Jump to content

Все о туннелях IPIP, GRE и EoIP


Recommended Posts

В 2/14/2018 в 09:58, utya сказал:

Каждый 4-5 дней отпадает eoip и помогает только хардварный перегруз сервера. @Le ecureuil если можете взгляните.
приложил снизу.

Какой из интерфейсов (по названию EoIPX) отвалился в данном self-test?

Link to comment
Share on other sites

40 минут назад, Le ecureuil сказал:

Какой из интерфейсов (по названию EoIPX) отвалился в данном self-test?

EoIP4. по логам я смотрел, он то подымается, то снова up. Как только перегружу сервер всё становится нормально.

Link to comment
Share on other sites

Вот ещё успел словить, лаг. Перегрузил роутер, инета не было. Лог называется self-test_zavis. После ещё раз перегрузил, инет появился, лог называется.

 

 

Разобрался включался сам L2TP/ipsec, хотя он мне не нужен плюс был криво ping check настроен, скорее всего из него. Сейчас сделал 5 перезагрузок, вроде норм.
 

Edited by utya
Link to comment
Share on other sites

Товарищи а ещё вопрос, у меня 4 EoIP забриджованые в lan, и когда отваливается один из клинетов, происходит реконтект всех клиентов eoip, это норма? или эт я не правильно сделал? и если происходит такой реконнект это же наверно влияет на работу всего lan?

Link to comment
Share on other sites

7 минут назад, utya сказал:

Товарищи а ещё вопрос, у меня 4 EoIP забриджованые в lan, и когда отваливается один из клинетов, происходит реконтект всех клиентов eoip, это норма? или эт я не правильно сделал? и если происходит такой реконнект это же наверно влияет на работу всего lan?

было такое поведение но воспроизводилось не всегда. В последнее время не смотрел как там дела .

 

Edited by r13
Link to comment
Share on other sites

5 минут назад, r13 сказал:

Есть было такое поведение но воспроизводилось не всегда. 

 

понял. буду мониторить, да некоторые обрываются а некоторые нет. а то что всё lan забриджовано норм или лучше vlan отдельный сделать?

 

Link to comment
Share on other sites

10 минут назад, utya сказал:

понял. буду мониторить, да некоторые обрываются а некоторые нет. а то что всё lan забриджовано норм или лучше vlan отдельный сделать?

 

Если не используете пинг чек то без разницы, в отдельный vlan выделять не обязательно. 

Link to comment
Share on other sites

Только что, r13 сказал:

Если не используете пинг чек то без разницы, в отдельный vlan выделять не обязательно. 

нет пинг чека нет, разрыв контролируется только ipsecом. спс

 

Link to comment
Share on other sites

20 минут назад, r13 сказал:

было такое поведение но воспроизводилось не всегда. В последнее время не смотрел как там дела .

У меня при реконнекте одного авто-IPIP обычно происходит реконнект всех до сих пор вроде как.

Link to comment
Share on other sites

18 часов назад, utya сказал:

Товарищи а ещё вопрос, у меня 4 EoIP забриджованые в lan, и когда отваливается один из клинетов, происходит реконтект всех клиентов eoip, это норма? или эт я не правильно сделал? и если происходит такой реконнект это же наверно влияет на работу всего lan?

А где же sefl-test с такой ситуацией?

Link to comment
Share on other sites

  • 2 weeks later...

Товарищи, прошу помощи разобраться в проблеме! 

Настроил Eoip туннель между giga 2 И START. Цель - включить сетевой  порт на старте в Home сеть гиги, чтобы удалённый телевизор имел доступ к DLNA серверу. 

Сначала запустил туннель без шифрования поверх L2TP/ipsec. Giga - сервер. Решение рабочее, тв увидел DLNA. 

Затем решил сделать Eoip туннель с ipsec, как описано в этой теме и началась чехарда. Сделал строго по инструкции.трафик между устройствами ходит, Dhcp работает, но DLNA не виден из удалённой сети. Вдобавок перестали открываться некоторые сайты на гиге, help.keenetic.net, например. 

Похоже на проблемы с настройкой mtu. Какой он должен быть для правильной работы? До настройки туннеля mtu был 1500 на обоих маршрутизаторах. После включения eoip 0 в Home на гиге он стал 1416.на старте в мосту так же 1416. Но соединение не работает как надо. 

 

В первом , рабочем варианте с l2tp mtu на гиге не поменялся, остался 1500. А вот на старте стал 1140. И все работает. 

