Bonsoir et merci pour vos suggestions Le filtrage firewall est en pass all
Je pensais que la fragmentation serait gérée automatiquement par le routeur en tête car aucun pb sur les flux à destination d'internet qui ne passent pas dans le VPN Je vais explorer cette piste Merci encore -----Message d'origine----- De : David Ponzone <[email protected]> Envoyé : vendredi 21 décembre 2018 19:51 À : Lionel RIVIERE <[email protected]> Cc : frnog <[email protected]> Objet : Re: [FRnOG] [TECH] PB Flux TCP sur VPN IPSEC double NAT ben à coup de PING avec bit DF, cherche le plus gros paquet que tu puisses envoyer depuis le Sophos derrière du NAT vers l’autre. Si un des sites est en PPPoE, ça sera pas 1500. Tu ajustes ton MTU et ton MSS en fonction de ça, ça peut aider. Si tu peux jouer côté IPsec aussi, indique aux Sophos de pas dépasser 1400 par exemple, et vois ce que ça donne. > Le 21 déc. 2018 à 19:27, Lionel RIVIERE <[email protected]> a écrit : > > Bonjour à toutes et à tous, > > J'ai un PB technique peut être connu de certain.. > > Je dispose d'un VPN IPSEC site à site entre deux Sophos Le Sophos du > site A dispose d'un lien de type FTTH en double NAT, il ne porte donc > pas l'ip publique (L'interconnexion est réalisée via un sous réseau en > IP privée différente de ce qui peut exister sur l'architecture) Les > ports UDP 4500 + 500 sont redirigés vers le Sophos > > Le Sophos du site B porte une IP Publique > > Le VPN monte . On arrive à joindre les équipements distants dans les > deux sens (ping, partage de fichiers, requêtes DNS..) Des PC se > trouvent sur le site A et leur serveur AD Microsoft sur le site B > (Windows 2012) > > Le problème est le suivant: certaines requêtes entre les PC et l'AD ne > transitent pas Tout fonctionnait parfaitement avant le déménagement du > site A qui disposait auparavant d'un IP publique sur le Sophos > > les PC sous Windows 7 ou 10 ne sont pas vu comme connecté sur un > réseau de domaine impossible de gérer sur les postes locaux > utilisateurs du domaine les stratégies des groupes de s'appliquent pas .. > > En réalisant des captures à la sortie d'une machine, beaucoup > d'erreurs TCP ACK entre la machine et l'AD > > [TCP Previous segment not captured] 88 → 57935 [PSH, ACK] Seq=1383 Ack=308 > Win=131072 Len=154 [TCP segment of a reassembled PDU]" > [TCP Dup ACK 11062#1] 57942 → 88 [ACK] Seq=308 Ack=1 Win=65700 Len=0 > SLE=1383 SRE=1537 > > > > Le NAT-T étant activé sur les routeur, j'ai tenté de le désactivé : > idem Je ne pense pas que cela provienne du MTU qui doit normalement > être géré par le routeur qui porte le lien FTTH (MTU lan privé à 1500 > et MTU FTTH à 1460) > > > Si quelqu'un à idée je suis preneur.. 😉 > > > merci > > Lionel > > --------------------------- > Liste de diffusion du FRnOG > http://www.frnog.org/ --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
