Двойной NAT и двойной VPN

У tcp много разных опций, tcp window scaling и т.д. Пинги разной длины до всех сайтов ходят?

Пинги ходят (пробовал i.ua и 4.2.2.4), но при размере больше 1000 wireshark пишет про их фрагментацию.

А при открывании сайтов тот же wireshark выдаёт кучу пакетов с пометкой «Bad TCP».

>С чем может быть проблема, кроме как с MTU?

А это и есть проблема с MTU. Причем, такое ощущение, что где-то криворукие админы запретили ICMP, в противном случае должен был сработать PMTU discovery.

ping -M do -s XXX Y.Y.Y.Y как себя ведет?

Кстати, в что за VPN?

Пропускает максимум 1272.

pptp

man -P 'less +/clamp-mss-to-pmtu' iptables пробовал?

Спасибо, заработало.

вообще насколько я понимаю - кривой нат на сервере 1, но как его исправлять я не в курсе (обычно у меня это был провайдер, от которого хрен чего добьешься), зато знаю какой костыль подставить на сервере 2, чтобы все заработало ;)

Я правильно понимаю, что нужного эффекта можно было бы добиться, вручную расставив MTU последовательно на всех интерфейсах в порядке убывания от сервера к клиенту?

вроде как да, во всяком случае у меня такое помогало.

>Пропускает максимум 1272.

Что-то кардинально мало. PPTP берет 20 байт на еще один IP заголовок, 12 байт на GRE и 2 байта на PPP. И даже с учетом того, что -s задает размер пейлоада ICMP, т.е. еще 8 байт ICMP плюс IP заголовок, то 1272 ну никак не может быть.

Кстати, а как именно не пропускает? Нет ответа на пинг, или ругань на MTU?

>Я правильно понимаю, что нужного эффекта можно было бы добиться

А вот это — чертовски интересный вопрос. VPN туннель у тебя уменьшает MTU, поэтому на интерфейсе нужно выставить меньшее значение, по идее. Но тогда у тебя будут страдать локальные сервисы на VPN сервере.

И как решать такую проблему — я лично не в курсе.

Ругань на фрагментацию.

Ну, решили уже вышеозначенным костылём.