Какие mtu должны быть у интерфейсов и мостов, чтоб все работало по схеме из шапки? Обещают автоматическую настройку, но что-то происходит некорректно. Может у кого-то есть работоспособный аналогичный вариант? Какие у вас mtu на home, eoip 0 и других мостах? 

Что выложить сюда, чтоб можно было определить проблему?

 

Заранее благодарю за любую помощь!  

Link to comment
Share on other sites

2 часа назад, dexter сказал:

Понижайте mtu и смотрите когда заработает.

спасибо!

только вопрос, где понижать?

Giga                                                      Start

Home <--> EoIP0 <===ipsec tunnel===>  EoIP0 <-->  Bridge2 <--> FastEthernet/Vlan4

сейчас на всех интерфейсах со схемы mtu=1416. На интерфейсе ISP 1500 и тот же help.keenetic.net уже не открывается.

Как должны соотноситься mtu интерфейсах, хотя бы примерно? должны ли быть симметричными настройки?

 

Link to comment
Share on other sites

В 03.03.2018 в 16:14, dexter сказал:

Я бы симметрично понижал на всех интерфейсах. И попробуйте включить фрагментацию.

Не нашёл, где на keenetic можно включить или выключить фрагментацию. Подскажите поточнее, пожалуйста. 

Link to comment
Share on other sites

В 03.03.2018 в 09:33, Dim A сказал:

спасибо!

только вопрос, где понижать?

Giga                                                      Start

Home <--> EoIP0 <===ipsec tunnel===>  EoIP0 <-->  Bridge2 <--> FastEthernet/Vlan4

сейчас на всех интерфейсах со схемы mtu=1416. На интерфейсе ISP 1500 и тот же help.keenetic.net уже не открывается.

Как должны соотноситься mtu интерфейсах, хотя бы примерно? должны ли быть симметричными настройки?

 

поищи в этой теме мой пост, как я настроил. может поможет. так и гугли eoip mtu

Edited by utya
Link to comment
Share on other sites

В 02.03.2018 в 23:42, Dim A сказал:

Товарищи, прошу помощи разобраться в проблеме! 

Настроил Eoip туннель между giga 2 И START. Цель - включить сетевой  порт на старте в Home сеть гиги, чтобы удалённый телевизор имел доступ к DLNA серверу. 

Сначала запустил туннель без шифрования поверх L2TP/ipsec. Giga - сервер. Решение рабочее, тв увидел DLNA. 

Затем решил сделать Eoip туннель с ipsec, как описано в этой теме и началась чехарда. Сделал строго по инструкции.трафик между устройствами ходит, Dhcp работает, но DLNA не виден из удалённой сети. Вдобавок перестали открываться некоторые сайты на гиге, help.keenetic.net, например. 

Похоже на проблемы с настройкой mtu. Какой он должен быть для правильной работы? До настройки туннеля mtu был 1500 на обоих маршрутизаторах. После включения eoip 0 в Home на гиге он стал 1416.на старте в мосту так же 1416. Но соединение не работает как надо. 

 

В первом , рабочем варианте с l2tp mtu на гиге не поменялся, остался 1500. А вот на старте стал 1140. И все работает. 

Какие mtu должны быть у интерфейсов и мостов, чтоб все работало по схеме из шапки? Обещают автоматическую настройку, но что-то происходит некорректно. Может у кого-то есть работоспособный аналогичный вариант? Какие у вас mtu на home, eoip 0 и других мостах? 

Что выложить сюда, чтоб можно было определить проблему?

 

Заранее благодарю за любую помощь!  

В итоге удалось изолировать проблему и запустить туннели в обход ее.

Проблема все-таки связана с MTU. При настройке по "стандарту" этой темы все интерфейсы завелись, пингуются. После добавления EoIP0 в мост Home MTU автоматически устанавливается в 1416 и после этого часть сайтов перестает открываться, а телевизор со стороны клиента не видит сервер. Если включить фрагментацию eoip, выставить на EoIP0 mtu 1500, то после реинициализации (перезагрузки) на всех интерфейсах mtu 1500 и все работает.

Далее, убрал все EoIP из моста Home (привел его в состояние из коробки) и выставил вручную mtu 1416 на нем. перестали открываться сайты (help.keenetic.net в частности). Вернул 1500 - все поехало.

Получается, проблема в MTU  1416 в Home безотносительно туннелей, а EoIP интерфейсы всего лишь корректируют его под свой режим при включении в мост . 

