Ошибка фрагментации пакетов, что может быть?

Question

[Игорь Петров]

Здравствуйте!
Столкнулся с такой проблемой, у меня есть прокинутый ipip туннель, и очень часто получаю такую ошибку в syslog
icmp: xx.xx.xx.xx: fragmentation needed and DF set
и порты которые прокинуты на dst ip, перестают отвечать, например 80 и 443.
Почитав в гугле об ошибке, говорят что либо блокируется ping, либо что то с MTU.
На туннеле MTU у меня 1480, у провайдера 1500
В чём может быть проблема? и как её исправить?

Comments

[Griboks]

Что-то мне подсказывает, что поступаю пакеты большего размера, и должна происходить их фрагментация. 1480-1500=-20 лишних бит.

[jcmvbkbc]

Griboks, лишних байтов

[Игорь Петров]

Я так понимаю это правило должно вылечить подобное?
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Answer 1

[Wexter]

iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Comments

[Игорь Петров]

а разве это правило будет работать, если трафик прокидывается в PREROUTING?

[Wexter]

Игорь Петров, будет

[Игорь Петров]

Спасибо, правило применил, посмотрим пару дней как будет себя вести туннель :)

[Redaicd]

MTU должно быть одинаковое как у вас так и у провайдера и естественно не 1500