LINUX.ORG.RU
Форум — Admin  

не устанавливается tcp сессия с http сервером

 , ,


0

1

Доброго времени суток, подскажите пожалуйста, куда копать. Есть два debian сервера (192.168.24.171 и 192.168.24.172), они NATятятся на роутере, и уходят в vpn-tunnel.

С одного сервера (192.168.24.172) tcp сессия с http сервером (192.168.202.250) устанавливается, со второго сервера (192.168.24.171) не устанавливается. Сделал дамп трафика, вижу, что ответов на запросы от 192.168.24.171 нет, пакеты уходят на NAT, далее в туннель (далее vpn роутер клиента, не знаю, что там происходит), но ответы от http сервера в vpn туннель, на моей стороне, не поступают. Посмотреть, что происходит на http сервере не могу, так как он установлен у клиента.

Вот дамп от сервера 192.168.24.171:

    192.168.24.171.42678 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x7439), seq 1711917739, win 29200, options [mss 1460,sackOK,TS val 22474478 ecr 0,nop,wscale 7], length 0
E..<..@..@...
..........Pr    ........r............
.V..........
15:28:33.883426 IP (tos 0x0, ttl 64, id 48920, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.42678 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x7337), seq 1711917739, win 29200, options [mss 1460,sackOK,TS val 22474736 ecr 0,nop,wscale 7], length 0
E..<..@..@...
..........Pr    ........r............
.V..........
15:28:35.899413 IP (tos 0x0, ttl 64, id 48921, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.42678 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x713f), seq 1711917739, win 29200, options [mss 1460,sackOK,TS val 22475240 ecr 0,nop,wscale 7], length 0
E..<..@..@...
..........Pr    ........r............
.V..........
15:28:40.091448 IP (tos 0x0, ttl 64, id 48922, offset 0, flags [DF], proto TCP (6), length 60)

и так далее….

дамп трафика с 192.168.24.172:

192.168.24.172.39590 > 192.168.202.250.443: Flags [S], cksum 0x99e5 (incorrect -> 0x0f5f), seq 3107472810, win 29200, options [mss 1460,sackOK,TS val 770466729 ecr 0,nop,wscale 7], length 0
E..>S*@.@.M.
.............7A.......r.............
-.b.........
15:16:31.029772 IP (tos 0x0, ttl 50, id 0, offset 0, flags [none], proto TCP (6), length 60)
    192.168.202.250.443 > 192.168.24.172.39590: Flags [S.], cksum 0x92a6 (correct), seq 3460954580, ack 3107472811, win 14480, options [mss 1395,sackOK,TS val 3786804371 ecr 770466729,nop,wscale 7], length 0
E..f....2.......
........I...8C...8........s...
....-.d.....
15:16:31.029826 IP (tos 0x10, ttl 64, id 21291, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.39590 > 192.168.202.250.443: Flags [.], cksum 0x99dd (incorrect -> 0xf8b8), seq 1, ack 1, win 229, options [nop,nop,TS val 770466765 ecr 3786804371], length 0
E..6S+@.@.M.
............8E..I.............
-.c.....
15:16:34.031264 IP (tos 0x10, ttl 64, id 21292, offset 0, flags [DF], proto TCP (6), length 57)
    192.168.24.172.39590 > 192.168.202.250.443: Flags [P.], cksum 0x99e2 (incorrect -> 0xe6ff), seq 1:6, ack 1, win 229, options [nop,nop,TS val 770469766 ecr 3786804371], length 5
E..8S,@.@.M.
............8E..I.............
-.o..........
15:16:34.067367 IP (tos 0x0, ttl 50, id 62793, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.443 > 192.168.24.172.39590: Flags [.], cksum 0xea76 (correct), seq 1, ack 6, win 114, options [nop,nop,TS val 3786805130 ecr 770469766], length 0
E..3.I..4.......
........I...9E....r.v.....
....-.o.