Подскажите в чем проблема маршрутизировать пакеты с mtu 1416 в ISP-интерфейс (mtu 1500)? Куда копать и в каком разделе спросить?

Кстати, когда проблема присутствует, пинг с установленной длинной пакета и запретом фрагментации перестает проходить при L=1388, от 1389 до 1472 таймаут, более 1473 - отбивка об установленном запрете фрагментации. Может это наведет на идеи??

Edited by Dim A
Link to comment
Share on other sites

16 часов назад, Dim A сказал:

В итоге удалось изолировать проблему и запустить туннели в обход ее.

Проблема все-таки связана с MTU. При настройке по "стандарту" этой темы все интерфейсы завелись, пингуются. После добавления EoIP0 в мост Home MTU автоматически устанавливается в 1416 и после этого часть сайтов перестает открываться, а телевизор со стороны клиента не видит сервер. Если включить фрагментацию eoip, выставить на EoIP0 mtu 1500, то после реинициализации (перезагрузки) на всех интерфейсах mtu 1500 и все работает.

Далее, убрал все EoIP из моста Home (привел его в состояние из коробки) и выставил вручную mtu 1416 на нем. перестали открываться сайты (help.keenetic.net в частности). Вернул 1500 - все поехало.

Получается, проблема в MTU  1416 в Home безотносительно туннелей, а EoIP интерфейсы всего лишь корректируют его под свой режим при включении в мост . 

Подскажите в чем проблема маршрутизировать пакеты с mtu 1416 в ISP-интерфейс (mtu 1500)? Куда копать и в каком разделе спросить?

Кстати, когда проблема присутствует, пинг с установленной длинной пакета и запретом фрагментации перестает проходить при L=1388, от 1389 до 1472 таймаут, более 1473 - отбивка об установленном запрете фрагментации. Может это наведет на идеи??

Потому что клиенты (большинство) ожидают, что Ethernet и WiFi имеет MTU в 1500, и никак не меньше (и ваш провайдер тоже). В идеале при смене MTU в L2-сегменте его нужно менять и ставить одинаковым на абсолютно всех устройствах из этого сегмента, иначе будут проблемы. Поскольку в большинстве случаев это невозможно, то была добавлена возможность фрагментации.

Link to comment
Share on other sites

привет, настраиваю EoIP с IPsec, следуя  этому примеру:

Скрытый текст

Пример настройки туннеля EoIP с IPsec (в нашем примере сторона с WAN-адресом 8.6.5.4 является сервером):

Сервер:

(config)> interface EoIP0
(config-if)> tunnel source ISP
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> security-level private
(config-if)> up

Клиент:

(config)> interface EoIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> security-level private
(config-if)> up

Цитата

Внимание! Нужно, чтобы предварительно согласованный ключ IPSec PSK (preshared-key) совпадал на обоих концах туннеля.

вопрос№ 1 где настраивается "предварительно согласованный" preshared-key ?

Цитата

Интерфейс EoIPX можно включить в Bridge для объединения локальных сетей. Для этого на обоих сторонах нужно настроить EoIP-интерфейс без IP-адреса, и затем включить в Bridge Home:

вопрос № 2 что означает настроить "без IP-адреса" ? просто при настройке пропускать строки вида

"(config-if)> ip address 192.168.100.2 255.255.255.0" ?

вопрос № 3 мои локальные сети вида 192.168.1.1, в примере в настройках "(config-if)> ip address 192.168.100.1 и 100.2" ; настройки config-if должны быть в другом, отличном диапазоне, или они должны соответствовать домашним локальным адресам ?

"будьте добры помедленнее, я запысываю"

Link to comment
Share on other sites

10 часов назад, BL63 сказал:

вопрос№ 1 где настраивается "предварительно согласованный" preshared-key ?

Ну вон же:

(config-if)> ipsec preshared-key mytestingkey

10 часов назад, BL63 сказал:

вопрос № 2 что означает настроить "без IP-адреса" ? просто при настройке пропускать строки вида

Ага.

А вы что хотите сделать, чтобы была общая broadcast-локалка? Оно вам надо для чего-то конкретного, что не умеет в IP-маршрутизацию? Может вам и не нужно EoIP, сбриджованное с Home?

  • Thanks 1
Link to comment
Share on other sites

1 час назад, KorDen сказал:

А вы что хотите сделать, чтобы была общая broadcast-локалка? Оно вам надо для чего-то конкретного, что не умеет в IP-маршрутизацию? Может вам и не нужно EoIP, сбриджованное с Home?

