MTU - trable a pochopení

nosek_tomas2004 · 2023-10-11T21:40:34+00:00

Pěkný večer, na úvod bych chtěl uvést, že jsem student všeobecného přírodovědeckého gymnázia a síťařinu jsem se naučil sám svépomocí, protože mě toto odvětví...

radek_kovacik

Dokonce jej ještě mám ve stažených souborech, jsou dva: mtupath.exe a mturoute.exe

nosek_tomas2004

radek_kovacik Bohužel se mi je nedaří zde najít 🥲🥲...mohl bych poprosit do PM (nebo veřejně) nějaký link na ně (a nějaký základaní usecase, pokud jej neobsahují v sobě)?

dacesilian

nosek_tomas2004 Google dává http://www.iea-software.com/products/mtupath/ a https://www.elifulkerson.com/projects/mturoute.php , popis mají v sobě při spuštění bez parametrů.

nosek_tomas2004

dacesilian Aha, já to hledal zde na fóru 😐🙈...Děkuji!

radek_kovacik

Jsou to přesně ty, jak píše @dacesilian. Tady na fóru by se umístit nedaly, protože spustitelné soubory jsou jako příloha zakázané.

nosek_tomas2004

Krásný den,
opět bych potřeboval pár rad k tomuto tématu:

1) Jak se mám správně zachovat k MTU v případě, že mám naprosto standartní konfiguraci - např porty 2-4 v bridge - vše má MTU 1500 (L2MTU je teda ale buď 1600 nebo 1598, nerozumím, proč na každém portu jinak; RB1100AHx2). Na bridgi samotném mám nastaveno MTU natvrdo na 1500.

Co když do tohoto bridge potřebuji přidat např. EoIP tunel, který má MTU menší (1458)? Jak se správně zachovat k tomu? Vložit jej tam a nechat tak (ETH porty 1500, Bridge též 1500) a nechat to na nějaké vnitřní logice toho tunelu, nebo se k tomu zachovat jinak?

2) Mám-li přípojku přes VDSL=PPPoE s MTU 1492, jak mám správně určit velikost MTU pro L2TP VPNky s IPSecem? (Používám je pro site-to-site, ani na jedné straně nejsou v bridge)

Děkuji mockrát!

Alois

VPN obvykle umí fragmentaci packetů, takže i když je nižší MTU, obecně je lepší uvnitř VPN nastavit MTU 1500. Nižší MTU může uvnitř sítě naopak způsobovat nefunkčnost nebo podivnou funkčnost různých protokolů, typicky pokud má bridge nižší MTU, může být problém s https komunikací a to i do internetu, projevuje se to tak, že některý stránky se vůbec nenačtou.
Případně není problém různý MTU zkoušet, tunel změnu MTU obvykle přežije.

nosek_tomas2004

Alois Takže jakože jak EoIP tak i L2TP+IPsec nechat na 1500 a ať se to "popasuje" samo?

basty

Ty EoIP tunely a bridge jsou problem. To nam nekolikrat rozjebalo funkcnost nejakych stranek nez jsme na to dosli co to dela.

nosek_tomas2004

basty Právě proto jsem na to před pár lety narazil. Defaultně se ten bridge totiž nastaví na nejnižší MTU z portů, které má v sobě. Mě tehdy pomohlo nastavit na bridge 1500 a začlo to fungovat.

Bridge MTU 1500
- ETH MTU 1500
- EoIP MTU 1458

Ale jestli je to takto správně netuším. Ale "nějak" to funguje. Kde to šlo, už jsem se toho zbavil, ale zbývá mi jedno místo kde přes to tahám 2 VLANy (mgmt a ipc). Uvažuju, jestli by nebylo lepší to předělat na QinQ.

Ale někdy tohle používám, když si potřebuju protáhnout někam (třeba jen dočasně) L2 segment odjinud. Tak be mě zajímalo, jak by to správně mělo být...

Alois

Kdykoliv jsem po tom pátral i na Mikrotik fóru, vždy jsem dostal doporučení ručně nastavit MTU 1500. A když jsem se jednou zeptal, proč to tedy není ve výchozím stavu nastaveno, tak jsem dostal dost neurčitou odpověď, že ne vždy je to vyhovující, tak nevím.
IPSec se s fragmentací packetů umí poradit, samozřejmě to znamená vyšší režii v rámci komunikace, protože jeden packet se musí rozdělit na dva, ale v rámci zachování spolehlivosti služeb na obou stranách za sebe doporučuju MTU 1500.

nosek_tomas2004

Alois Díky za tip. Zkouším se s tím hrát a opravdu, i když uplink do internetu mám PPPoE s MTU 1492, tak když nastavím L2TP+IPSec na MTU 1500, tak (po rebootu, nevím proč) opravdu pošlu ping s DF parametrem skrz L2TP na zařízení za tunelem o velikosti 1472 (--> MTU 1500). Tohle mě nikdy nenapadlo.

Chápu tedy správně, že v tomto případě ve finále stejně k fragmentaci dochází, ale nefragmentuje se původní paket/rámec (ICMP ping), ale až rámce obalné tunelem?

Teď je otázka, co je správnější a čistější přístup a varianta...
Nemyslím si, že defaultní nastavení by bylo jenom tak...

Ale díky moc za poznatek!

basty

Takze pokud by byl EoIP v bridge, tak kdyz se da rucne ba bridge 1500, tak to nebude delat ty problemy se strankama?

nosek_tomas2004

basty Mě to tak (prozatím) fungovalo...nebo se minimálné zdálo, že to funguje 😅🫣

Ale absolutně netvrdím, že je to tak správně. Variantu @Alois nastavit i na EoIP 1500 jsem ještě nezkoušel..

Alois

basty Přesně tak, tohle opraví ten problém, ověřeno.

nosek_tomas2004

Alois A stačí pouze natvrdo přepsat ten bridge, nebo je lepší i EoIP nastavit na 1500 ?

Nějak se vždy projde paket (s DF) i o velikosti větší než je nastaveno MTU na EoIP. Vždy mi prošlo 1500 i když na EoIP mám 1458 🤷

Začínám v tom mít čím dál tím větší zmatky 🫣😅

Alois

Na Mikrotik fóru mně doporučovali nastavit MTU 1500 i na EoIP tunelu, respektive jakýmkoliv tunelu. Ale v podstatě jsou to dvě věci, EoIP nemusí být v bridge. Na druhou stranu u bridge se pak nesníží MTU, pokud bude mít EoIP MTU 1500.
Každopádně není na škodu mít u bridge MTU 1500 nastaveno, nestane se pak chyba, že nějaký interface přidaný do bridge s nižším MTU ho sníží a začnou problémy.

Další stránka »