« Rev
@mikrotikclub   3201
Fwd »


Яссдэд
Пока не переподключишь впн.
ℳℛ
Это когда есть бюджет на ещё один девайс.
ну микрот уже как бы был… а эта шляпа в нагрузку от оператора… а микроты были и есть… и уже неоднократно сменен, достигнув апогея для домашнего применения с пассивным охлаждением)))
Cooler3D
а точно даунстрим работает? я просто подумал на MTU
Качает без нареканий, мрёт именно при апстриме.
ℳℛ
Пока не переподключишь впн.
вот как бы… типовая история для MTU. Подключился. Пинг идет. Зарядил пакет, который начнет сегментироваться, капец TCP.
Cooler3D
Если подключиться к роутеру напрямую, не через VPN, проблемы нет и в помине. Ну то есть она определенно связанна с VPN
Яссдэд
Перепроверил с единственным клиентом. Проблема на месте.
Тогда пробуйте создать на микроне нового юзера, берёте чистый яблодевайс без mdm, на нём ручками настраиваете впн и проверяйте. Если такая же шляпа, значит у вас что-то не так на стороне сервера.
ℳℛ
Перепроверил с единственным клиентом. Проблема на месте.
клиент идет из инета через свой NAT откуда-то? случайно не через двойной NAT?
Cooler3D
сколько у вас MTU на сервере?
1450, если я верно понимаю
Яссдэд
Если же будет работать, то проблема ваша с mdm.
ℳℛ
1450, если я верно понимаю
правильно понимаете.. попробуйте со стороны сервера драматически уменьшить MTU. Например до 1300
Cooler3D
клиент идет из инета через свой NAT откуда-то? случайно не через двойной NAT?
Пробовал и через интернет, и через локальную сеть роутера. Проблема остается.
ℳℛ
если только не на внешний интерфейс идете. там черт те что может быть
Cooler3D
через локалку? а вот это странно…
Через WiFi сеть роутера, она в бридже с локальной, внутренней.
ℳℛ
Сейчас попробую. Спасибо.
для красоты MTU/MRU оба в 1300
Cooler3D
если только не на внешний интерфейс идете. там черт те что может быть
Кстати, а ведь VPN ссылается на внешний IP, даже если я подключен к внутреннему WiFi
Cooler3D
Соответственно, я в любом случае прохожу через NAT Hairpin (nat loopback, если я не ошибаюсь).
ℳℛ
Кстати, а ведь VPN ссылается на внешний IP, даже если я подключен к внутреннему WiFi
это не есть гуд. обращаться изнутри на внешний адрес. здесь может и прокатит. а при dst-nat - это вообще криво. тут уже hairpin nat нужен. другая история. проще всего решается локальным DNS (подменой внешнего адреса FQDN->IP на внутренний ТУТ для локального клиента)
Яссдэд
Эммм… Если не секрет, а зачем вам внутри локалки на девайсах использовать впн?
Cooler3D
Эммм… Если не секрет, а зачем вам внутри локалки на девайсах использовать впн?
Тест. Проблема что снаружи, что снутри одинаковая.
Яссдэд
я так понял это просто тест
Для теста можно просто вырубить на девайсах вайфай.
Cooler3D
с MTU попробовали?
Сейчас, 2 мин.
Яссдэд
Тест. Проблема что снаружи, что снутри одинаковая.
Тогда hairpin тут ни причём вообще.
ℳℛ
Сейчас, 2 мин.
Max MTU/Max MRU параметр в L2TP
Cooler3D
Max MTU/Max MRU параметр в L2TP
Сделал. Проверил. Не помогло:(
ℳℛ
тогда сорян.
Яссдэд
Та ёлки… У вас есть под рукой ябло без мдм?
Cooler3D
Хотя... Со второй попытки Speedtest прошел корректно. Сейчас еще раз прогоню.
Cooler3D
Прошло корректно. Сейчас попробую через LTE
Яссдэд
А какой MTU у вас на интернетовском интерфейсе?
Cooler3D
Та ёлки… У вас есть под рукой ябло без мдм?
Несколько, включая пару с Jailbreak-ами
Яссдэд
Интернет раздаётся провайдером просто по езернету? Без всяких pppoe?
Cooler3D
Интернет раздаётся провайдером просто по езернету? Без всяких pppoe?
Оптика непосредственно в SFP+ роутера. Далее по DHCP получаю IP, и без всяких PPOE имею интернет.
Яссдэд
Тогда с мту 1450 не должно быть никаких проблем. 1300 - это прямо печаль.
Cooler3D
Так, после уменьшения MTU до 1300/1300, VPN по внутренней сети идет без проблем. В первый раз сбрыкнуло, но еще 5 попыток - без нареканий. Явно взаимосвязано. Сейчас попробую через внешний интернет.
Яссдэд
1400 попробуйте.
