The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Странности с NAT"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Открытые системы на сервере (Маршрутизация, NAT / Linux)
Изначальное сообщение [ Отслеживать ]

"Странности с NAT"  +/
Сообщение от koblin (ok) on 26-Авг-10, 22:23 
Всем доброе время суток!

Дома на стареньком компе решил сделать сервер-шлюз (debian). Интернет от билайн по pptp. Инет поднимается и работает. Поднимаю nat примерно так:
...
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

Из локалки через NAT открывается только яндекс, хотя все сайты пингуются.
Если ввести неверный запрос - сервер что-то отвечают:
# telnet opennet.ru 80
Trying 77.234.201.242...
Connected to opennet.ru.
Escape character is '^]'.
GET
<html>
<head><title>400 Bad Request</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<hr><center>nginx/0.6.39</center>
</body>
</html>
Connection closed by foreign host.

Если ввести правильный запрос:
sergey@linbook:~$ telnet opennet.ru 80
Trying 77.234.201.242...
Connected to opennet.ru.
Escape character is '^]'.
GET / HTTP/1.0
...тишина...

При этом на шлюзе tcpdump показывает исходящие и входящие пакеты на интерфейсах ppp0 и eth0(смотрит в локалку).

Если на шлюзе поднять squid - через него все замечательно работает.

Уже сломал весь мозг, не знаю куда смотреть и что не так... помогите! =)

Высказать мнение | Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Странности с NAT"  +1 +/
Сообщение от reader (ok) on 26-Авг-10, 22:40 
mtu?
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

2. "Странности с NAT"  +1 +/
Сообщение от shadow_alone (ok) on 26-Авг-10, 22:53 
однозначно MTU
Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

5. "Странности с NAT"  +1 +/
Сообщение от Xaionaro (ok) on 28-Авг-10, 00:21 
>однозначно MTU

Млин, ребята, ну это ж очень известная проблема. На самом деле проблема не совсем в MTU (хоть и действительно одним из необходимых условий для существования проблемы является снижение MTU на VPN-соединении), а в, как написано в "man iptables": "criminally braindead ISPs". Я чуть ниже уже написал. И решается она просто при помощи известного приёма mss2pmtu clamping.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

3. "Странности с NAT"  +/
Сообщение от koblin (ok) on 26-Авг-10, 23:22 
Черт побери, правда MTU! а ведь я его уже крутил и нифига не работало...

Тогда не очень ясно как до этого инет работал через роутер (asus + dd-wrt) с тем же pptp если на компах mtu не менялся и стоял 1500?!

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

4. "Странности с NAT"  +1 +/
Сообщение от Xaionaro (ok) on 28-Авг-10, 00:15 
Вообще-то, похоже на проблему с закрытыми ICMP-пакетами "frag needed", необходимыми для работы PMTUD.

Проблема решается строкой:
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Если интересны детали, буду рад рассказать :)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

6. "Странности с NAT"  +1 +/
Сообщение от reader (ok) on 28-Авг-10, 12:56 
>Вообще-то, похоже на проблему с закрытыми ICMP-пакетами "frag needed", необходимыми для работы
>PMTUD.
>
>Проблема решается строкой:
>iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS
>--clamp-mss-to-pmtu
>
>Если интересны детали, буду рад рассказать :)

вообще то -40 не всегда помогает

http://www.opennet.me/base/net/pppoe_mtu.txt.html
http://www.opennet.me/openforum/vsluhforumID3/46540.html

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

8. "Странности с NAT"  +/
Сообщение от koblin (ok) on 28-Авг-10, 17:01 
>http://www.opennet.me/base/net/pppoe_mtu.txt.html
>http://www.opennet.me/openforum/vsluhforumID3/46540.html

спасибо за ссылки

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

7. "Странности с NAT"  +/
Сообщение от koblin (ok) on 28-Авг-10, 17:01 
>Вообще-то, похоже на проблему с закрытыми ICMP-пакетами "frag needed", необходимыми для работы
>PMTUD.
>
>Проблема решается строкой:
>iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS
>--clamp-mss-to-pmtu
>
>Если интересны детали, буду рад рассказать :)

Спасибо за подсказку! Никогда с этим не сталкивался, пойду почитаю теорию

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру