Очень долгая авторизация в AD, проблемы с подключением по RDP, проблемы с работой SMB по каналу L2tp-Ipsec. Как отладить?

Question

[Dmitriy]

Добрый день

Суть проблемы следующая:
SMB выдаёт ошибку о том, что хост не найден, при попытке ввести компьютер в домен ситуация такая же - контроллер не найден, RDP подключение проходит через раз (напоминает чем-то кулдаун между подключениями), авторизация юзера на доменном компе проходит очень долго. На что обратить внимание? Как провести последовательную диагностику и какие службы проверить? Маршрутизация между подсетями работает, пинги ходят корректно, nslookup резолвит DNS имена с КД.

Answer 1

[Alexey Dmitriev]

Проверяйте MTU\MRU\MSS на всем пути.
Проверяйте - пропускаются ли фрагментированные пакеты внутри VPN

Comments

[Dmitriy]

UDP: на одном VPN клиенте (Mikrotik) по-прежнему наблюдаю проблему, другие сейчас проверяю. SMB не проходит - не найден компьютер. RDP проходит 1 раз в несколько попыток (~5 минут между удачными соединениями). Есть ещё какие идеи?

[Alexey Dmitriev]

Dmitriy, а вы уже проверили предыдущие идеи? фрагментированные пакеты проходят? какой максимальный размер пакета проходит от клиента до сервера?

[Dmitriy]

Alexey Dmitriev, От клиента до сервера проходит все 1500 MTU (выше не выставлял, т.к. там 100Мб порты)

[Dmitriy]

Alexey Dmitriev, больше склоняюсь к тому, что на самом терминале проблема, т.к. RDP и SMB без проблем подключаются к другим хостам

Answer 2

[Dmitriy]

Нашёл проблему.
Firewall криво фильтровал пакеты ICMP из-за чего не работал механизм Path MTU Discovery, отвечающий за корректировку MTU со стороны хостов. Спасибо за помощь!

UPD: выявил настоящую проблему. Суть проблемы заключалась в том, что на роутере-шлюзе был разрешён трафик только с флагами related и established. После добавления разрешающего правила для внутренних адресов проблема была решена.

Comments

[Dmitriy]

UDP: на одном VPN клиенте (Mikrotik) по-прежнему наблюдаю проблему, другие сейчас проверяю. SMB не проходит - не найден компьютер. RDP проходит 1 раз в несколько попыток (~5 минут между удачными соединениями). Есть ещё какие идеи?