Почему после соединения по PPTP не открываются некоторые сайты?

Question

[Простой Человек]

Установил данный сервер, настроил подсоединился, но к примеру вот habr.com не открывается или 4pda, даже stackoverflow, а на телефоне открываются.
Что не так?

Comments

[paran0id]

Предположу, что MTU

[Простой Человек]

paran0id, вот нашёл на арчах

Маскарадинг работает, но некоторые сайты не открываются
Проблема выражается в том, что соединение есть, но часть сайтов и сервисов не работают, если вы используете ваш компьютер в роли маршрутизатора для других компьютеров. Дело в том, что размер MTU (Maximum Transmission Unit — максимальное количество байт данных в одном пакете) в PPPoE равен 1492 байтам, что меньше, чем используют большинство сайтов (1500). Ваш маршрутизатор отправляет серверу специальный пакет ICMP 3:4 (сообщение о том, что нужно переразбиение данных), запрашивая меньший MTU, но сетевые экраны многих сайтов блокируют это сообщение.

Проблема решается добавлением правила с PMTU clamping в iptables:

# iptables -I FORWARD -o ppp0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

В общем было так

*nat
:POSTROUTING ACCEPT [0:0]

-A POSTROUTING -o eno1 -j MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE

COMMIT

# Don't delete these required lines, otherwise there will be errors
*filter
...
...
# End required lines

-I FORWARD -o ppp0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Добавил ещё

-I FORWARD -o eno1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

и заработали сайты на ПК, но теперь не работают на телефоне. В чём прикол?

Answer 1

[Простой Человек]

В общем было так

*nat
:POSTROUTING ACCEPT [0:0]

-A POSTROUTING -o eno1 -j MASQUERADE
-A POSTROUTING -o ppp+ -j MASQUERADE

COMMIT

# Don't delete these required lines, otherwise there will be errors
*filter
...
...
# End required lines

-I FORWARD -o ppp+ -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Добавил ещё

-I FORWARD -o eno1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Чтобы можно было с одного IP подключаться - не нужно прописывать статические IP в chap-secrets