Как настроить на mikrotik bridge-lan интрефейс, чтобы избавиться от ошибок tcp retransmit?

Question

[Alx]

Добрый день, коллеги.

Есть новый микротик 1100dx4, добавил порты с 2-5 в бридж.
Если смотреть трафик на любом из интерфейсов в бридже, то видно что любые пакеты идут в retransmit.
При этом нет проблем с передаваемой информацией, инет есть, локальные ресурсы доступны, скорость заявленная.

Пробовал прошивки 6.43.4 и 6.42.9 (сейчас стоит, это ветка bugfix only).

Конфигурация бриджа:

/interface bridge> export ve

/interface bridge
add ageing-time=5m arp=enabled arp-timeout=auto auto-mac=yes disabled=no fast-forward=no forward-delay=15s igmp-snooping=no max-message-age=20s mtu=auto name=bridge-lan priority=0x8000 \
    protocol-mode=rstp transmit-hold-count=6 vlan-filtering=no
/interface bridge port
add auto-isolate=no bridge=bridge-lan broadcast-flood=yes disabled=no edge=auto frame-types=admit-all horizon=none hw=yes ingress-filtering=no interface=ether2 internal-path-cost=10 learn=\
    auto path-cost=10 point-to-point=auto priority=0x80 pvid=1 restricted-role=no restricted-tcn=no unknown-multicast-flood=yes unknown-unicast-flood=yes
add auto-isolate=no bridge=bridge-lan broadcast-flood=yes disabled=no edge=auto frame-types=admit-all horizon=none hw=yes ingress-filtering=no interface=ether3 internal-path-cost=10 learn=\
    auto path-cost=10 point-to-point=auto priority=0x80 pvid=1 restricted-role=no restricted-tcn=no unknown-multicast-flood=yes unknown-unicast-flood=yes
add auto-isolate=no bridge=bridge-lan broadcast-flood=yes disabled=no edge=auto frame-types=admit-all horizon=none hw=yes ingress-filtering=no interface=ether4 internal-path-cost=10 learn=\
    auto path-cost=10 point-to-point=auto priority=0x80 pvid=1 restricted-role=no restricted-tcn=no unknown-multicast-flood=yes unknown-unicast-flood=yes
add auto-isolate=no bridge=bridge-lan broadcast-flood=yes disabled=no edge=auto frame-types=admit-all horizon=none hw=yes ingress-filtering=no interface=ether5 internal-path-cost=10 learn=\
    auto path-cost=10 point-to-point=auto priority=0x80 pvid=1 restricted-role=no restricted-tcn=no unknown-multicast-flood=yes unknown-unicast-flood=yes
/interface bridge settings
set allow-fast-path=yes use-ip-firewall=yes use-ip-firewall-for-pppoe=no use-ip-firewall-for-vlan=no

Конфигурация интерфейса (она одинакова для всех четырёх):

set [ find default-name=ether2 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full arp=enabled arp-timeout=auto auto-negotiation=yes bandwidth=unlimited/unlimited \
    disabled=no full-duplex=yes l2mtu=1592 loop-protect=default loop-protect-disable-time=5m loop-protect-send-interval=5s mac-address=64:D1:54:FF:37:8C mtu=1500 name=ether2 \
    orig-mac-address=64:D1:54:FF:37:8C rx-flow-control=off speed=100Mbps tx-flow-control=off

Comments

[Wexter]

а как связаны ретрансмиты и бридж в микротике?

[Alx]

Wexter, тем, что каждый пакет tcp идёт в повтор.

[Wexter]

Alx, а бридж тут при чём?

[Alx]

Wexter, ок, в случае с бриджем как решить проблему?

[Wexter]

Alx, может сперва стоит погуглить что такое ретрансмит да выяснить реальную причину?

[Wexter]

Alx, и зачем у вас в бридже включен use-ip-firewall?

[Alx]

Wexter,
1, причина в том, что бридж является причиной ретрансмитов, а не что-то по-отдельности в сети.
2, как мне юзать fw на форвард из инета без этой опции?

Если выключаю бридж для интерфейсов, то всё форвардится без ошибок в трафике. Без бриджа никуда, нужно в одну сеть объединить порты, и на интерфейсе бриджа висит dhcp.

[Alx]

У самого mikrotik rb2011uias-2hnd-in такой, там такой фигни с бриджем нет.

[Saenara]

А в каком направлении такое безобразие происходит? LAN-LAN, LAN-WAN, оба? В случае LAN-WAN кто отгружает dup ack, ваша сторона или удалённая?

[Saenara]

Alx, прочитал ваше сообщение отвечающему, вопрос снимается. МТУ на всех портах одинаковый?

[Alx]

Saenara, Да, mtu одинаковый, в топике это видно. Такое безобразие между портами внутри бриджа, не важно, кто спикер.

[Wexter]

Alx, дичь какая-то. форвард из инета у вас и так работает т.к. это l3, бридж это l2. зачем вам нужен ip firewall на l2 я не очень понимаю, как видимо и вы

[Saenara]

Alx, в топике видно, что так считает микротык, как считает оборудование с другой стороны непонятно :-)

[Alx]

Wexter, выключил по вашей просьбе, картины мира не изменило.

[Alx]

Трафик выглядит так.

[Alx]

192.168.0.5 - 5 порт
192.168.0.2 - 3 порт микротика.

Частный пример, так на всех портах в бридже. Видно, что длина пакетов мизерная.

[Alx]

В том, что внутри бриджа, с порта 2 на 5, например, половина просмотренного tcpdump'ом трафика это tcp dup ack и tcp ret, как бы это ни разу не нормально.
Если бридж убрать, а сделать чисто l3 проблема исчезает.

[Saenara]

У ответов есть комментарии, лучше туда писать :-)

[Руслан Федосеев]

так а в чем проблема?

[Wexter]

Alx, а если делать l3 Трафик между 0.2 и 0.5 на 445 порт есть?
Судя по всему трабла не в бридже никак. Есть тупой свич чтобы подключить через него оба хоста и посмотреть трафик? Чую ситуация будет аналогичная

[Wexter]

Alx, так-же у вас в снифе трафика пакеты записаны не полностью, о чём wireshark явно пишет.

[Alx]

Wexter, добрый день.

Если сделать интерфейсы L3, проблема битых пакетов устраняется. Выбранные два IP просто для примера.

К сожалению ничего сделать не могу, по коммутации с тупыми свитчами, это удалённый бранч, где ничего нет.