总部MSR5600与分部锐捷路由器对接IPSECvpn,ike sa 和ipsec sa都建立成功。目前双方只能ping通,分部不能调调取数据,所有的HTTP服务都打不开。接口抓包Ping包可以抓取到,但是分部调取总部业务,总部没有收到分部的数据包。查看两边的ipsec statistics 发现两端的MTU协商不一致,是这个原因导致的吗。
(0)
最佳答案
• 一种可能的原因是IPSec协议对数据包进行加密后,导致数据包长度超过了网络中设置的最大传输单元MTU(Maximum Transmission Unit),从而影响数据包的正常传输 https://www.cisco.com/c/zh_cn/support/docs/ip/generic-routing-encapsulation-gre/25885-pmtud-ipfrag.html。为了避免这种情况,您需要在本地数据中心配置用户MTU和公网接口MTU,使它们满足以下关系:
用户MTU的最大值=min{公网接口MTU,路径MTU}-101 # 101是IPsec协议为数据包加密后占用的最大字节数。
您可以通过查看两端的IPSec statistics来确认是否存在MTU协商不一致的问题。
• 另一种可能的原因是IPv4分段和重组机制导致的性能下降和数据丢失 ***.***/document_detail/119749.html。当数据包在传输过程中超过链路MTU时,会被分片发送,接收端需重组后再解析。这个过程会消耗CPU资源和内存资源,同时分片报文的加密和解密也会增加CPU负载。如果分片报文比例过大或者有分片丢失,可能会导致访问速度慢或者业务中断。为了避免这种情况,您可以通过设置TCP最大分段大小MSS(Maximum Segment Size)来限制数据包的大小,使其不被分段传输。MSS和用户MTU需保证以下关系:
MSS=用户MTU-IP数据包头部占用字节数(20字节)-TCP数据包头部占用字节数(20字节)
您可以通过在本地网关设备上配置MSS调整命令来实现MSS的设置。
• 还有一种可能的原因是防火墙或者其他网络设备对分片报文的处理方式不一致 ***.***/document_detail/119749.html。有些防火墙或者网络设备可能会阻止或者丢弃非初始分片报文,因为它们不包含足够的信息来进行过滤或者转发。这样就会导致接收端无法重组原始数据包,从而影响业务访问。为了避免这种情况,您可以检查防火墙或者网络设备的配置,确保它们能够正确处理分片报文。
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论