https://www.opennet.ru/openforum/vsluhforumID6/21267.html Всем привет!<br>Ситуация такая: есть роутер 2811 , на нем висят в инете человек 15-20, настроен NAT, канал 10Мбит. Так вот с некоторых сайтов не происходит закачка, вернее закачивает к примеру 1.5-2 метра и все... скорость падает к нулю.Причем с некорых тазиков закачивает нормально - с других не качает. Что может быть.... куда рыть. Какие дебаги включить чтоб причину найти. Подключал инет напрямую к тазику - все летает... короче в тупике.Помогите <br>Спасибо!<br>P.S<br>Проверял загрузку роутера - все в норме проц на 10 загружен. Да и канал свободен.<br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#15 Wed, 14 Jul 2010 08:54:51 GMT &gt;пинговать с looking glass большими пакетами ? <br>&gt;если выявится, то предьявлять провам <br><br>Нашол причину...... Короче говоря, когда отключаю ip inspect на интерфейсе (фильтрация по урлам) - все летает. Единственное не понятно: сайтов с которых идут "тормоза" нет в списке, да и если бы были - было бы сообщение Forbidden, а не падала скорость....<br>Что можете сказать по этому поводу? <br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#14 Thu, 08 Jul 2010 12:21:18 GMT пинговать с looking glass большими пакетами ?<br>если выявится, то предьявлять провам<br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#13 Thu, 08 Jul 2010 10:55:16 GMT &gt;[оверквотинг удален]<br>&gt;<br>&gt; 0 output errors, 0 collisions, 0 interface <br>&gt;resets <br>&gt; 11124 unknown protocol drops <br>&gt; 0 babbles, 0 late collision, 0 deferred <br>&gt;<br>&gt; 0 lost carrier, 0 no carrier, 11 <br>&gt;pause output <br>&gt; 0 output buffer failures, 0 output buffers <br>&gt;swapped out <br><br>включил дебаг icmp <br>и вот подтверждение по ходу на mtu<br><br><br>8 13:54:50.831 PCTime: ICMP: echo reply sent, src 82.144.206.154, dst 82.144.198.191 <br>002498: *Jul 8 13:54:51.247 PCTime: ICMP: dst (10.16.3.1) port unreachable rcv from 10.16.3.3 <br>002499: *Jul 8 13:54:52.247 PCTime: ICMP: dst (10.16.3.1) port unreachable rcv from 10.16.3.3 <br><br> 13:55:04.775 PCTime: ICMP: dst (10.16.1.3) frag. needed and DF set unreachable sent to 10.16.3.51 <br>002507: *Jul 8 13:55:06.247 PCTime: ICMP: dst (10.16.3.1) port unreachable rcv from 10.16.3.3 <br><br><br>13:55:42.539 PCTime: ICMP: dst (89.252.56.104) host unreachable rcv from 95.25.192.5 <br>002549: *Jul 8 13 https://www.opennet.ru/openforum/vsluhforumID6/21267.html#12 Thu, 08 Jul 2010 10:12:13 GMT &gt;show interface внешний в студию <br>&gt;прокси я полагаю нет <br><br>прокси нет<br><br><br>GigabitEthernet0/0 is up, line protocol is up<br> Hardware is MV96340 Ethernet, address is 001e.f767.2000 (bia 001e.f767.2000)<br> Internet address is 89.252.56.104/24<br> MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec,<br> reliability 255/255, txload 1/255, rxload 7/255<br> Encapsulation ARPA, loopback not set<br> Keepalive set (10 sec)<br> Full-duplex, 100Mb/s, media type is T<br> output flow-control is XON, input flow-control is XON<br> ARP type: ARPA, ARP Timeout 04:00:00<br> Last input 00:00:00, output 00:00:00, output hang never<br> Last clearing of "show interface" counters never<br> Input queue: 0/75/118/0 (size/max/drops/flushes); Total output drops: 0<br> Queueing strategy: fifo<br> Output queue: 0/40 (size/max)<br> 5 minute input rate 2758000 bits/sec, 355 packets/sec<br> 5 minute output rate 363000 bits/sec, 223 packets/sec<br> 40704179 packets input, 1545048992 bytes, 2 no buffer<br> Received 1355001 broadcasts, 0 runts, 0 giants, 0 https://www.opennet.ru/openforum/vsluhforumID6/21267.html#11 