Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Andrey V. Elsukov
On 13.04.2017 20:48, Irina Liakh wrote: > On Thu, Apr 13, 2017 at 07:00:02PM +0300, Andrey V. Elsukov wrote: >> Спасибо. Подозрение было на то, что флаги проверки контрольной >> суммы полученные от сетевой карты и подсчитанные для внешнего IP и >> UDP заголовков используются и на передоваемые внутр

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Yuriy B. Borysov
Hi! On Thu, Apr 13, 2017 at 11:19:32PM +0300, Vladislav V. Prodan writes: > 13 апреля 2017 г., 21:01 пользователь Yuriy B. Borysov < > yokod...@yokodzun.kiev.ua> написал: >> > Очень похоже на видоизмененный virtio > Попробуйте в /boot/loader.conf вставить: > # решает проблемы с битыми чексумма

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Vladislav V. Prodan
13 апреля 2017 г., 21:01 пользователь Yuriy B. Borysov < yokod...@yokodzun.kiev.ua> написал: > Hi! > > On Thu, Apr 13, 2017 at 08:32:11PM +0300, Vladislav V. Prodan writes: > > >> Вероятно, не только в таких случаях. На нескольких FreeBSD, работающих > >> на хостах hyper-v проблема проявлялась п

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Eugene Grosbein
14.04.2017 1:01, Irina Liakh пишет: >> 13.04.2017 21:55, Irina Liakh пишет: >>> Может, дело в том, что tcpdump и netstat проверяют разные чексуммы? >>> iiuc, tcpdump проверяет IP checksum, а netstat - TCP/UDP checksum. >> >> tcpdump без ключа -K проверяет и TCP/UDP тоже, он умный. > > Действитель

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Yuriy B. Borysov
Hi! On Thu, Apr 13, 2017 at 08:32:11PM +0300, Vladislav V. Prodan writes: >> Вероятно, не только в таких случаях. На нескольких FreeBSD, работающих >> на хостах hyper-v проблема проявлялась при включении NAT. >> > Драйвера сетевых virtio ? Драйвер про себя пишет: hn5: on vmbus0 при загрузк

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 11:17:01PM +0700, Eugene Grosbein wrote: > 13.04.2017 21:55, Irina Liakh пишет: > > Может, дело в том, что tcpdump и netstat проверяют разные чексуммы? > > iiuc, tcpdump проверяет IP checksum, а netstat - TCP/UDP checksum. > > tcpdump без ключа -K проверяет и TCP/UDP тоже,

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 07:00:02PM +0300, Andrey V. Elsukov wrote: > Спасибо. Подозрение было на то, что флаги проверки контрольной суммы > полученные от сетевой карты и подсчитанные для внешнего IP и UDP > заголовков используются и на передоваемые внутри туннеля данные. Ясно, спасибо! > Судя по т

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 06:07:02PM +0300, Irina Liakh wrote: > On Thu, Apr 13, 2017 at 06:02:37PM +0300, Oleg V. Nauman wrote: > > On Thursday 13 April 2017 16:59:10 Irina Liakh wrote: > > > On Thu, Apr 13, 2017 at 12:50:43PM +0300, Andrey V. Elsukov wrote: > > > > Добрый день, > > > > > > > > раз

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Vladislav V. Prodan
13 апреля 2017 г., 20:08 пользователь Yuriy B. Borysov < yokod...@yokodzun.kiev.ua> написал: > Вероятно, не только в таких случаях. На нескольких FreeBSD, работающих > на хостах hyper-v проблема проявлялась при включении NAT. > Драйвера сетевых virtio ? -- Vladislav V. Prodan System & Networ

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Oleg V. Nauman
On Thursday 13 April 2017 20:08:14 Yuriy B. Borysov wrote: > Hi! > > On Thu, Apr 13, 2017 at 11:41:30PM +0700, Eugene Grosbein writes: > > Это не проблема сетевой карты, она тут вообще ни в чём не виновата, и её > > драйвер тоже. Проблема в сетевом стеке FreeBSD, а -rxcsum это просто > > быстрый

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Andrey V. Elsukov
On 13.04.2017 20:08, Yuriy B. Borysov wrote: > Вероятно, не только в таких случаях. На нескольких FreeBSD, работающих > на хостах hyper-v проблема проявлялась при включении NAT. > > Картина такая, включаем NAT (проверял ipfw и pf) - доступ по SSH > снаружи пропадает, ftp работает только active.

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Andrey V. Elsukov
On 13.04.2017 19:31, Vladislav V. Prodan wrote: > > > 13 апреля 2017 г., 19:00 пользователь Andrey V. Elsukov > mailto:bu7c...@yandex.ru>> написал: > > On 13.04.2017 18:07, Irina Liakh wrote: > раз уж мы говорим о решении, сможете протестировать патч? > https://people.freeb

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Yuriy B. Borysov
Hi! On Thu, Apr 13, 2017 at 11:41:30PM +0700, Eugene Grosbein writes: > Это не проблема сетевой карты, она тут вообще ни в чём не виновата, и её > драйвер тоже. > Проблема в сетевом стеке FreeBSD, а -rxcsum это просто быстрый workaround. > Вообще для того, чтобы напороться на проблему, нужно

