https://info.stack8.com/blog/udp-fragmentation-why-should-you-avoid-it
David Ponzone > Le 24 déc. 2018 à 14:48, Michael Bazy <[email protected]> a écrit : > > Hello Lionel, > > Même si la fragmentation est gérée par le routeur, tu mets tes paquets dans > de l'UDP (surtout avec le NAT-T), donc il y a moins de contrôles sur la bonne > transmission des flux que dans TCP, et donc c'est plus sensibles aux petits > aléas le long du chemin. > > C'est pas pour lancer un troll (on a eu notre lot de trolls pour 2018 là ;) > ), mais je pense que c'est le genre de problèmes réglés par l'IPv6. > > Michael > > From: [email protected] <[email protected]> on behalf of Lionel > RIVIERE <[email protected]> > Sent: Friday, December 21, 2018 8:58:23 PM > To: David Ponzone; Fabien SECOND; Nicolas Mrowczynski > Cc: frnog > Subject: RE: [FRnOG] [TECH] PB Flux TCP sur VPN IPSEC double NAT > > Bonsoir et merci pour vos suggestions > > Le filtrage firewall est en pass all > > Je pensais que la fragmentation serait gérée automatiquement par le routeur > en tête car aucun pb sur les flux à destination d'internet qui ne passent pas > dans le VPN > Je vais explorer cette piste > > Merci encore > > -----Message d'origine----- > De : David Ponzone <[email protected]> > Envoyé : vendredi 21 décembre 2018 19:51 > À : Lionel RIVIERE <[email protected]> > Cc : frnog <[email protected]> > Objet : Re: [FRnOG] [TECH] PB Flux TCP sur VPN IPSEC double NAT > > ben à coup de PING avec bit DF, cherche le plus gros paquet que tu puisses > envoyer depuis le Sophos derrière du NAT vers l’autre. > Si un des sites est en PPPoE, ça sera pas 1500. > Tu ajustes ton MTU et ton MSS en fonction de ça, ça peut aider. > Si tu peux jouer côté IPsec aussi, indique aux Sophos de pas dépasser 1400 > par exemple, et vois ce que ça donne. > > > > > Le 21 déc. 2018 à 19:27, Lionel RIVIERE <[email protected]> a écrit > > : > > > > Bonjour à toutes et à tous, > > > > J'ai un PB technique peut être connu de certain.. > > > > Je dispose d'un VPN IPSEC site à site entre deux Sophos Le Sophos du > > site A dispose d'un lien de type FTTH en double NAT, il ne porte donc > > pas l'ip publique (L'interconnexion est réalisée via un sous réseau en > > IP privée différente de ce qui peut exister sur l'architecture) Les > > ports UDP 4500 + 500 sont redirigés vers le Sophos > > > > Le Sophos du site B porte une IP Publique > > > > Le VPN monte . On arrive à joindre les équipements distants dans les > > deux sens (ping, partage de fichiers, requêtes DNS..) Des PC se > > trouvent sur le site A et leur serveur AD Microsoft sur le site B > > (Windows 2012) > > > > Le problème est le suivant: certaines requêtes entre les PC et l'AD ne > > transitent pas Tout fonctionnait parfaitement avant le déménagement du > > site A qui disposait auparavant d'un IP publique sur le Sophos > > > > les PC sous Windows 7 ou 10 ne sont pas vu comme connecté sur un > > réseau de domaine impossible de gérer sur les postes locaux > > utilisateurs du domaine les stratégies des groupes de s'appliquent pas .. > > > > En réalisant des captures à la sortie d'une machine, beaucoup > > d'erreurs TCP ACK entre la machine et l'AD > > > > [TCP Previous segment not captured] 88 → 57935 [PSH, ACK] Seq=1383 Ack=308 > > Win=131072 Len=154 [TCP segment of a reassembled PDU]" > > [TCP Dup ACK 11062#1] 57942 → 88 [ACK] Seq=308 Ack=1 Win=65700 Len=0 > > SLE=1383 SRE=1537 > > > > > > > > Le NAT-T étant activé sur les routeur, j'ai tenté de le désactivé : > > idem Je ne pense pas que cela provienne du MTU qui doit normalement > > être géré par le routeur qui porte le lien FTTH (MTU lan privé à 1500 > > et MTU FTTH à 1460) > > > > > > Si quelqu'un à idée je suis preneur.. 😉 > > > > > > merci > > > > Lionel > > > > --------------------------- > > Liste de diffusion du FRnOG > > http://www.frnog.org/ > > > --------------------------- > Liste de diffusion du FRnOG > http://www.frnog.org/ --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
