"IPsec для любознательных, ч.2 ответы на вопросы"

[hvostat_hvostat]

Ровно неделю назад написал вот этот псто.

Большое спасибо всем за ответы! Много очень толковых мыслей. Я прям очень-очень рад, что читатели такие умнички!
Отдельное огромное спасибо уважаемым klink0v и vovin.

Так вот, по завершению дебага, выяснилось, что ларчик открывался крайне хитрожопо и весьма неожиданно.

Comments

[her_shadow]

Учёно!

[hvostat_hvostat]

А то!

[ext_5102857]

У вас недюжинное терпение!

В тот момент, когда я увидел, что дело связано с фрагментацией IKE пакетов, я бы просто подрезал MTU на внешнем интерфейсе.

[hvostat_hvostat]

>У вас недюжинное терпение!

У меня аутизм в лёгкой степени, нерешенные задачи оставляют у меня ощущения шила в заднице.

>я бы просто подрезал MTU на внешнем интерфейсе

... и это бы не помогло.

[ext_5102857]

Логично. Размер запроса IKE не уменьшится от урезания MTU.

Но провайдер, у которого инженеры способны на подобное вызывает у меня сильнейшее желание его поменять.

[hvostat_hvostat]

Ну вот такой вот веселый аплинк.

Могу процитировать слова, которые мне инженер провайдера сообщил:
"ну этот аплинк активно борется с дос атаками.. видимо что-то экспериментирваоли"

[termsl]

Ну как бы эта прописная истина- настроить мту в тоннельном интерфесе через ван так, чтобы не было фрагментации, иначе в большинстве случаев тоннель не поднимется.

[hvostat_hvostat]

Перечитай еще раз плиз внимательно.

МТУ в тоннельном интерфейсе тут СОВЕРШЕННО непричём.

[termsl]

Не в тоннельном, а в WAN, притом этот MTU должен быть меньше обычного на величину навесок ipsec, минус 28 что ли байт, особенно это у сотовых операторов заметно.

[klink0v]

Не поможет. Пакеты по 1500 байт там бегают без фрагментации в обе стороны. Мы это в первую очередь проверили.

[masterspammer]

Максимум влипал в фильтр по MTU, правда, осложнявшийся ещё и тем, что не удавалось продуктивно пользоваться поиском (решил обзвоном народа, благо суббота была).

[hvostat_hvostat]

MTU не равный 1500 - это аккордеон.

А тут прям новшество.

[masterspammer]

(Так это и не вчера было).

Новшество вредное, да.

[klink0v]

"Новшество?" Два раза в это "влетал".

[kvazimoda24]

Блин, но те, кто такие фильтры ставит, пидарасы.

[hvostat_hvostat]

Можно даже сказать "грязные пидоры" и не ошибиться!