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Eugene Grosbein
13.04.2017 23:31, Vladislav V. Prodan пишет: > Теперь вопрос. > Как детектить сетевые карты с подобными проблемами? Или сразу вырубать > -rxcsum -txcsum ? Это не проблема сетевой карты, она тут вообще ни в чём не виновата, и её драйвер тоже. Проблема в сетевом стеке FreeBSD, а -rxcsum это прост

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Vladislav V. Prodan
13 апреля 2017 г., 19:00 пользователь Andrey V. Elsukov написал: > On 13.04.2017 18:07, Irina Liakh wrote: > раз уж мы говорим о решении, сможете протестировать патч? > https://people.freebsd.org/~ae/udp_csum_flags.diff > > Нужно пересобрать ядро. > >>> > >>> Все работает с эт

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Eugene Grosbein
13.04.2017 21:55, Irina Liakh пишет: >> Ядро может пропускать самостоятельный подсчет контрольных сумм, >> если в метаданных пакета уже есть посчитанная оборудованием сумма (checksum >> offload). >> Для netgraph такого быть не должно, но не исключены баги. > > Может, дело в том, что tcpdump и ne

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Andrey V. Elsukov
On 13.04.2017 18:07, Irina Liakh wrote: раз уж мы говорим о решении, сможете протестировать патч? https://people.freebsd.org/~ae/udp_csum_flags.diff Нужно пересобрать ядро. >>> >>> Все работает с этим патчем. Проверяла только IPv4. >> >> Для однозначности - и TCP работает? > >

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 06:02:37PM +0300, Oleg V. Nauman wrote: > On Thursday 13 April 2017 16:59:10 Irina Liakh wrote: > > On Thu, Apr 13, 2017 at 12:50:43PM +0300, Andrey V. Elsukov wrote: > > > Добрый день, > > > > > > раз уж мы говорим о решении, сможете протестировать патч? > > > https://peop

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Oleg V. Nauman
On Thursday 13 April 2017 16:59:10 Irina Liakh wrote: > On Thu, Apr 13, 2017 at 12:50:43PM +0300, Andrey V. Elsukov wrote: > > Добрый день, > > > > раз уж мы говорим о решении, сможете протестировать патч? > > https://people.freebsd.org/~ae/udp_csum_flags.diff > > > > Нужно пересобрать ядро. > >

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 01:54:56PM +0700, Eugene Grosbein wrote: > 13.04.2017 13:49, Irina Liakh пишет: > > >> С другой стороны, tcpdump -s0 про входящие TCP-пакеты на ng0 говорит cksum > >> 0x8bd2 (correct), > >> а это значит, что контрольная сумма у него сходится. Я склонен верить > >> tcpdump

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 12:50:43PM +0300, Andrey V. Elsukov wrote: > Добрый день, > > раз уж мы говорим о решении, сможете протестировать патч? > https://people.freebsd.org/~ae/udp_csum_flags.diff > > Нужно пересобрать ядро. Все работает с этим патчем. Проверяла только IPv4.

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Andrey V. Elsukov
On 13.04.2017 11:04, Irina Liakh wrote: > On Thu, Apr 13, 2017 at 02:24:28PM +0700, Eugene Grosbein wrote: >> Баг в ядре, значит. Пока пропишите в /etc/rc.conf: >> >> ifconfig_fxp0="inet 192.168.12.2/24 -rxcum" >> >> Ну и желательно сделать PR, да, со всей этой диагностикой. > > Благодарю Вас за п

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 03:08:05PM +0700, Eugene Grosbein wrote: > Тут конечно -rxcsum, опечатка. sure) > А можно ссылку на жалобу того ещё одного человека? https://www.opennet.ru/openforum/vsluhforumID1/96009.html ___ freebsd mailing list freebsd@uafug.

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Eugene Grosbein
13.04.2017 15:04, Irina Liakh пишет: > On Thu, Apr 13, 2017 at 02:24:28PM +0700, Eugene Grosbein wrote: >> Баг в ядре, значит. Пока пропишите в /etc/rc.conf: >> >> ifconfig_fxp0="inet 192.168.12.2/24 -rxcum" Тут конечно -rxcsum, опечатка. >> Ну и желательно сделать PR, да, со всей этой диагностик

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 02:24:28PM +0700, Eugene Grosbein wrote: > Баг в ядре, значит. Пока пропишите в /etc/rc.conf: > > ifconfig_fxp0="inet 192.168.12.2/24 -rxcum" > > Ну и желательно сделать PR, да, со всей этой диагностикой. Благодарю Вас за помощь! И вообще всех кто помогал. Здорово, что ес

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Eugene Grosbein
13.04.2017 14:06, Irina Liakh пишет: > On Thu, Apr 13, 2017 at 01:54:56PM +0700, Eugene Grosbein wrote: >> 13.04.2017 13:49, Irina Liakh пишет: >>> # ifconfig fxp0 >>> fxp0: flags=8843 metric 0 mtu 1500 >>> options=2009 >>> ether X:X:X:X:X:X >>> inet 192.168.12.2 netmask 0xf

Re: [freebsd] l2tp за NAT'ом (без IPSEC)

2017-04-13 Пенетрантность Irina Liakh
On Thu, Apr 13, 2017 at 01:54:56PM +0700, Eugene Grosbein wrote: > 13.04.2017 13:49, Irina Liakh пишет: > > # ifconfig fxp0 > > fxp0: flags=8843 metric 0 mtu 1500 > > options=2009 > > ether X:X:X:X:X:X > > inet 192.168.12.2 netmask 0xff00 broadcast 192.168.12.255 > >