Проблема в работе шлюза на Debian 12

ответ - tcp mss clamping, через PPPoE не лезут пакеты по 1500 байт

уменьшил на все интерфейсы mtu = 1492 проблема не решилась, или делаю что то не так?

делаете не так, необходимо осуществить mss clamping средствами firewall на шлюзе. Или уменьшить MTU на конечном клиенте (если быть совсем точным)

Например попробовать

iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

А разрешить ICMP-ответы «fragmentation required» не вариант? Так-то участок с узким MTU может попасться где угодно на маршруте.

А разрешить ICMP-ответы «fragmentation required» не вариант?

Нет. Их по дороге зарубят.

добавил два правила nft 'add rule ip mangle FORWARD tcp flags syn / syn,rst counter tcp option maxseg size set rt mtu' nft 'add rule ip mangle POSTROUTING tcp flags syn / syn,rst counter tcp option maxseg size set rt mtu'

не помогло вот правила:

/usr/sbin/nft list ruleset table inet filter { chain input { type filter hook input priority filter; policy accept; }

chain forward { type filter hook forward priority filter; policy accept; }

chain output { type filter hook output priority filter; policy accept; } } table ip nat { chain postrouting { type nat hook postrouting priority srcnat; policy accept; masquerade }

chain prerouting { type nat hook prerouting priority dstnat; policy accept; } } table ip mangle { chain forward { tcp flags syn / syn,rst counter packets 0 bytes 0 tcp option maxseg size set rt mtu }

chain postrouting { tcp flags syn / syn,rst counter packets 0 bytes 0 tcp option maxseg size set rt mtu } }

Debian 12. Настроен для работы в качестве шлюза

настроен как шлюз, на нем стоит Debian 9

У пользователей работающих через шлюз

через какой

пока настраивается пк с debian 12, остальные сидят через Debian 9 на другом ip адресе

счетчики попадания в правила меняются?

в результатах вывода команды nft list ruleset никаких изменений нет после попыток открыть сайты

значит трафик идет минуя этот узел

попробовал открыть яндекс майл и другие сайты, яндекс и майл загрузился быстро но в статистику не попал. как понять маршрут трафика? или как пустить его через nftables (он стоит по умолчанию). система установлена чистая с диска.

deb дистрибутивы не использую по религиозным соображениям, поэтому подсказать не смогу. Но природа не открывающихся сайтов в TCP MSS. Почему нет попаданий или не работают счетчики - хз. Попробуйте сделать conntrack -F

ощущение такое, что nftables не обрабатывает трафик. служба nftables запущена, правила в таблице есть, но не обрабатывает трафик

результат выполнения команды: /usr/sbin/conntrack -F conntrack v1.4.7 (conntrack-tools): connection tracking table has been emptied.

как понять маршрут трафика?

traceroute показывай.

А вообще давай сюда сетевые настройки шлюза и клиента, с которого все проверяешь (адреса, маршрутизацию).

Служба nftables - это лишь скрипт, который загружает правила в ядро при запуске и выгружает при остановке.

Управлением трафиком занимается ядро Линукс. Ты можешь вообще остановить службу и загрузить правила руками в ядро и будет работать точно так же.

попробовал отключить службу nftables. перестали открываться яндекс и майл. потом попробовал очистить все правила nftables с включенной службой. яндекс и майл по прежнему не открываются. добавил в правила masquerade. яндекс и майл заработали. значит фаервол работает и обрабатывает правила, осталось написать правильное правило для tcp mss. отконвертированые правила из iptables в nftables не сработали.

трассировка с клиента под windows

(адрес шлюза 10.1.1.119)

tracert 2ip.ru

Трассировка маршрута к 2ip.ru [195.201.201.35] с максимальным числом прыжков 30:

1 4 ms <1 мс <1 мс 10.1.1.119

2 1 ms 1 ms <1 мс 172.21.191.253

3 1 ms 1 ms 1 ms lag-3-438.bgw01.omsk.ertelecom.ru [109.194.120.30]

4 * * * Превышен интервал ожидания для запроса.

5 80 ms 80 ms 80 ms 188-234-140-9.ertelecom.ru [188.234.140.9]

6 76 ms 76 ms 76 ms core21.fsn1.hetzner.com [213.239.224.97]

7 86 ms 84 ms 84 ms 213-239-252-110.clients.your-server.de [213.239.252.110]

8 75 ms 75 ms 76 ms static.35.201.201.195.clients.your-server.de [195.201.201.35]

Трассировка завершена.

добавил то же правило в раздел inet filter forward, все заработало ,все сайты стали открываться. в общем проблема снята. хотя трассировка по прежнему показывает прерывание по ожиданию на 4 шаге.

вот рабочая секция правил nftables:

table inet filter {

    chain input {

            type filter hook input priority filter; policy accept;

}

    chain forward {

            type filter hook forward priority filter; policy accept;

            tcp flags syn / syn,rst counter packets 0 bytes 0 tcp option maxseg size set rt mtu

    }

    chain output {

            type filter hook output priority filter; policy accept;

    }

}

Поставь на сервер SQid (10 минут). И проблемы исчезнут.

А для нужнух людей которым нужен Полный Инет просто настрой iptables. Скриптом в загрузке это будет сделать проще.

SQid

А это что за зверь? Можно ссылочку?
Хотя после «нужнух» кажется догадался, что речь про кальмара.