[решено] Странное поведение сети

[𝓝𝓲𝓻𝓭]

Есть шлюз, под управлением убунты 9.04, раздающий инет во внутреннею сеть. На нем поднимается VPN соединение которое по средствам маскирования в postrouting цепи, NATa раздается во внутреннею сеть. До момента получения у провайдера статического ИП все работало как часики. Пакеты ходили в локаль и обратно, но после получения IP началось странное поведение. А именно из локалки не могу открыть по HTTP практически не один адрес (но тем не менее открываются поисковые сервера), кроме HTTP глюков больше не наблюдалось. Т.е. жаббер аська ирка и прочее, работают стабильно. В то же время на самой шлюзе все работает идеально. Заметил еще не большой косячок - из локали открывается ЛОСТ, но время ожидания до открытия страницы примерно минут в десять. На шлюзе установлено ipmasq dnsmasq squid(на который ничего не заворачивается и который просто простаивает). Подскажите куда копнуть.

ЗЫ пинги проходят на любой хост, в локали пробывал выставлять ДНСы провайдера и вообще сторонние ДНСы(гугловский) все тщетно!

[swasher]

Попробуй понизить значение MTU на интерфейсе, смотрящему в инет

[𝓝𝓲𝓻𝓭]

Игры с MTU на обоих интерфейсах не помогли, та и не должны были.

[Mam(O)n]

Игры с MTU на обоих интерфейсах не помогли, та и не должны были.

Как раз симптомы похожи. С сервера все ок, т.к. Path MTU уже известен. А у клиентов, MTU установлен на 1500 в то время, как у VPN который на сервере, размер MTU меньше. При этом, когда пакет не пролазит, отдаётся на клиента ICMP пакет в котором говорится, что нефиг ибо next hop mtu = xxxx bytes. Если этот тип пакетов где-то режется файрволом, тогда будут проблемы. Как полу-решение, можно на сервере "гвоздями" прибить поле MSS у TCP сессий к значению, вычисленному от PMTU. См. поиск по clamp-mss-to-pmtu. Также еще можно понизить размер MTU на клиентах.

Если проблемы другого рода, то самое время брать в руки wireshark и смотреть на происходящее через призму снифера.

[𝓝𝓲𝓻𝓭]

А у клиентов, MTU установлен на 1500 в то время, как у VPN который на сервере, размер MTU меньше.

Собственно картина как раз такая. На ppp0 интерфейсе MTU в 14хх не помню точно. Т.е. теоретически если я понижаю значение MTU на клиентах до равного или меньшего чем на ppp0 то все должно заработать? Тогда это получается больно уж грубый напильник. Ибо к этой же шлюзе еще подключаются приходящие/уходящие клиенты, в качестве левых вин ноутов и мобил. Есть ли смысл направить пакеты через Squid и возможно ли что это болезнь NATа?

[Mam(O)n]

Есть ли смысл направить пакеты через Squid и возможно ли что это болезнь NATа?

Да, это болезнь vpn+nat+кривых клиентов. Сквид решит эту проблему, но только для http и т.п. Лучше уж рубить mss у всех tcp.

[𝓝𝓲𝓻𝓭]

Спасибо за ответы. Все оказалось именно так. Понизил MTU на клиенте - клиент пошел в сеть. Бум шаманить

[AnrDaemon]

Шаманство тут не при чём. Гуглить TCPMSS