[Comm] Help need!

[Comm] Help need!

[Igor Solovyov]

Hi All!

У меня приключились откровенные чудеса!
Перевел основной рутер с RH на Master. Вроде все нормально,
но посыпались жалобы пользователей, да такие, что пришлось
откровенно "репу чесать" (пока безрезультатно).
Суть проблемы в следующем. Несколько сетей (находящихся 
далеко териториально) работают через тонели (iproute2). Они и после
переезда на Мастер работают(в локальном смысле), но происходят
непонятки с интернетом. Все клиенты тех сетей, пользующиеся
и-нетом, маскарадятся (временно ipchains, потом будет iptable)
на этом рутере. Теперь пользователи говорят - никуда кроме 
yandex.ru и microsoft.com попасть не можем. 
Их эксплореры пишут примерно следующее:
"поиск адреса...", "соединение с сервером...." и все. Больше ничего
не происходит. "Ушло в тину". Я сначала не поверил.
Говорю - чудес не бывает! Если идет на microsoft и yandex,
то должно идти и на все остальное, тем более, что из местных сетей,
которые подключены к рутеру напрямую, доступ в и-нет нормальный.
Они в ответ - однако не идет! Пришлось самому проверять.
Оказалось так и есть! На эти два сайта идет, больше никуда не хочет!
Я сразу кинулся проверять маршрутизацию, firewall. Однако ничего
криминального не нашел. Все настройки взяты прямо с рабочего рутера
под RH и там все работало. Тут же просто фантастика!
У меня уже /dev/head дымится! Ничего не пойму!
Самый прикол еще в том, что с этих же машин пинг и трассировка
идут куда угодно, а вот http - только с yandex-ом и microsoft-ом!
Я этому даже теоретического объяснения придумать не могу!
Бред какой-то! Но факт остается фактом!
Никто с таким бредом не сталкивался?

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia

Re: [Comm] Help need!

[Sergey Vlasov]

On Fri, Nov 29, 2002 at 10:44:41 +0500, Igor Solovyov wrote:
> У меня приключились откровенные чудеса!
> Перевел основной рутер с RH на Master. Вроде все нормально,
> но посыпались жалобы пользователей, да такие, что пришлось
> откровенно "репу чесать" (пока безрезультатно).
> Суть проблемы в следующем. Несколько сетей (находящихся 
> далеко териториально) работают через тонели (iproute2). Они и после
> переезда на Мастер работают(в локальном смысле), но происходят
> непонятки с интернетом. Все клиенты тех сетей, пользующиеся
> и-нетом, маскарадятся (временно ipchains, потом будет iptable)
> на этом рутере. Теперь пользователи говорят - никуда кроме 
> yandex.ru и microsoft.com попасть не можем. 

У туннеля MTU меньше, чем у обычного соединения; в сочетании с
заблокированным где-либо по дороге ICMP Fragmentation-Needed это дает
именно такой эффект - пинги ходят, TCP не работает.  Основная пакость в
том, что ICMP может быть заблокирован где-то далеко по дороге, поэтому
даже при правильной конфигурации можно получить такой глюк с некоторыми
серверами. 

Может помочь iptables -j TCPMSS (но с --clamp-mss-to-pmtu соединение может
проходить только со второго раза).

Re: [Comm] Help need!

[Igor Solovyov]

Hi!
On Fri, 29 Nov 2002 15:44:30 +0300
Sergey Vlasov <vsu@altlinux.ru> wrote:

> У туннеля MTU меньше, чем у обычного соединения; в сочетании с
> заблокированным где-либо по дороге ICMP Fragmentation-Needed это дает
> именно такой эффект - пинги ходят, TCP не работает.  Основная пакость в

Не совсем не работает. На некоторые сайты все же ходит нормально.

> том, что ICMP может быть заблокирован где-то далеко по дороге, поэтому

icmp заблокированы у меня, но только в input цепочке.

> даже при правильной конфигурации можно получить такой глюк с некоторыми
> серверами. 

Тогда непонятно как это все работало под RH.

> Может помочь iptables -j TCPMSS (но с --clamp-mss-to-pmtu соединение может
> проходить только со второго раза).

В результате экспериментов, оказалось, что если эти тунельные клиенты
пустить через прокси, то проблема не возникает.
Сдается мне, что все же это проблема ipchains. Видимо в ядре 2.4 ipchains
не совсем корректно работает. Хотя это только предположение.
В понедельник попробую iptables.

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia