IPSECVPN的监控里，丢包显示MTU检测失败
- 0关注
- 0收藏，236浏览
问题描述：
AI 60防火墙，与 AK1020 建立了IPSEC VPN ，在IPSECVPN 监控里，丢包显示MTU检测失败
如下图。麻烦看看这个问题要怎么解决。谢谢
- 2024-08-08提问
- 举报
-
(0)
ipsec MTU check failure丢包（现象就是可能IPSec传输大文件失败等），可能是IPSec报文不分片导致的；
A．ipsec global-df-bit命令用来为所有接口设置IPsec封装后外层IP头的DF位；
ipsec global-df-bit { clear | copy | set }中，clear：表示清除外层IP头的DF位，IPsec封装后的报文可被分片；copy：表示外层IP头的DF位从原始报文IP头中拷贝；set：表示设置外层IP头的DF位，IPsec封装后的报文不能分片；
IPSec报文不分片时，要求IPsec报文转发路径上各个接口的MTU大于IPsec报文长度，否则，会导致IPsec报文被丢弃。如果无法保证转发路径上各个接口的MTU大于IPsec报文长度，则建议清除DF位；
B．ipsec fragmentation命令用来配置IPsec分片功能；
ipsec fragmentation { after-encryption | before-encryption }中，after-encryption：表示开启IPsec封装后分片功能；before-encryption：表示开启IPsec封装前分片功能；
IPsec封装后分片功能处于开启状态时，无论报文封装后大小是否超过发送接口的MTU值，设备会直接对其先进行IPsec封装处理，再由后续业务对其进行分片；
C．ipsec MTU check error丢包，需要配置ipsec global-df-bit clear /ipsec fragmentation afer-encryption ，配置后看是否还有问题。
- 2024-08-08回答
- 评论(1)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
非常感谢，清理后，重新连IPSECVPN 后。已经正常。