Trục trặc IPSec over GRE trên đường MegaWAN

[77lionking77]

Chào các bạn,

Có 1 vấn đề đau đầu mình đang gặp phải, mô hình của mình gồm có 1 site chính và 3 site con, tổng cộng 4 router (1 con 3800, 3 con 2800).
Tại mỗi site đều dùng MegaWAN.
Tất cả các site con đều dùng Tunnel trên MegaWAN nối về site chính.
Bình thường đề chạy Tunnel thì không sao, mọi chuyện đều bình thường, nhưng khi mình áp IPSec over GRE trên tất cả 4 con thì bắt đầu có chuyện, cứ ping khoảng 10 gói thì bị rớt 1 gói, mình cũng đã gọi điện hỏi thông số mtu trên VTN (trả lời mtu=1500) và mình đã set ip mtu=1500 thì tình hình có khả quan hơn, khoảng 40 gói thì bị rớt 1 gói. Nhưng không biết set mtu vậy đã đúng chưa, và có cách nào khắc phục lỗi trên không?
Mong các thầy và các bạn giúp đỡ!

[dangquangminh]

bạn chỉnh MTU xuống thấp thêm nữa:

ip mtu 1476

[77lionking77]

Cảm ơn anh, mình sẽ thử config lại xem!

[dangquangminh]

tình hình vụ này sao rồi bạn lionking?

[77lionking77]

Mình đã congfig lại và chạy ngon lành, test khi dữ liệu truyền ít thì mtu=1500 chạy ok, khi truyền nhiều thì bắt buộc phải set thành 1476 chạy mới ổn.
Đây cũng là 1 kinh nghiệm khi chạy IPSec trên đường MegaWAN.

Một lần nữa cảm ơn anh Minh!

[nganvt]

Em xin chao cac thay va cac ban a.
Em chua biet cau hinh GRE over IP sec trong megaWAN, hic.
Em co the xin cac Thay va cac ban file config su dung trong GNS duoc ko a.
Mong cac thay va cac ban giup do em. Em dang giai doan tim hieu ma.
EM xin cam on rat nhieu a.

[dangquangminh]

Bạn xem tập hợp 47 bài lab IPSec có thể làm trên GNS3:

http://vnpro.org/forum/showthread.php?t=16406

[tonee]

Thầy ơi,

Ta dùng lệnh tunnel path-mtu-discovery thay cho ip mtu 1476 duoc ko?

[dangquangminh]

nếu muốn dùng lệnh này thì tất cả các router dọc đường đi phải bật PMTU. Mà các router này về nguyên tắc mình đâu control được & cũng ko biết các SP có bật cho mình không.

[tonee]

Có lý. Thanks thầy.

[blackholesun]

Anh Minh cho em hỏi,

Việc chỉnh MTU size như anh nói ở trên thì thực hiện trên router hay trên thiết bị VPN?
Giả sử em làm trên 2 thiết bị riêng biệt là router internet và ipsec device.

Thanks anh!

[danghuytung]

Xin chào Thầy Minh và các bạn,

Mình có 1 vấn đề cũng tương tự, lần đầu tiên sử dụng OfficeWan của Viettel thay cho dùng Leased line (tốn tiền quá).
Đã cấu hình GRE over IPSec (transport mode) cho Site trung tâm và chi nhánh mới. Cho mình hỏi là khi Apply IPSec thì mình dùng lệnh cryto map apply cho Interface vật lý hay là Interface Tunnel. (Kiến thức chỗ này chưa tốt). Hiện tại thì apply cho Interface vật lý.
Về vấn đề MTU và MSS, nếu thì phải cấu hình như thế nào cho đúng, theo hướng dẫn trên của Thầy Minh thì setup mtu = 1476 vậy thì set trên Interface nào.
Vì hiện tại trên router của mình thi MTU tunnel = 17916, MTU trên FE Interfacr thì mặc định là 1500.

Cám ơn nhiều.

[thanhnam0707]

cryto map apply trên Interface Tunnel bạn.khi nào bị mất gói mới chỉnh mtu,

Thanks,

[bonghe]

Thầy Minh có thể giải thích chi tiết hơn một chút đc ko ạ, vì sao lại set mtu là 1476 (vì overhead của IPSec là 24 byte ?). Em có config IPSec qua MegaWan (ko có GRE) nhưng tạo trên interface Vlan (ko thay đổi đc MTU) và rất hay gặp vấn đề trên. Em dùng ip tcp adjust-mss thì có đc ko thầy? Rất mong thầy giảng chi tiết hơn. Cám ơn thầy nhiều

[songocu_xayda]

cryto map apply trên Interface Tunnel bạn.khi nào bị mất gói mới chỉnh mtu,

Thanks,

Theo mình nghĩ thì apply cryto map vào interface vật lý (atm0, S0 chẳng hạn) còn chỉnh mtu là chỉnh đối với interface tunnel.
Rất cảm ơn bạn Vuasutu đã post topic này, và cảm ơn thầy Minh trả lời rất chi tiết.