Решение проблем при использовании GRE и IPsec

Решение проблем при использовании GRE и IPsec

В случаях инкапсуляции поступающих пакетов в GRE, а затем в IPsec, пользователь может столкнуться с проблемой передачи пакетов большого размера (длина пакета значительно увеличивается при добавлении GRE и IPsec заголовков). По умолчанию значение MTU на GRE-интерфейсе – 1400 байт. Значение MTU на физических интерфейсах – 1500 байт.

Может сложиться ситуация, при которой:

• оконечные устройства генерируют пакеты, в которых выставлен флаг DF (do not fragmentation) в IP заголовке;
• размер пакета больше, чем MTU GRE-интерфейса;
• ICMP-сообщение протокола PMTUD "Destination host Unreachable. Needed Fragment and DF set." по каким-то причинам до оконечного устройства не доходит.

В таком случае пакеты будут отбрасываться Шлюзом.

Существует несколько вариантов решения данной проблемы:

• снятие DF-флага с IP пакетов на «С-Терра Шлюз»;
• изменение значения MSS в TCP SYN пакетах для контроля максимального размера пакетов в соединении.