d cache-size=10240KiB servers=8.8.8.8,1.1.1.1  
/ip firewall filter  
add action=accept chain=forward  
add action=accept chain=output  
add action=accept chain=input  
/ip firewall mangle  
add action=change-mss chain=forward ipsec-policy=in,ipsec new-mss=1360 passthrough=yes protocol=tcp src-address=10.50.0.12 tcp-flags=syn tcp-mss=!0-1360  
add action=change-mss chain=forward dst-address=10.50.0.12 ipsec-policy=out,ipsec new-mss=1360 passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=!0-1360  
/ip firewall nat  
add action=masquerade chain=srcnat src-address=10.50.0.12  
add action=masquerade chain=srcnat src-address=172.16.0.0/22 out-interface-list=WAN  
/ip firewall service-port  
set ftp disabled=yes  
set tftp disabled=yes  
set irc disabled=yes  
set h323 disabled=yes  
set sip disabled=yes  
set pptp disabled=yes  
set udplite disabled=yes  
set dccp disabled=yes  
set sctp disabled=yes  
/ip ipsec identity  
add auth-method=digital-signature certificate=vpn.ike2 generate-policy=port-strict match-by=certificate mode-config=IKEv2-Server peer=IKEv2-Server policy-template-group=IKEv2-Server remote-certificate=ra@vpn.ike2 remote-id=user-fqdn:ra@vpn.ike2  
/ip ipsec policy  
add dst-address=0.0.0.0/0 group=ipsec proposal=ipsec-proposal src-address=0.0.0.0/0 template=yes  
add dst-address=10.50.0.0/24 group=IKEv2-Server proposal=IKEv2-Server src-address=0.0.0.0/0 template=yes  
/ip route  
add check-gateway=ping distance=1 gateway=11.12.34.56  
/ip route rule  
add action=lookup-only-in-table src-address=123.45.67.89/32 table=WAN  
/ip service  
set telnet disabled=yes  
set ftp disabled=yes  
set www disabled=yes  
set ssh disabled=yes  
set api disabled=yes  
set winbox port=28291  
set api-ssl disabled=yes  
/snmp  
set enabled=yes trap-community=snmp_public trap-interfaces=ether7 trap-version=2  
/system clock  
set time-zone-name=manual  
/system clock manual  
set dst-delta=+01:00 dst-end="oct/28/2019 00:00:00" dst-start="mar/31/2019 00:00:00" time-zone=+02:00  
/system identity  
set name=mtk-ccr1016  
/system leds  
add leds=fault-led type=fan-fault  
add leds=user-led type=flash-access  
/system package update  
set channel=long-term  
/tool bandwidth-server  
set authenticate=no enabled=no  
/tool mac-server  
set allowed-interface-list=none  
/tool mac-server mac-winbox  
set allowed-interface-list=Lan  
/tool mac-server ping  
set enabled=no
04.03.2024 10:18:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402652 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402652 Mon, 04 Mar 2024 10:18:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Опубликуйте экспорт (не скриншоты) вашей конфигурации. Должно происходить что-то похожее на описанное в сообщении №2, но в вашем случае это будет удалённый сервер (веб-сайт), который не получает информацию о том, что эффективный MTU на пути от вашего роутера до телефона меньше. Однако механизм определения MTU пути (Path MTU Discovery, PMTUD) может работать неправильно и по другим причинам, помимо отсутствующих или некорректных IPsec-политик.
04.03.2024 07:13:00, sindy.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402651 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402651 Mon, 04 Mar 2024 07:13:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Приложения работают нормально, поиск в Google выдаёт результаты, но 90% сайтов не загружаются. У меня была точно такая же проблема. В чём решение? Мои клиенты подключаются через ikev2, соединение проходит без проблем, они пингуют роутер, адрес разрешается как в локальной сети, так и в Интернете, но открывается только поисковик Google, а ни один сайт не открывается. Что нужно проверить?
03.03.2024 20:00:00, anis.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402650 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402650 Sun, 03 Mar 2024 20:00:00 +0300 RouterOS Проблема с MTU в IKEv2 Проблема с MTU в IKEv2 RouterOS в форуме RouterOS.
Похоже, что mtu не работает на IKEv2. Мой провайдер предоставляет подключение через PPPoE с mtu 1460. Как мне решить эту проблему с неправильным mtu, ведь из-за этого у меня серьезные проблемы с загрузкой сайтов через VPN?
14.09.2022 18:20:00, mafiosa.]]> http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402649 http://mikrotik.moscow/forum/forum57/86051-problema-s-mtu-v-ikev2/message402649 Wed, 14 Sep 2022 18:20:00 +0300 RouterOS