[jone31]

добрый день, коллеги
 

есть канал провайдера с мту=1500, поверх него поднимаю eoip и начинается какая-то проблема... поверх еоип не ходят большие пакеты. если ставлю на удаленной точке мту=1400, то от меня могу пинговать удаленную точку большими пакетами(1600+ байт). Но с удаленной точки большие пакеты не проходят.

Железки на моей стороне x86 routeros, на удаленной стороне RB760igs.

 

Поднимаю точно такой же канал на другом направлении, удаленный аплинк с мту=1500, поверх него еоип, ставлю в еоип мту=2000 на обоих сторонах и канал работает. Но тут другая железка на удаленной стороне rb941(hap lite).

 

пробовал внутри l2tp поднять еоип - такая же история.

 

не могу понять, какая-то фильтрация на стороне удаленного оператора? или rb760igs по другому себя ведет в отличие от rb941?

 

скриншоты как настроено прилагаю, слева локальная точка, справа удаленная.

[SUrov_IBM]

Jone31, здравствуйте.

 

Правильно понимаю, устройство, которое не может послать IP пакет "большого размера" находится за RB760iGS?

В MIKROTIK, значение MTU для bridge устанавливается по минимальному значению порта, входящего в состав bridge, в том числе и виртуального (например VPN).

Попробуйте назначить сеть /30 на L3 интерфейсах для EOIP тоннеля (с обеих сторон, концов тоннеля), убрав на время тестирования EOIP тоннель из bridge (с обеих сторон) и повторите Ping пакетами "большого размера" с флагом DF-bit (запрет фрагментации) между IP адресов назначенной /30 сети в обе стороны.

[jffulcrum]

/ip firewall mangle
add action=change-mss chain=forward new-mss=clamp-to-pmtu protocol=tcp tcp-flags=syn passthrough=yes

[jone31]

2 часа назад, SUrov_IBM сказал:

Правильно понимаю, устройство, которое не может послать IP пакет "большого размера" находится за RB760iGS?

в тестах никаких бриджей нет, между двумя микротами еоип и не  проходит. Если на одном поставить мту=1400, то большими пакетами только в одну сторону идут(первый скрин в моем посте).

 

2 часа назад, SUrov_IBM сказал:

Попробуйте назначить сеть /30 на L3 интерфейсах для EOIP тоннеля (с обеих сторон, концов тоннеля), убрав на время тестирования EOIP тоннель из bridge (с обеих сторон) и повторите Ping пакетами "большого размера" с флагом DF-bit (запрет фрагментации) между IP адресов назначенной /30 сети в обе стороны.

так и делал, но передачи больших пакетов нет

 

1 час назад, jffulcrum сказал:

/ip firewall mangle
add action=change-mss chain=forward new-mss=clamp-to-pmtu protocol=tcp tcp-flags=syn passthrough=yes

пробовал, ставил на обоих микротах. Никакого результата.

 

 

[YuryD]

В 14.10.2022 в 19:50, jone31 сказал:

в тестах никаких бриджей нет, между двумя микротами еоип и не  проходит. Если на одном поставить мту=1400, то большими пакетами только в одну сторону идут(первый скрин в моем посте).

 

так и делал, но передачи больших пакетов нет

 

пробовал, ставил на обоих микротах. Никакого результата.

 

 

 Ну сбросьте бит df в ip пакетах...

[jone31]

бл, кажется нашел в чем была причина...

на аплинке стоял мту 2000, вместо 1500 байт. Как только поменял на дальнем микроте на 1500 байт - все полетело в еоип тонеле на 2000 байтах).

 

[YuryD]

В 14.10.2022 в 20:09, jone31 сказал:

бл, кажется нашел в чем была причина...

на аплинке стоял мту 2000, вместо 1500 байт. Как только поменял на дальнем микроте на 1500 байт - все полетело в еоип тонеле на 2000 байтах).

 

 Ну зачем mtu теребить вообще ? Смысла в mtu >1560 нету от слова вообще. Джамбофреймы оставьте для своей локалки, в инете - 1560 и хватит, чтобы qinq пропихнуть. Бит df - древняя архаика прошлого века. Ну да, упрощает жизнь транспорту, не жря лишних ресурсов по дороге, на расклеивание-склеивание пакета, но не настолько чтобы без этого жить нельзя....

[jone31]

я так понимаю что поверх нашего канала еще поднимут что-то... и мту должен остаться 1500 уже после оверхеда стороннего.

[jffulcrum]

В 14.10.2022 в 20:33, jone31 сказал:

я так понимаю что поверх нашего канала еще поднимут что-то... и мту должен остаться 1500 уже после оверхеда стороннего.

Тут варианта два: 

1. Договариваться об MTU с провом

2. Игнорировать сколько получится, ибо вычислить, что фрагментация происходит у вас, а не где-то еще по пути - не для слабых умов.