по icmp сервер доступен:

root@deb171:/home/user# ping -M do 192.168.202.250 -s 1472
PING 192.168.202.250 (192.168.202.250) 1472(1500) bytes of data.
1480 bytes from 192.168.202.250: icmp_seq=1 ttl=50 time=47.7 ms
1480 bytes from 192.168.202.250: icmp_seq=2 ttl=50 time=47.3 ms
1480 bytes from 192.168.202.250: icmp_seq=3 ttl=50 time=47.2 ms
^C
--- 192.168.202.250 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 47.253/47.442/47.738/0.328 ms
root@deb171:/home/user# ping -M do 192.168.202.250 -s 1473
PING 192.168.202.250 (192.168.202.250) 1473(1501) bytes of data.
ping: local error: Message too long, mtu=1500
ping: local error: Message too long, mtu=1500
^C
--- 192.168.202.250 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 1003ms


Последнее исправление: bognad (всего исправлений: 1)
← Низкая производительность веб-сервера gunicorn (python) на BSD (Free и Open)
Checkpoint + CentOS8 →

Ответ на: комментарий от mky

Потому что проверял через wget, со 172го при коннекте происходит перенаправление с http на https, а 171й приконнектится не может

bognad
() автор топика

root@deb171:/home/user# ping -M do 192.168.202.250 -s 1472 root@deb171:/home/user# ping -M do 192.168.202.250 -s 1473

я так понимаю это два разных сервера, а почему prompt одинаковый? в чем смысл менять размер пакета в байтах на единицу? Нужно больше информации.

anonymous
()
Ответ на: комментарий от anonymous

Я теряюсь в причинах такой ситуации, не подскажете, какую информацию приложить?

bognad
() автор топика
Ответ на: комментарий от anonymous

Нет, это один и тот же сервер. На единицу менял, что бы было понятно, какой максимальный размер пакета без фрагментации пролазит в туннель.

Не понял, про promt?

bognad
() автор топика
Ответ на: комментарий от mky

Если это поможет:

коннект с 192.168.24.171 по 80, нет ответов от сервера 192.168.202.250:

13:07:10.927041 IP (tos 0x10, ttl 64, id 29516, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x8712), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106753387 ecr 0,nop,wscale 7], length 0
E..<sL@.@.-.
..........P-.........r............
.\.k........
13:07:11.938803 IP (tos 0x10, ttl 64, id 29517, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x8615), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106753640 ecr 0,nop,wscale 7], length 0
E..<sM@.@.-.
..........P-.........r............
.\.h........
13:07:13.954794 IP (tos 0x10, ttl 64, id 29518, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x841d), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106754144 ecr 0,nop,wscale 7], length 0
E..<sN@.@.-.
..........P-.........r............
.\.`........
13:07:18.178832 IP (tos 0x10, ttl 64, id 29519, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x7ffd), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106755200 ecr 0,nop,wscale 7], length 0
E..<sO@.@.-.
..........P-.........r............
.\..........
13:07:26.370830 IP (tos 0x10, ttl 64, id 29520, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x77fd), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106757248 ecr 0,nop,wscale 7], length 0
E..<sP@.@.-.
..........P-.........r............
.\..........
13:07:42.498942 IP (tos 0x10, ttl 64, id 29521, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.35864 > 192.168.202.250.80: Flags [S], cksum 0x99e4 (incorrect -> 0x683d), seq 771360509, win 29200, options [mss 1460,sackOK,TS val 106761280 ecr 0,nop,wscale 7], length 0
E..<sQ@.@.-.
..........P-.........r............
.].@........

коннект с 192.168.24.171 по 443ему, нет ответов от сервера 192.168.202.250:

13:07:47.333710 IP (tos 0x10, ttl 64, id 49884, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.34408 > 192.168.202.250.443: Flags [S], cksum 0x99e4 (incorrect -> 0xa08d), seq 116061513, win 29200, options [mss 1460,sackOK,TS val 106762488 ecr 0,nop,wscale 7], length 0
E..<..@.@...
........h.....I......r............
.]..........
13:07:48.354818 IP (tos 0x10, ttl 64, id 49885, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.34408 > 192.168.202.250.443: Flags [S], cksum 0x99e4 (incorrect -> 0x9f8d), seq 116061513, win 29200, options [mss 1460,sackOK,TS val 106762744 ecr 0,nop,wscale 7], length 0
E..<..@.@...
........h.....I......r............
.]..........
13:07:50.370827 IP (tos 0x10, ttl 64, id 49886, offset 0, flags [DF], proto TCP (6), length 60)
   192.168.24.171.34408 > 192.168.202.250.443: Flags [S], cksum 0x99e4 (incorrect -> 0x9d95), seq 116061513, win 29200, options [mss 1460,sackOK,TS val 106763248 ecr 0,nop,wscale 7], length 0
E..<..@.@...
........h.....I......r............
.]..........
13:07:54.530831 IP (tos 0x10, ttl 64, id 49887, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.171.34408 > 192.168.202.250.443: Flags [S], cksum 0x99e4 (incorrect -> 0x9985), seq 116061513, win 29200, options [mss 1460,sackOK,TS val 106764288 ecr 0,nop,wscale 7], length 0
E..<..@.@...
........h.....I......r............
.]..........
bognad
() автор топика
Ответ на: комментарий от mky

