Проблемы с VPN: MTU и не-фрагментация
Я устанавливаю VPN на Ubuntu 14.04LTS, которая использует IPSEC и выполняет NAT для клиентов. Это в основном работает - я могу подключиться к нему из клиники (устройство Android) и просмотреть (например) www.google.com.
Однако я не могу просматривать www.bbc.co.uk. Когда я пытаюсь, мой VPN-сервер получает ответ от www.bbc.co.uk с установленным битом не-фрагмента и отбрасывает его. Wireshark показывает многие из них:
119 7.904053000 212.58.246.95 MY.IP.MY.IP TCP 1414 [TCP segment of a reassembled PDU]
120 7.904094000 MY.IP.MY.IP 212.58.246.95 ICMP 590 Destination unreachable (Fragmentation needed)
Проведя эхо-тестирование моего клиента с сервера VPN, я установил, что его MTU составляет около 1380. MTU сервера VPN составляет 1500.
Как это должно работать, пожалуйста? MTU могут варьироваться, поэтому, если BBC, если настройка не фрагментирована, как это должно быть обработано, пожалуйста?
Я хотел бы предположить, что, если не-фрагмент установлен, все должно согласовываться с наименьшим общим MTU. Могу ли я понять, кто плохо себя ведет?
1 ответ
Проблема оказалась в брандмауэре (не в Ubuntu UFW, а в брандмауэре за пределами моего сервера, предоставленном нашим ИТ-отделом), который не пропускал ICMP-пакеты.
Как только это было включено, обнаружение пути MTU (или что-то еще происходило) начало работать, и все хорошо.