Thu, 08 Jul 2010 09:09:11 GMT show interface внешний в студию<br>прокси я полагаю нет<br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#10 Thu, 08 Jul 2010 08:36:12 GMT &gt;[оверквотинг удален]<br>&gt;&gt;про пиринговые сети где используется udp. Например не могу скачать с <br>&gt;&gt;www.openoffice.org инсталяху. Тут то ни при чем udp. <br>&gt;&gt;А.... еще на роутере есть еще один провайдер - через него все <br>&gt;&gt;работает в норме <br>&gt;<br>&gt;Если при работе FTP используется пассивный режим, то UDP порты выделяются динамически, <br>&gt;и <br>&gt;как следствие при имеющихся фильтрах на UDP вы в конце концов получаете <br>&gt;обрыв. Очень советую на время разрешить все соединения по udp и <br>&gt;проверить. <br><br>Включил я UDP - не помогло. После этого я циску выключил, подсоединил linksys - все летает. Видать проблемы с mtu. Я включил дебаг, но ошибок на фрагментацию пакетов не видел. Игрался со значением adjust-mss - без результатов.<br>Что посоветуете.<br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#9 Wed, 07 Jul 2010 08:49:17 GMT &gt;udp - прикрыты. Разрешены только для dns и ipsec.Но я не говорю <br>&gt;про пиринговые сети где используется udp. Например не могу скачать с <br>&gt;www.openoffice.org инсталяху. Тут то ни при чем udp. <br>&gt;А.... еще на роутере есть еще один провайдер - через него все <br>&gt;работает в норме <br><br>Если при работе FTP используется пассивный режим, то UDP порты выделяются динамически, и<br>как следствие при имеющихся фильтрах на UDP вы в конце концов получаете обрыв. Очень советую на время разрешить все соединения по udp и проверить. <br><br><br> https://www.opennet.ru/openforum/vsluhforumID6/21267.html#8 Wed, 07 Jul 2010 06:09:19 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;&gt;не помогло..... <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;Какой смысл фрагментировать пакеты в таком количестве? Вместо того, чтобы фрагментировать пакеты <br>&gt;&gt;&gt;попробуйте поставить ip tcp adjust-mss ххх на интерфейсе. <br>&gt;&gt;&gt;Может быть поможет. <br>&gt;&gt;<br>&gt;&gt;ip tcp adjust-mss - это не помогает тож.... еще варианты <br>&gt;<br>&gt;ну так отключи на GigabitEthernet0/0 no ip virtual-reassembly странно что у тебя <br>&gt;еще ipsec не поотваливался. <br><br>no ip virtual-reassembly - отключал (не помогает)<br>Что интересно когда никого нет в офисе (вечером) то все летает на ура. Такое ощущение что какая-то тварь завелась внутри сети. И еще.... периодически, просматривая списки списки трансляций вижу много "херовых" udp запросов на порт выше 1024<br>0.16.1.74:20374 71.195.138.93:18470 71.195.138.93:18470<br>udp 89.252.56.204:20374 10.16.1.74:20374 71.224.113.214:62665 71.224.113.214:62665<br>udp 89.252.56.204:20374 10.16.1.74:20374 72.68.198.202:59275 72.68.198.202:59275<br>udp 89.252.56.204:20374 10.16.1.74:20374 72.193.213 https://www.opennet.ru/openforum/vsluhforumID6/21267.html#7 Tue, 06 Jul 2010 17:42:39 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;а.. еще вот в консоли выловил <br>&gt;&gt;&gt;IP_VFR-4-FRAG_TABLE_OVERFLOW: GigabitEthernet0/0: the fragment table has reached its maximum threshold 16 <br>&gt;&gt;&gt;выставлял ip virtual-reassembly max-reassemblies 100 <br>&gt;&gt;&gt;не помогло..... <br>&gt;&gt;<br>&gt;&gt;Какой смысл фрагментировать пакеты в таком количестве? Вместо того, чтобы фрагментировать пакеты <br>&gt;&gt;попробуйте поставить ip tcp adjust-mss ххх на интерфейсе. <br>&gt;&gt;Может быть поможет. <br>&gt;<br>&gt;ip tcp adjust-mss - это не помогает тож.... еще варианты <br><br>по какой схеме организовано подключение?<br>