Почему подсеть пингуется, но ресурсы недоступны?

Question

[Skywoker73]

Два удаленных устройства mikrotik (принимает подключение) и kerio control (инициирует) объединены ipsec site-to-site туннелем.

Туннель есть, политиками автоматически создались маршруты в обе сети. Пинги есть, доступа к ресурсам нет. Например пытаюсь rdp из локалки за микротиком на машину за kerio control - выдает запрос на логин пароль но сеанс не открывается. Так же и с доступом к файлам по SMB и любые другие классические операции внутри сети.

При подключении к Керио через фирменный ВПН клиент - все отлично. Через Микротик - нет доступа.

п.с. : заметил разницу в ттл при пинге через фирменный клиент (пингую керио - ттл=64) и при пинге из локалки за Микротиком (пингую керио - ттл=63)

Помогите)

Comments

[Skywoker73]

Поправка. Удалось получить доступ к одной из машин в сети по ssh. Но запроса на ввод логина ждал больше минуты. Отклик соответственно тоже никакой, все очень медленно, по ощущениям dialup 14k

Answer 1

[MrJeos]

Может, фаерволом закрыт доступ и открыт только ICMP?

Comments

[Skywoker73]

Нет. Ssh например работает, но ооочень медленно. ВыяснилосьВыяснилось путём ping -f -l что пакеты большие и не доходят. Птнг с этими параметрами и мту 1500 пишет требуется фрагментация, с мту 1400 все ок. Как сделать мту 1400 для туннеля ума не приложу, ведь туннель ипсек на микроттке это не интерфейс

[MrJeos]

Можно добавить правило в mangle, как описано здесь:
forum.mikrotik.com/viewtopic.php?t=65733

[Skywoker73]

MrJeos: Попробовал, не прокатило :(

Answer 2

[Alkado]

На обоих микротиках выполни:
/ip firewall mangle
add chain=forward action=change-mss new-mss=1250 passthrough=yes tcp-flags=syn protocol=tcp out-interface=all-ppp
add chain=forward action=change-mss new-mss=1250 passthrough=yes tcp-flags=syn protocol=tcp in-interface=all-ppp

Если не проканает, ищи через ping свой реальный MTU внутри тоннеля (прибавляя 28), как найдеш отними от него 40 и впиши это значение в new-mss=...

Comments

[Skywoker73]

Проблема в том что инициатор туннеля не микротик, а керио. На Керио вот где прописать это...хз

[Alkado]

Skywoker73: попробуй выполнить только на микротике... он-же по любому у тебя является точкой входа. И поищи в гугле по поводу своего kerio change mss

[Skywoker73]

Alkado: Интересует вот что: не потребуется ли мне потом прописывать нужный размер пакета на каждой машине в сети в ручную?

[Alkado]

Skywoker73: Нет, не потребуется.