# Задача: хотим внедрить в своей сети мост (bridge) на Debian,# выполняющий также задачи межсетевого экрана,# т.е. получить возможность фильтрации трафика, не сильно меняя топологию# и совсем не меняя адресацию в сети и шлюз по умолчанию.# Желательно, чтобы мост-МЭ при этом вообще не имел IP-адресов# на интерфейсах (обращенном наружу и смотрящему в защищаемую сеть)# Администрировать его и смотреть на нем логи предлагается локально# или путем подключения к выделенной сети администрирования# Ставим его в сети так, чтобы одним интерфейсом моста он был# подключен к провайдеру или другому уже имеющемуся шлюзу по умолчанию,# а другой «смотрел» в защищаемую ЛВС, например в порт коммутатора# Таким образом, приходящий извне трафик прежде чем попасть в защищаемую сеть# будет всегда проходить через мост на котором мы его будем фильтровать# с помощью iptablesСхема тестового стенда
Проблема
Клиент Open VPN GUI подключается к серверу Open VPN, пользователь может успешно открывать общие папки сервера и просматривать папки, но попытка открыть или передать какой-либо файл не удается (истекло время ожидания соединения).
В журналах OpenVPN не было ошибок или предупреждений. Э
та проблема затрагивала только одного конкретного пользователя и только когда он работал из дома.
Один и тот же пользователь с тем же ноутбуком может без проблем использовать то же VPN-соединение из других мест.
Моей первой мыслью было, что это интернет-провайдер, который вмешивается в брандмауэр Deep Packet Inspection, но это не так.
Решение
После некоторых экспериментов я обнаружил, что проблема присутствовала только при подключении OpenVPN через UDP (любой порт).
Когда OpenVPN подключался через любой порт TCP, все работало абсолютно нормально.
После еще нескольких экспериментов я обнаружил, что проблема заключается в размере пакета MTU (Maximum Transmission Unit).
По умолчанию OpenVPN устанавливает MTU на 1450.
Проблема была решена путем уменьшения MTU до 1420.
Для этого мне просто нужно было добавить следующую строку в конфигурацию OpenVPN:
mssfix 1420
Комментарии
Отправка комментария