Откуда потери внутри ipsec, если в сети есть L2-свитч?
Камрады, подскажите в чем может быть проблема, когда если между конечным пользователем и L3 свитчом, который держит ipsec-туннель засунуть L2 свитч, коннект по туннелю становится дико нестабильным с частыми разрывами. Проверяли подставляя другие L2 свитчи и тупые свитчи. На тупых — всё бодро работает. На любых L2 — проблемы. При этом при пинговании локальной сети через те же L2 — никаких проблем не наблюдается.
Гуглёж особо не приносит успеха, нутро чует, что нужна какая-то опция, которая без ipsec не релевантна. Но ступор.
Vladimir Zhurkin:
(L3 c выходом в ipsec) --- ((сеть)) --- (тупой свитч) --- комп — в сети хорошо, в туннеле хорошо.
(L3 c выходом в ipsec) --- ((сеть)) --- (смарт-свитч) --- комп — в сети хорошо, в туннеле адские потери.
тестировали разные направления. чуть где в сети мелькнёт смарт-свитч — в туннеле вылезают потери.
тут может быть все, что угодно - плохо обжатый кабель, loop в сети, неправильный MTU привоодящий к jumbo frame'ам, коллизия в hash-таблицах свича, ограничение на ARP в коммутаторе / port security.
Vladimir Zhurkin: «Требуется фрагментация пакета, но установлен запрещающий флаг». На всех возможных комбинациях. Разрешённый потолок на всех комбинациях: 1410.
Игорь Б: На L2 посмотрите есть ли RST/STP и отключите его.
как вариант отключать все, что может влиять на интеллект.
Запустить снифер Wareshark и попробовать посмотреть что происходит до и после.
Vladimir Zhurkin: хм. он у меня был выключен, я его наоборот включил для профилактики. сегодня уже в ночи нашли одну крайне идиотскую петлю, доставшуюся от предшественников, там где никто бы не догадался искать. Возможно её отсутствие решит проблему. Завтра покажет.
Игорь Б: Тут сложно из далека советовать. Я бы сделал дамп снифером да и после и сравнивал. Нудно конечно, но думаю это может дать ответ на вопрос потери пакетов.
Предположу, что косяк скорее всего в mtu (системном и на интерфейсе) и в каких-нибудь опциях фильтрации трафика и обработки фрагментированных пакетов. Ещё можно проверить стандартные политики обработки qos.
Простой
Простой
