Re: [Sysadmins] ipsecadm - нет модуля в ядре ipsec_tunnel.o

Re: [Sysadmins] ipsecadm - нет модуля в ядре ipsec_tunnel.o

[Igor]

On Tuesday 14 April 2009 11:52:13 you wrote:
> >Было бы очень интересно. Поскольку сделал туннель с железякой D-Link
> > DFL->210 на strongswan и столкнулся с такой штукой, что через туннель не
> > ходят >пакеты более 1923 байта.
>
> А зачем более?

Потому что не работает терминальный боступ через туннель, а через форвардинг 
порта 3389 - работает. По всей видимости пакеты не сегментируются.

-- 
С уважением, Головичев Игорь

Re: [Sysadmins] ipsecadm - нет модуля в ядре ipsec_tunnel.o

[Denis Kuznetsov]

On Tuesday 14 April 2009 12:16:27 Igor wrote:
> On Tuesday 14 April 2009 11:52:13 you wrote:
> > >Было бы очень интересно. Поскольку сделал туннель с железякой D-Link
> > > DFL->210 на strongswan и столкнулся с такой штукой, что через туннель
> > > не ходят >пакеты более 1923 байта.
> >
> > А зачем более?
>
> Потому что не работает терминальный боступ через туннель, а через
> форвардинг порта 3389 - работает. По всей видимости пакеты не
> сегментируются.
У пакетов RDP обычно установлен флаг DF, вероятно есть смысл посмотреть что
у зло-ОС с PMTU (ломается на 1-м SP чиниться установкой SP2). На 2k3 и 2к3 СП1 
проблема решалась снижением mtu на сетевой карте (как много я тогда не 
знал...).   

или понизить mtu на концах туннеля и сказать:
 iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
             -j TCPMSS --clamp-mss-to-pmtu 

-- 
Denis Kuznetsov