маршрут туда и обратно для компа

[yury.manulik]

Добрый вечер. Вопрос вот в чём - на микротиках подняты PPTP и туннели, всё работает, но есть одно НО (как же без него)) - на одном компе стоит клиент-банк. Так вот, сообщения с него отправляются, а приниматься не принимаются - на первых байтах виснет передача и всё. При отключении туннелей - клиент-банк работает. Подсказали, что надо прописать на основе мангл-роутинг - не в туннель еоип, а в шлюз Инета. Подскажите, что нужно прописать в роуте и мангл (ещё пока не очень силён))

[Chupaka]

Добрый. Вы хоть топологию расскажите, а то непонятно, что у вас за микротики и что они должны делать

Что значит "сообщения отправляются"? Сообщение - это результат полноценного установления TCP-соединения и передачи данных по нему, или имелись в виду пакеты?

В целом, если пакеты к какому-то адресу должны идти не в тоннель, а на какой-нибудь шлюз - достаточно просто прописать маршрут к этому адресу в IP -> Routes

[yury.manulik]

2011 железка, 20.1.1.0/24 подсеть, 2 туннеля на два удаленных офиса. 2011 как шлюз на центральном офисе и он же PPTP/EoIP server. В центральной сети на компе стоит клиент-банк (уже писал). Делается запрос и отправляется в банк - отправляется. Затем на него должен прийти ответ - соединение с адресом:портом вроде как устанавливается, начинается передача ответа - и сразу же зависает. При отключении туннелей EoIP - запросы и ответы передаются и принимаются. Если я пропишу маршрут вида (адрес, на который/с которого идут запросы, шлюз инета, distance - 1) - туда запросы пойдут_ а вернутся ли обратно на нужный комп?

[Chupaka]

Так... Путь запроса имеет какое-то отношение к EoIP? Трассировкой с компьютера с клиент-банком проверяется.

Очень похоже на проблему с MTU. Попробуйте

Код: Выделить всё

/ ip firewall mangle 
add place-before=0 chain=forward dst-address=СЕРВЕР_БАНКА protocol=tcp tcp-flags=syn action=change-mss new-mss=1300

[yury.manulik]

Пусть запроса к туннелям не имеет отношения, т.е. физическая подсеть в центральном офисе и в ней работает комп с клиент-банком. Трассировку проверю.

[yury.manulik]

Трассировка после первого переданного пакета сыпет timeout ( делал с микротика трассировку)

[yury.manulik]

Мангл прописал - не помогло (

[yury.manulik]

А не может ли быть причиной разный MTU на Ethernet интерфейсах, бридже и туннелях?

[chizh]

Ситуация с топологией не совсем ясна, зачем pptp и eoip(что поверх чего) и адресация на филиалах какая?

[Chupaka]

Трассировка после первого переданного пакета сыпет timeout ( делал с микротика трассировку)

я не просто так сказал делать трассировку НЕ с роутера

[yury.manulik]

Ситуация с топологией не совсем ясна, зачем pptp и eoip(что поверх чего) и адресация на филиалах какая?

3 здания, поднят PPTP ВПН между ними, а поверх EoIP. Соответственно все 3 здания в одной сети - 20.1.1.0/24

[yury.manulik]

Трассировка после первого переданного пакета сыпет timeout ( делал с микротика трассировку)

я не просто так сказал делать трассировку НЕ с роутера

Если завтра туда попаду - сделаю трассировку с компа

[chizh]

Как по мне инфы все равно мало. Каждое помещение имеет выход в интернет? Зачем pptp, если можно сразу бросить eoip? Eoip на центр.офисе в бридж заведены? Как организован интернет канал в центральном узле? Зачем использовать общую сеть на 3 разнесеных физически помещения? И в каком адресном пространстве существует пптп сеть?

[yury.manulik]

Каждый офис имеет выход в инет. EoIP сразу не получится - т.к. белый IP имеет только центральный офис. EoIP туннели заведены в бридж на всех 3-х офисах. В центральном узле инет приходит на данный момент с БТК модема (модем в роутере - пока). сеть офисов - 20.1.1.0/24, сеть PPTP - 10.50.0.0. Такое было у них требование - объединить 3 офиса в 1 подсеть для AD, удаленного управления, резервирования и ещё пары их программ.

[chizh]

Я на стенде собрал все что вы описали,если всё в бриджах собрано верно - то всё работать должно без запинок и дополнительных маршрутов. Очень странным мне кажется что вы с маршрутныка не смогли трассировку к банку выполнить. Проверьте маршруты, уберите все что сами руками добавляли. Если можно, то выложите конфиги маршрутизаторов - можно будет их на стенде проверить(только не бин бэкапы).

[yury.manulik]

Т.е. не backup, а скрипт сделать с каждого маршрутизатора?

[chizh]

Да, я в gns3 все проверяю, туда бинарный бекап не залить. Впринципе я и вам советую обратить внимание на gns3, с учетом появления бесплатного chr работать стало проще с эмуляторами.

[yury.manulik]

https://yadi.sk/d/uFixx3at3CxED2
вот ссылка на скрипты 3-х маршрутизаторов.

[yury.manulik]

Вот трассировка адреса с компа в сети:
Трассировка маршрута к mail.belveb.by [212.98.164.198]
с максимальным числом прыжков 30:

1 1 ms <1 мс <1 мс 20.1.1.9
2 1 ms <1 мс <1 мс 192.168.1.1
3 * * * Превышен интервал ожидания для запроса.
4 10 ms 11 ms 11 ms core1-f.mf.belpak.by [93.85.81.57]
5 9 ms 11 ms 11 ms core.net.belpak.by [93.85.253.129]
6 * * * Превышен интервал ожидания для запроса.
7 * * * Превышен интервал ожидания для запроса.
8 * * * Превышен интервал ожидания для запроса.

Трассировка завершена.

[Chupaka]

А при отключении EoIP?

Т.е. пинг ходит, а трассировка - нет?..

[yury.manulik]

c отключенными туннелями, пинга вообще на этот адрес нет
Трассировка маршрута к bveb.minsk.by [212.98.164.198]
с максимальным числом прыжков 30:

1 <1 мс <1 мс <1 мс 20.1.1.9
2 1 ms <1 мс <1 мс 192.168.1.1
3 * * * Превышен интервал ожидания для запроса.
4 11 ms 11 ms 11 ms core1-f.mf.belpak.by [93.85.81.57]
5 9 ms 12 ms 11 ms core.net.belpak.by [93.85.253.129]
6 * * * Превышен интервал ожидания для запроса.
7 * * * Превышен интервал ожидания для запроса.
8 * * * Превышен интервал ожидания для запроса.

Трассировка завершена.

[Chupaka]

Т.е. с отключенными тоннелями пинга нет, но всё работает, и трасса не меняется при отключении тоннелей?

Загадочно как-то...

Снифер в руки, видимо - и смотреть, что там в какой момент прерывается при поднятых тоннелях

[yury.manulik]

Да, самому интересно что происходит. Вышел пока из ситуации по другому - назначил ещё один адрес на бридж - 20.1.2.0/24, компу дал адрес из этой сети и 2 адрес из основной сети для доступа к локальным ресурсам, ну и маскарад на новую подсеть для инета - работает.