• If this is your first visit, be sure to check out the FAQ by clicking the link above. You may have to register before you can post: click the register link above to proceed. To start viewing messages, select the forum that you want to visit from the selection below.
Xin chào ! Nếu đây là lần đầu tiên bạn đến với diễn đàn, xin vui lòng danh ra một phút bấm vào đây để đăng kí và tham gia thảo luận cùng VnPro.

Announcement

Collapse
No announcement yet.

Trục trặc IPSec over GRE trên đường MegaWAN

Collapse
X
Collapse
 
  • Page of 2
  • Filter
  • Time
  • Show
Clear All
new posts
Previous 1 2 template Next
  • #1

    Trục trặc IPSec over GRE trên đường MegaWAN

    Chào các bạn,

    Có 1 vấn đề đau đầu mình đang gặp phải, mô hình của mình gồm có 1 site chính và 3 site con, tổng cộng 4 router (1 con 3800, 3 con 2800).
    Tại mỗi site đều dùng MegaWAN.
    Tất cả các site con đều dùng Tunnel trên MegaWAN nối về site chính.
    Bình thường đề chạy Tunnel thì không sao, mọi chuyện đều bình thường, nhưng khi mình áp IPSec over GRE trên tất cả 4 con thì bắt đầu có chuyện, cứ ping khoảng 10 gói thì bị rớt 1 gói, mình cũng đã gọi điện hỏi thông số mtu trên VTN (trả lời mtu=1500) và mình đã set ip mtu=1500 thì tình hình có khả quan hơn, khoảng 40 gói thì bị rớt 1 gói. Nhưng không biết set mtu vậy đã đúng chưa, và có cách nào khắc phục lỗi trên không?
    Mong các thầy và các bạn giúp đỡ!
    Tags: None
  • #2
    bạn chỉnh MTU xuống thấp thêm nữa:

    ip mtu 1476
    Đặng Quang Minh, CCIEx2#11897 (Enterprise Infrastructure, Wireless), DEVNET, CCSI#31417

    Email : dangquangminh@vnpro.org
    https://www.facebook.com/groups/vietprofessional/

    Comment

    • #3
      Cảm ơn anh, mình sẽ thử config lại xem!

      Comment

      • #4
        tình hình vụ này sao rồi bạn lionking?
        Đặng Quang Minh, CCIEx2#11897 (Enterprise Infrastructure, Wireless), DEVNET, CCSI#31417

        Email : dangquangminh@vnpro.org
        https://www.facebook.com/groups/vietprofessional/

        Comment

        • #5
          Mình đã congfig lại và chạy ngon lành, test khi dữ liệu truyền ít thì mtu=1500 chạy ok, khi truyền nhiều thì bắt buộc phải set thành 1476 chạy mới ổn.
          Đây cũng là 1 kinh nghiệm khi chạy IPSec trên đường MegaWAN.

          Một lần nữa cảm ơn anh Minh!

          Comment

          • #6
            Em xin chao cac thay va cac ban a.
            Em chua biet cau hinh GRE over IP sec trong megaWAN, hic.
            Em co the xin cac Thay va cac ban file config su dung trong GNS duoc ko a.
            Mong cac thay va cac ban giup do em. Em dang giai doan tim hieu ma.
            EM xin cam on rat nhieu a.

            Comment

            • #7
              Bạn xem tập hợp 47 bài lab IPSec có thể làm trên GNS3:

              Cho mình xin tài liệu 47 bài lab VPN của thầy Minh! - Vietnamese Professional
              http://vnpro.org/forum/showthread.php?t=16406
              Virtual Private Network - Mạng riêng ảo
              Đặng Quang Minh, CCIEx2#11897 (Enterprise Infrastructure, Wireless), DEVNET, CCSI#31417

              Email : dangquangminh@vnpro.org
              https://www.facebook.com/groups/vietprofessional/

              Comment

              • #8
                Thầy ơi,

                Ta dùng lệnh tunnel path-mtu-discovery thay cho ip mtu 1476 duoc ko?

                Comment

                • #9
                  nếu muốn dùng lệnh này thì tất cả các router dọc đường đi phải bật PMTU. Mà các router này về nguyên tắc mình đâu control được & cũng ko biết các SP có bật cho mình không.
                  Đặng Quang Minh, CCIEx2#11897 (Enterprise Infrastructure, Wireless), DEVNET, CCSI#31417

                  Email : dangquangminh@vnpro.org
                  https://www.facebook.com/groups/vietprofessional/

                  Comment

                  • #10
                    Có lý. Thanks thầy.

                    Comment

                    • #11
                      Anh Minh cho em hỏi,

                      Việc chỉnh MTU size như anh nói ở trên thì thực hiện trên router hay trên thiết bị VPN?
                      Giả sử em làm trên 2 thiết bị riêng biệt là router internet và ipsec device.

                      Thanks anh!

                      Comment

                      • #12
                        Xin chào Thầy Minh và các bạn,

                        Mình có 1 vấn đề cũng tương tự, lần đầu tiên sử dụng OfficeWan của Viettel thay cho dùng Leased line (tốn tiền quá).
                        Đã cấu hình GRE over IPSec (transport mode) cho Site trung tâm và chi nhánh mới. Cho mình hỏi là khi Apply IPSec thì mình dùng lệnh cryto map apply cho Interface vật lý hay là Interface Tunnel. (Kiến thức chỗ này chưa tốt). Hiện tại thì apply cho Interface vật lý.
                        Về vấn đề MTU và MSS, nếu thì phải cấu hình như thế nào cho đúng, theo hướng dẫn trên của Thầy Minh thì setup mtu = 1476 vậy thì set trên Interface nào.
                        Vì hiện tại trên router của mình thi MTU tunnel = 17916, MTU trên FE Interfacr thì mặc định là 1500.

                        Cám ơn nhiều.

                        Comment

                        • #13
                          cryto map apply trên Interface Tunnel bạn.khi nào bị mất gói mới chỉnh mtu,

                          Thanks,
                          Hugo

                          Comment

                          • #14
                            Thầy Minh có thể giải thích chi tiết hơn một chút đc ko ạ, vì sao lại set mtu là 1476 (vì overhead của IPSec là 24 byte ?). Em có config IPSec qua MegaWan (ko có GRE) nhưng tạo trên interface Vlan (ko thay đổi đc MTU) và rất hay gặp vấn đề trên. Em dùng ip tcp adjust-mss thì có đc ko thầy? Rất mong thầy giảng chi tiết hơn. Cám ơn thầy nhiều

                            Comment

                            • #15
                              Originally posted by thanhnam0707 View Post
                              cryto map apply trên Interface Tunnel bạn.khi nào bị mất gói mới chỉnh mtu,

                              Thanks,
                              Theo mình nghĩ thì apply cryto map vào interface vật lý (atm0, S0 chẳng hạn) còn chỉnh mtu là chỉnh đối với interface tunnel.
                              Rất cảm ơn bạn Vuasutu đã post topic này, và cảm ơn thầy Minh trả lời rất chi tiết.

                              Comment

                              Previous 1 2 template Next
                              Working...
                              X