да, нужна общая локалка,  все затевалось ради теста dlna, ему ж подавай  одинаковые сегменты

Link to comment
Share on other sites

сначала для условного сервера двух точек вводил для EoIP0 такую последовательность:

Скрытый текст

interface EoIP0
tunnel destination myname.ddns.net
tunnel eoip id 1500
ip address 192.168.100.1 255.255.255.0
security-level private
up

затем сделал interface EoIP0 down и начал перенастраивать  на EoIP/IPSec:

Скрытый текст

(config)> interface EoIP0
(config-if)> tunnel source ISP
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mypass
(config-if)> security-level private
(config-if)> up

(config-if)> no isolate-private

(config)> interface Home
(config-if)> include EoIP0

удаленный хост не пингуется, зато пингуется 192.168.100.1. я так понимаю, эта запись первоначальной конфигурации где-то осталась, она на что то влияет ? её надо удалить ? если да, то как ?

в лог сыпется это:

Скрытый текст

ndmNetwork::Interface::Tunnel: "EoIP0": resolved destination ip.ip.ip.ip (myname.ddns.net).                        // тут ip убрал
ndmNetwork::Interface::Tunnel: "EoIP0": resolved source 0.0.0.0.                                                                 // тут реально нули
ndmNetwork::Interface::Eoip: "EoIP0": invalid local source address, reresolving.

 

Link to comment
Share on other sites

1 час назад, Le ecureuil сказал:

да, сделайте 

> interface EoIP0 no tunnel destination

не помогло,  192.168.100.1 по-прежнему пингуется, а удаленный хост - нет.

сэлф-тест ?

Link to comment
Share on other sites

41 минуту назад, BL63 сказал:

192.168.100.1 по-прежнему пингуется

Сделайте sh run и посмотрите что у вас там сейчас на интерфейсе. Если я правильно понял вашу последовательность действий - IP с интерфейса вы всё-таки не удалили, сделайте no ip address на туннеле

  • Thanks 1
Link to comment
Share on other sites

44 минуты назад, KorDen сказал:

no ip address

да, эта команда  помогла снять с интерфейса прежний ip.

теперь в логах красным пишет :

Скрытый текст
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": unable to start server mode without specified local source.
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": invalid local source address, reresolving.
Mar 11 01:57:00ndm
IpSec::Manager: "EoIP0": IP secure connection and keys was deleted.
Mar 11 01:57:00ndm
Network::Interface::Tunnel: "EoIP0": resolved source 0.0.0.0, any destination.
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": updating server IP secure configuration.
Mar 11 01:57:00ndm
IpSec::Manager: "EoIP0": IP secure connection was added.

на interface EoIP0 теперь так:

Скрытый текст

interface EoIP0
    mac address ******
    security-level private
    ip dhcp client dns-routes
    ip dhcp client name-servers
    ipsec preshared-key ns3 *********
    tunnel source ISP
    tunnel eoip id 1500
    up

 

Edited by BL63
Link to comment
Share on other sites

21 час назад, BL63 сказал:

да, эта команда  помогла снять с интерфейса прежний ip.

теперь в логах красным пишет :

  Скрыть содержимое
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": unable to start server mode without specified local source.
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": invalid local source address, reresolving.
Mar 11 01:57:00ndm
IpSec::Manager: "EoIP0": IP secure connection and keys was deleted.
Mar 11 01:57:00ndm
Network::Interface::Tunnel: "EoIP0": resolved source 0.0.0.0, any destination.
Mar 11 01:57:00ndm
Network::Interface::Eoip: "EoIP0": updating server IP secure configuration.
Mar 11 01:57:00ndm
IpSec::Manager: "EoIP0": IP secure connection was added.

на interface EoIP0 теперь так:

  Скрыть содержимое

interface EoIP0
    mac address ******
    security-level private
    ip dhcp client dns-routes
    ip dhcp client name-servers
    ipsec preshared-key ns3 *********
    tunnel source ISP
    tunnel eoip id 1500
    up

 

Кидайте целиком self-test, что-то у вас не то.

  • Thanks 1
Link to comment
Share on other sites

11 час назад, BL63 сказал:

отправил

Все верно, у вас ISP висит без адреса, а реальным WAN с Интернет является PPPoE0.

На него и нужно перевесить сервер:

> interface EoIP0 tunnel source PPPoE0

или же, если WAN может меняться, то можно настроить автовыбор (но у вас необходимости в этом нет):

> interface EoIP0 tunnel source auto

  • Thanks 1
Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...