VPN+NAT+iptables

[sash-kan]

ты меня и натолкнул

да? видимо, пьяный был, не помню. но про таблицу mangle в man iptables чёрным по белому написано.

yanik
pppoe и mtu 1500 — несовместимые понятия. попробуйте порулить этим интерфейсом, смотрящим на модем.
если уменьшение mtu на этом интерфейсе не поможет, можно опробовать другие параметры. например, размер tcp window: http://sash-kan.blogspot.com/2008/07/pmtu-mss.html
и, кстати, ответа на вопрос — видны ли ответные пакеты на syn-пакеты клиентов, вы не дали.

[yanik]

Извиняюсь!!! Ответные пакетики есть, но только первые биты - дальше ничего не грузит. По поводу порулить с mtu на интерфейсе что смотрит на модем - пробовал, ничего не помогло.
pppoe и mtu 1500 - понятия совместимы, так как если бы сам сервер поднимал ррр соединения на провайдера, а не модем, то можно было бы рулить mtu в настройках pppoe клиента. А вот за ссылку спасибо, буду читать.

[sash-kan]

mtu можно специфицировать для любого интерфейса.

кстати, если интересно, можете поковыряться с некоторыми ядерными параметрами из /proc/sys/net/ipv4/. навроде:
ip_no_pmtu_disc
tcp_mtu_probing

[yanik]

Вот еще кусочек лога tcpdump-а

Код: Выделить всё

01:14:42.888733 IP (tos 0x0, ttl 128, id 32620, offset 0, flags [DF], proto TCP (6), length 48) 10.0.0.2.2658 > hb-in-f147.google.com.http: S, cksum 0x12f2 (correct), 2744636981:2744636981(0) win 16384 <mss 1360,nop,nop,sackOK>
01:14:42.968570 IP (tos 0x0, ttl 50, id 50276, offset 0, flags [none], proto TCP (6), length 48) hb-in-f147.google.com.http > 10.0.0.2.2658: S, cksum 0x5e65 (correct), 1858957072:1858957072(0) ack 2744636982 win 5720 <mss 1430,nop,nop,sackOK>
01:14:42.969786 IP (tos 0x0, ttl 128, id 32622, offset 0, flags [DF], proto TCP (6), length 40) 10.0.0.2.2658 > hb-in-f147.google.com.http: ., cksum 0x5c53 (correct), 1:1(0) ack 1 win 17680
01:14:42.974600 IP (tos 0x0, ttl 128, id 32624, offset 0, flags [DF], proto TCP (6), length 704) 10.0.0.2.2658 > hb-in-f147.google.com.http: P 1:665(664) ack 1 win 17680
01:14:43.068297 IP (tos 0x0, ttl 50, id 50277, offset 0, flags [none], proto TCP (6), length 40) hb-in-f147.google.com.http > 10.0.0.2.2658: ., cksum 0x84db (correct), 1:1(0) ack 665 win 6640
01:14:43.082059 IP (tos 0x0, ttl 50, id 50278, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:43.082383 IP (tos 0x0, ttl 50, id 50278, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:43.084484 IP (tos 0x0, ttl 50, id 50279, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1431:2691(1260) ack 665 win 6640
01:14:43.084826 IP (tos 0x0, ttl 50, id 50279, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:43.084988 IP (tos 0x0, ttl 50, id 50280, offset 0, flags [none], proto TCP (6), length 481) hb-in-f147.google.com.http > 10.0.0.2.2658: P 2861:3302(441) ack 665 win 6640
01:14:43.087270 IP (tos 0x0, ttl 128, id 32626, offset 0, flags [DF], proto TCP (6), length 52) 10.0.0.2.2658 > hb-in-f147.google.com.http: ., cksum 0x4fd5 (correct), 665:665(0) ack 1 win 17680 <nop,nop,sack 1 {2861:3302}>
01:14:43.362731 IP (tos 0x0, ttl 50, id 50281, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:43.363055 IP (tos 0x0, ttl 50, id 50281, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:43.893949 IP (tos 0x0, ttl 50, id 50282, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:43.894280 IP (tos 0x0, ttl 50, id 50282, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:44.924277 IP (tos 0x0, ttl 50, id 50283, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:44.924607 IP (tos 0x0, ttl 50, id 50283, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:46.116797 IP (tos 0x0, ttl 51, id 62346, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2656: . 963187505:963188765(1260) ack 1871444380 win 6640
01:14:46.117153 IP (tos 0x0, ttl 51, id 62346, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:46.455768 IP (tos 0x0, ttl 50, id 50284, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:46.456094 IP (tos 0x0, ttl 50, id 50284, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:48.486971 IP (tos 0x0, ttl 50, id 50285, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:48.487301 IP (tos 0x0, ttl 50, id 50285, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:14:52.548488 IP (tos 0x0, ttl 50, id 50286, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:14:52.548820 IP (tos 0x0, ttl 50, id 50286, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp
01:15:00.675662 IP (tos 0x0, ttl 50, id 50287, offset 0, flags [+], proto TCP (6), length 1300) hb-in-f147.google.com.http > 10.0.0.2.2658: . 1:1261(1260) ack 665 win 6640
01:15:00.675999 IP (tos 0x0, ttl 50, id 50287, offset 1280, flags [none], proto TCP (6), length 190) hb-in-f147.google.com > 10.0.0.2: tcp

кстати это и есть тот самый гугл на который не желает заходить.
ну этот сайт не один, просто как пример.

да.....и кстати это все с дистрибутивом генту =)))