Sasha
А что это за размер reply
Sasha
Видимо нет
Sasha
У вас на оба хоста технология подключения одинаковая? Или на 1 pppoe а на втором dhcp?
Denis
У вас на оба хоста технология подключения одинаковая? Или на 1 pppoe а на втором dhcp?
На дальнем рррое поэтому и МТУ такой
Denis
Через полчаса где-то смогу все посмотреть на микротике.
Sasha
там в пинге можно сделать пинг без фрагментации
Denis
Я пинговал максимальными пакетами, которые пролазят без фрагментации.
Вчерашний мой скриншот - там пакеты по 30 байт
Sasha
у вас рассогласование mtu
Denis
у вас рассогласование mtu
Denis
Sasha
На интерфейсе pppoe
Denis
Sasha
запустите пинг с размером 1428
Denis
32 байта — тоже самое
Sasha
ну размер пакета будет MTU гре - 28
Denis
У меня к дальнему микротику подключен еще один GRE тунель и он работает нормально.
На дальнем микротике PPPoE
На втором дальнем тунеле, который работает нормально, МТУ я не трогал. Он там 1406 (используется IPSec)
Billy
Привет всем, подскажите пожалуйста, разбили сетку на vlanы и есть девайс с статическим ip, который не попадает в пулл vlan, мак не известен, как его впихнуть в vlan?
Sasha
поставьте на микротике в настройках вип сервера мах mtu mru 1450
Sasha
на том что 1.1.1.1
Denis
Все скриншоты винбокса я привожу с маршрутизатора 2.2.2.2 (желтенький на схеме).
Маршрутизатор 3.3.3.3 имеет точно такой же туннель на маршрутизатор 1.1.1.1 и он работает нормально.
На 2.2.2.2 я пробовал выключать IPSec (вчера была мысль в чате, что hAP lite не дружит с IPSec), пробовал вручную указывать MTU 1456 (как на 1.1.1.1). Пробовал пинговать пакетами 32 байта и 1456 байт. Разницы нет. При любых условиях появляется плавающая проблема с большой задержкой и большим джиттером. При этом никакой загрузки CPU не видно на 2.2.2.2, она ничем не отличается от того времени, когда проблемы нет.
Sasha
впн
Denis
там нет впн сервера
Denis
там только GRE. один рабочий и один тестовый (на hAP lite)
Sasha
mtu понижайте до 1450
Denis
mtu понижайте до 1450
сейчас попробую. нужно дождаться момента, когда оно перестает нормально работать
Denis
Sasha
он не плавающий
Sasha
когда у вас пакет идет с задержкой он просто сегментируется
Denis
ничего не меняется. нагрузки на hAP lite нет.
Denis
никакого другого трафика нет. только мои пинги + винбокс
Denis
но винбокс через белый адрес. не через тунель
Sasha
когда трафик пойдет и будет идти сегментация то вы заметите просадку по скорости
Denis
когда трафик пойдет и будет идти сегментация то вы заметите просадку по скорости
Заметил такую штуку.
Я убрал вручную указанный MTU на GRE и теперь у меня на hAP lite MTU 1476 на туннеле, а на RB951G MTU 1456
Я сейчас пингую RB951G пакетами размером 1476 с запретом фрагментации. Они ведь не должны пролезть на ту сторону? Но пролазят. А почему?
Sasha
вы с машины из сети пропингуйте с запретом
Denis
Denis
вы с машины из сети пропингуйте с запретом
на том конце неоткуда пинговать. там нет подключенных к маршрутизатору устройств
Sasha
мту считается MTU=MSS+28
Denis
Sasha
ну так он не фрагментирует его
Sasha
поставьте выше 1450 будет фрагментация
Denis
простите, не понимаю зачем это?
Denis
я хочу понять, почему у меня периодически в GRE тунеле происходит вот такая ерунда на hAP lite (на других устройствах не происходит)
туннели идентичные. разница только в том, что тут hAP lite.
прошивки идентичные. тунели настроены идентично (за исключением того, что на hAP lite я отключил IPSec, но разницы никакой нет, всё началось с включенным IPSec)
Denis
Denis
он так все время говорит. и я уже тоже склонен к тому, что это "подземный стук" не иначе
Sasha
вы просто гоняете максимальные размеры пакетов
Sasha
а они идентично настроены? в mangle нет правил на форвард?
Denis
в смысле да, идентично и MSS в Mangle не меняется
Dmitry
С двух сторон: берете меньший максимальный MTU ходящий по внешке, отнимаете заголовки GRE+IPSec (как их посчитать отдельная история) - это будет mtu на туннеле.
Ставите его с двух сторон одинаковый, проводите тесты - то что IPSec вносит задержку на шифрование / расшифровку трафика - это естественно, особенно БЕЗ аппаратного ускорения
Sasha
да там не то чтоб с двух а с мту хоста где ппое как я понимаю он выступает в качестве центра
Denis
С двух сторон: берете меньший максимальный MTU ходящий по внешке, отнимаете заголовки GRE+IPSec (как их посчитать отдельная история) - это будет mtu на туннеле.
Ставите его с двух сторон одинаковый, проводите тесты - то что IPSec вносит задержку на шифрование / расшифровку трафика - это естественно, особенно БЕЗ аппаратного ускорения
а тот MTU который автоматически высчитался. Это разве неверное значение?
я на одном из концов ставлю минимальное значение
ну вот выше на схеме у меня тунель и на верхнем маршрутизаторе МТУ 1456, а на нижнем 1476
я на нижнем вручную ставлю 1456, чтобы сделать МТУ одинаковыми
с другой стороны, если взять gre2, то я там не трогал вообще MTU и там все отлично работает без этих настроек
Denis
да там не то чтоб с двух а с мту хоста где ппое как я понимаю он выступает в качестве центра
да. верхний на схеме маршрутизатор с PPPoE
и на нем работает два gre туннеля
Denis
но почему у меня пакеты размером 32 байта тоже с такими задержками ходят? как MTU может влиять на пакеты такого размера?
Dmitry
но почему у меня пакеты размером 32 байта тоже с такими задержками ходят? как MTU может влиять на пакеты такого размера?
с какими задержками - у вас по схеме и IPSec то нет ? с hap lite ?
Denis
с какими задержками - у вас по схеме и IPSec то нет ? с hap lite ?
https://t.me/mikrotikclub/254992
Denis
вот периодически у меня начинаются вот такие задержки и джиттер на этом gre тунеле
Denis
Denis
Dmitry
выкладывайте полный конфиг, может кто и поможет - заводить что-то там на haplite-ах я, честно, не очень понимаю зачем они вообще существуют, кроме тестовых целей
общая рекомендация:
а) разобраться с MTU
б) перестать постить малопонятные кому картинки с ping-ом
в) включить debug ipsec - если с ним ничего не происходит, в момент проблемы - проверять внешнее соединение
Denis
никакого дополнительного трафика на канале нет
Sasha
а трасировка в этот помент до конечного хоста не выдает аномалий? в виде потерь пакетов?
Denis
выкладывайте полный конфиг, может кто и поможет - заводить что-то там на haplite-ах я, честно, не очень понимаю зачем они вообще существуют, кроме тестовых целей
общая рекомендация:
а) разобраться с MTU
б) перестать постить малопонятные кому картинки с ping-ом
в) включить debug ipsec - если с ним ничего не происходит, в момент проблемы - проверять внешнее соединение
проще всего отказаться от hAP lite
моя цель сейчас разобраться и понять. просто взять устройство помощнее — это выход из ситуации, но я хочу понять. Для меня это важней.
Denis
Sasha
да