Успешные коннекты с другого сервера:

коннект с 192.168.24.172 по 80:

17:07:12.148175 IP (tos 0x10, ttl 64, id 14020, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.172.47326 > 192.168.202.250.80: Flags [S], cksum 0x99e5 (incorrect -> 0x9cd0), seq 2175925957, win 29200, options [mss 1460,sackOK,TS val 1122706135 ecr 0,nop,wscale 7], length 0
E..<6.@.@.j1
..........P..........r............
B.".........
17:07:12.184340 IP (tos 0x0, ttl 50, id 0, offset 0, flags [none], proto TCP (6), length 60)
    192.168.202.250.80 > 192.168.24.172.47326: Flags [S.], cksum 0x8ae7 (correct), seq 1213294910, ack 2175925958, win 14480, options [mss 1395,sackOK,TS val 3874861843 ecr 1122706135,nop,wscale 7], length 0
E..<....2.......
....P..HQi>......8........s...
....B.".....
17:07:12.184395 IP (tos 0x10, ttl 64, id 14021, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.47326 > 192.168.202.250.80: Flags [.], cksum 0x99dd (incorrect -> 0xf0f9), seq 1, ack 1, win 229, options [nop,nop,TS val 1122706171 ecr 3874861843], length 0
E..46.@.@.j8
..........P....HQi?...........
B.".....
17:07:15.705670 IP (tos 0x10, ttl 64, id 14022, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.47326 > 192.168.202.250.80: Flags [F.], cksum 0x99dd (incorrect -> 0xe337), seq 1, ack 1, win 229, options [nop,nop,TS val 1122709692 ecr 3874861843], length 0
E..46.@.@.j7
..........P....HQi?...........
B.0.....
17:07:15.742494 IP (tos 0x0, ttl 50, id 55842, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.80 > 192.168.24.172.47326: Flags [F.], cksum 0xe02f (correct), seq 1, ack 2, win 114, options [nop,nop,TS val 3874862733 ecr 1122709692], length 0
E..4."..2.......
....P..HQi?.......r./.....
....B.0.
17:07:15.742542 IP (tos 0x10, ttl 64, id 14023, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.47326 > 192.168.202.250.80: Flags [.], cksum 0x99dd (incorrect -> 0xdf97), seq 2, ack 2, win 229, options [nop,nop,TS val 1122709729 ecr 3874862733], length 0
E..46.@.@.j6
..........P....HQi@...........
B.0.....

коннект с 192.168.24.172 по 443:

17:12:28.055689 IP (tos 0x10, ttl 64, id 59491, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.172.38614 > 192.168.202.250.443: Flags [S], cksum 0x99e5 (incorrect -> 0xe8fa), seq 1845630177, win 29200, options [mss 1460,sackOK,TS val 1123022041 ecr 0,nop,wscale 7], length 0
E..<.c@.@...
...........n.........r............
B...........
17:12:28.092021 IP (tos 0x0, ttl 50, id 0, offset 0, flags [none], proto TCP (6), length 60)
    192.168.202.250.443 > 192.168.24.172.38614: Flags [S.], cksum 0x37fc (correct), seq 435552815, ack 1845630178, win 14480, options [mss 1395,sackOK,TS val 3874940818 ecr 1123022041,nop,wscale 7], length 0
E..<....2.......
........../n.....8.7......s...
....B.......
17:12:28.092060 IP (tos 0x10, ttl 64, id 59492, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.38614 > 192.168.202.250.443: Flags [.], cksum 0x99dd (incorrect -> 0x9e0e), seq 1, ack 1, win 229, options [nop,nop,TS val 1123022077 ecr 3874940818], length 0
E..4.d@.@...
...........n......0...........
B.......
17:12:33.381005 IP (tos 0x10, ttl 64, id 59493, offset 0, flags [DF], proto TCP (6), length 58)
    192.168.24.172.38614 > 192.168.202.250.443: Flags [P.], cksum 0x99e3 (incorrect -> 0xa163), seq 1:7, ack 1, win 229, options [nop,nop,TS val 1123027366 ecr 3874940818], length 6
E..:.e@.@...
...........n......0...........
B.      .....quit