Яссдэд
Но всё также предлагаю параллельно взять ябло без мдма и настроить на нём впн-клиента ручками, и проверить.
ℳℛ
1400 попробуйте.
считать надо кол-во NAT’ов. сколько там оверхедов вычесть
ℳℛ
1300 - это калибр «на слона». на несколько штук
Яссдэд
считать надо кол-во NAT’ов. сколько там оверхедов вычесть
Не должно у него быть там какого-то бешеного количества натов.
Яссдэд
Впн-профилем интерфейсы в лист, лист в маскарадинг. Всё.
Cooler3D
1300 - это калибр «на слона». на несколько штук
К сожалению, при подключении снаружи - без изменений, зависает на выгрузке.
ℳℛ
Не должно у него быть там какого-то бешеного количества натов.
да всяко бывает… у меня в одной подшефной конторе дамочка сотрудница в больничку прилегла. бился с этой проблемоой несколько лет назад. через этот больничный вайфай ни хрена не работало. а через LTE - без проблем. отсюда и был опыт
Cooler3D
При этом скачивает по LTE через VPN - на 140Мб/с
Cooler3D
Сейчас попробую на другом телефоне руками VPN прописать. Вдруг как-то связано с автоконфигурацией.
Sergey
сотрудницу лежачую в больнице заставляют работать
ℳℛ
сотрудницу лежачую в больнице заставляют работать
ну я не знаю, насколько она там «лежачая»… мое то дело телячье - она попросила помочь, я взял к исполнению
Cooler3D
Вернул 1450, перепроверил из внутренней сети - без нареканий выгружает. Все таки совпадение, и похоже что MTU не при делах.
Cooler3D
Сейчас попробую с другого девайса и ручной пропиской.
ℳℛ
Вернул 1450, перепроверил из внутренней сети - без нареканий выгружает. Все таки совпадение, и похоже что MTU не при делах.
чтобы понять наверняка, что MTU «не при делах» надо взять что-то, где есть tcp clumping. например sstp или ovpn
ℳℛ
но там не будет хардверной акселерации. если это не ovpn@arm
ℳℛ
хотя… если корячит speedtest (by ookla)… это не про tcp вероятно история.. они вроде как udp юзают
Яссдэд
Без разницы, что использует софт. Это туннель у вас в удп, а внутри туннеля может быть что угодно.
Яссдэд
На то он и туннель.
ℳℛ
Без разницы, что использует софт. Это туннель у вас в удп, а внутри туннеля может быть что угодно.
не без разницы. ломается именно фрагментация tcp (при неподходящем MTU). icmp продолжает работать. туннель продолжает работать.
Cooler3D
Другой девайс, настройка ручная, по внутренней сети также без нареканий. Сейчас вставлю SIM-карту, и проверю через LTE
ℳℛ
ладно. всем бобра. peace. пора отдыхать.
Cooler3D
Доброй ночи.
Cooler3D
Отлично работает... Чтоб его. Сейчас попробую на исходном iPhone вместо сертификата - вручную настроить.
Яссдэд
У вас у четырёх сессий одинаковые удалённые IP-адреса. Их выдаёт либо выдаёт ваш микрот, либо его запрашивает ваш мдм.
Яссдэд
Вообще странно, что у вас хоть что-то работало при этом, на самом деле.
Яссдэд
Как уже говорил, почему и спрашивал, при такой ситуации чаще всего работает только тот, кто либо первым подключился, либо последним. Либо может не работать ни у кого, потому что просто непонятно, куда данные отправлять или от кого получать. Они могут дропаться тем же фаером, например, как инвалид, если вы не разрешаете любой трафик для впн-клиентов как локальный.
Cooler3D
Как уже говорил, почему и спрашивал, при такой ситуации чаще всего работает только тот, кто либо первым подключился, либо последним. Либо может не работать ни у кого, потому что просто непонятно, куда данные отправлять или от кого получать. Они могут дропаться тем же фаером, например, как инвалид, если вы не разрешаете любой трафик для впн-клиентов как локальный.
Я отключил остальные профили, и перезагрузился до кучи. В общем, ручная настройка на исходном телефоне - не помогла. На нем продолжает виснуть по LTE, чтоб его :D Два iPhone, одинаковые настройки, на одном виснет, на другом работает. На клиентских телефонах та же проблема, то есть она вопроизводится между устройства. Но на моем втором телефоне заработало без нареканий. Как так то...
Яссдэд
Здесь в local Address поставить vpn_pool
Яссдэд
Change tcp mss - default
Cooler3D
Здесь в local Address поставить vpn_pool
Попробую. Хуже от этого стать не должно, явно.
Яссдэд
Здесь у всех убрать remote address
Яссдэд
Здесь mtu 1400, чтоб ни нашим, ни вашим.
Яссдэд
Как раз сервер перезапустится, и клиенты, если не тупые, автоматом переподключатся.
« Rev
@mikrotikclub   3201
Fwd »