17:12:33.417191 IP (tos 0x0, ttl 50, id 58795, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.443 > 192.168.24.172.38614: Flags [.], cksum 0x849f (correct), seq 1, ack 7, win 114, options [nop,nop,TS val 3874942149 ecr 1123027366], length 0
E..4....2.      b....
..........0n......r.......
....B.  .
17:12:33.417308 IP (tos 0x0, ttl 50, id 58796, offset 0, flags [none], proto TCP (6), length 392)
    192.168.202.250.443 > 192.168.24.172.38614: Flags [P.], cksum 0x8994 (correct), seq 1:341, ack 7, win 114, options [nop,nop,TS val 3874942149 ecr 1123027366], length 340
E.......2.......
..........0n......r.......
....B.  .HTTP/1.1 400 Bad Request
Server: nginx/1.13.2
Date: Tue, 08 Sep 2020 16:52:59 GMT
Content-Type: text/html; charset=utf-8
Content-Length: 173
Connection: close

<html>
<head><title>400 Bad Request</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<hr><center>nginx/1.13.2</center>
</body>
</html>

17:12:33.417324 IP (tos 0x10, ttl 64, id 59494, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.38614 > 192.168.202.250.443: Flags [.], cksum 0x99dd (incorrect -> 0x82ac), seq 7, ack 341, win 237, options [nop,nop,TS val 1123027402 ecr 3874942149], length 0
E..4.f@.@...
...........n..................
B.      .....
17:12:33.417343 IP (tos 0x0, ttl 50, id 58797, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.443 > 192.168.24.172.38614: Flags [F.], cksum 0x834a (correct), seq 341, ack 7, win 114, options [nop,nop,TS val 3874942149 ecr 1123027366], length 0
E..4....2.      `....
...........n......r.J.....
....B.  .
17:12:33.417678 IP (tos 0x10, ttl 64, id 59495, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.172.38614 > 192.168.202.250.443: Flags [F.], cksum 0x99dd (incorrect -> 0x82a9), seq 7, ack 342, win 237, options [nop,nop,TS val 1123027403 ecr 3874942149], length 0
E..4.g@.@...
...........n..................
B.      .....
17:12:33.453898 IP (tos 0x0, ttl 50, id 58798, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.443 > 192.168.24.172.38614: Flags [.], cksum 0x831b (correct), seq 342, ack 8, win 114, options [nop,nop,TS val 3874942158 ecr 1123027403], length 0
E..4....2.      _....
...........n......r.......
....B.  .
bognad
() автор топика
Ответ на: комментарий от symon2014

Спасибо, но с mtu похоже проблем нет, на обоих серверах одинаковое значение mtu. Плюс на проблемном я уменьшал mtu до 1400.

bognad
() автор топика
Ответ на: комментарий от bognad

ну а до самого ната твоего пинг хоть ходит? тут как бы вариантов не так много, вообще как работает сеть безотносительно именно этого сервера, лубой другой ресурс в той же подсети что и сервер пингуется, где правила по которым работает нат? Не настроен ли сервер так, что отбрасывает соединения от любого хоста который не первый сервер с которого соединение работает нормально? Возможность посмотреть логи сервера до которого вы стучитесь у вас есть? Ищущий да обрящет.

anonymous
()
Ответ на: комментарий от anonymous

прочитал еще раз стартовое сообщение, ну так видимо ваш клиент просто указал в белый лист один сервер и вы тут разбиваете лоб, проксируйте через один, или попросите добавить и второй в белый лист.

anonymous
()
Ответ на: комментарий от bognad

По заголовкам пакеты идентичные. Я бы ковырял маршрутизатор. Если он, как задумано, делат NAT этим обоим серверам, то http-сервер у клиента не сможет определить от какого из серверов идёт запрос, не сможет выборочно игнорить один из серверов.

Может маршрутизатор фильтрует трафик, может NAT для 192.168.24.171 не делает. Если там нет возможности дампить пакеты, смотреть счётчики правил и т.д., можете попробовать поднять у себя vpn-сервер. Временно сменить на маршрутизаторе только настройки vpn, чтобы он цеплялся к вашему VPN и посмотреть, что выходит из тунеля.

mky ★★★★★
()
Ответ на: комментарий от deep-purple

смотрел, но честно говоря с tcpflow не работал, никакой полезной информации не нашел - что в tcpdump, что в tcpflow одинаковая информация, нет коннекта с 192.168.24.171

bognad
() автор топика
Ответ на: комментарий от anonymous

Да,icmp до самого клиентского сервера доходит, tcp в туннель уходит. Следовательно NAT работает. Более того, сейчас даже заменил сервер другим, выставил на нем ip нерабочего… доступ по http есть. Значит загвоздка в настройках tcp самого сервера?

К большому сожалению не могу получить ни доступ к серверу, ни к логам vpn заказчика(

bognad
() автор топика
Ответ на: комментарий от mky

по icmp web сервер отвечает, значит NAT натит. tcp пакеты уходят в туннель… Заменил проблемный сервер, т.е. выставил на новом 192.168.24.171 - доступ к веб серверу есть. Конфиг tcp стека? Можно что то посмотреть/сравнить?

bognad
() автор топика
Ответ на: комментарий от bognad

Судя по дампу, параметры tcp, с которыми сервера пытаются установить соединение идентичны. И обычно, при любых настройках tcp, какой-то ответ на SYN приходит.

Сервера физические или виртуальные? Дамп трафика снимается на серверах или на маршрутизаторе?

mky ★★★★★
()
Ответ на: комментарий от mky

Сервера виртуальные, дамп снимал как с nat, так и с vpn роутера, но разницы не увидел, не публиковал.

Странное поведение, перезагрузил проблемный сервер, связь с вебсервером есть. В дампе он c ip 192.168.24.184

13:02:11.580150 IP (tos 0x10, ttl 64, id 36878, offset 0, flags [DF], proto TCP (6), length 60)
    192.168.24.184.41116 > 192.168.202.250.443: Flags [S], cksum 0x99f1 (incorrect -> 0x59fe), seq 137764408, win 29200, options [mss 1460,sackOK,TS val 4192739200 ecr 0,nop,wscale 7], length 0
E..<..@.@...
............6.8......r............
............
13:02:11.616394 IP (tos 0x0, ttl 50, id 0, offset 0, flags [none], proto TCP (6), length 60)
    192.168.202.250.443 > 192.168.24.184.41116: Flags [S.], cksum 0xb864 (correct), seq 840112469, ack 137764409, win 14480, options [mss 1395,sackOK,TS val 3914376848 ecr 4192739200,nop,wscale 7], length 0
E..<....2.......
.......2..U.6.9..8..d.....s...
.P..........
13:02:11.616428 IP (tos 0x10, ttl 64, id 36879, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.184.41116 > 192.168.202.250.443: Flags [.], cksum 0x99e9 (incorrect -> 0x1e77), seq 1, ack 1, win 229, options [nop,nop,TS val 4192739236 ecr 3914376848], length 0
E..4..@.@...
............6.92..V...........
.....P..
13:02:13.825003 IP (tos 0x10, ttl 64, id 36880, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.184.41116 > 192.168.202.250.443: Flags [F.], cksum 0x99e9 (incorrect -> 0x15d5), seq 1, ack 1, win 229, options [nop,nop,TS val 4192741445 ecr 3914376848], length 0
E..4..@.@...
............6.92..V...........
..(E.P..
13:02:13.867373 IP (tos 0x0, ttl 50, id 49103, offset 0, flags [none], proto TCP (6), length 52)
    192.168.202.250.443 > 192.168.24.184.41116: Flags [F.], cksum 0x1415 (correct), seq 1, ack 2, win 114, options [nop,nop,TS val 3914377410 ecr 4192741445], length 0
E..4....2./2....
.......2..V.6.:...r.......
.P....(E
13:02:13.867399 IP (tos 0x10, ttl 64, id 36881, offset 0, flags [DF], proto TCP (6), length 52)
    192.168.24.184.41116 > 192.168.202.250.443: Flags [.], cksum 0x99e9 (incorrect -> 0x1378), seq 2, ack 2, win 229, options [nop,nop,TS val 4192741487 ecr 3914377410], length 0
E..4..@.@...
............6.:2..W...........
..(o.P..
bognad
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Низкая производительность веб-сервера gunicorn (python) на BSD (Free и Open)
Admin
Checkpoint + CentOS8 →