0

Raspberry Pi 4 (8ГБ ОЗУ), Raspberry Pi OS x64. На борту dnsmasq в качестве DHCP и hostapd для создания точки доступа. Форвардинг включен в /etc/sysctl.conf, в фаерволе включен маскарадинг. При воткнутом USB-модеме и раздаче его интернета через wifi все работает отлично: все сайты открываются, гугл пингуется и прочее.

Добавил на одноплатник клиентский туннель wireguard. Конфиг:

[Interface]
PrivateKey = ....
Address = 10.10.161.200/24, dead::200/120
MTU=1360

[Peer]
PublicKey = ....
Endpoint = server:port
AllowedIPs = 0.0.0.0/0, ::/0

Локально на Raspberry Pi при поднятии интерфейса wireguard все работает ожидаемо: весь трафик туннелируется через выходной сервер. При работе через Wi-Fi, который раздает этот одноплатник, случается казус - суть этого вопроса.

Часть сайтов, например, https://2ip.ru открываются корректно (показывает выходной адрес сервера wireguard - все ок). Пинги на гугл идут исправно. Но! Большая часть интернет-ресурсов становится недоступна, например, https://habr.com или https://duckduckgo.com. На них веб-браузер показывает таймаут соединения. Проверял на лэптопе под Debian и смартфоном под Android - поведение одинаковое. На ноутбуке wget https://habr.com также уходит в таймаут. В тот же момент, на одноплатнике аналогичная команда успешно получает index.html этого сайта.

После бубнов пришел к вопросу MTU. Изменил MTU по умолчанию на wi-fi интерфейсе ноутбука на 1360 (ip link set dev wlanX mtu 1360) и тут же все сайты начали открываться, все запросы на разные сервисы - получать ответ.

Поведение для меня не понятное, так как при равных прочих, но выключенном wireguard, wifi работает корректно. Стоит включить wireguard - интернет на устройствах пропадает частично. Ну ок, подумал. Давайте изменим MTU, чтобы этот параметр подхватывался автоматически подключенными устройствами. Как раз тут-то добавил строку MTU=1360 в конфиг wireguard, изменил это число на wifi-интерфейсе одноплатника... Но эффекта никакого. ip a показывает MTU 1360 на wlan0 и wg0 одноплатника, но подключаемые устройства не хотят работать с упомянутыми выше сайтами (и многими другими), при чем на смартфоне исправно работают мессенджеры и некоторые другие приложения. На ноутбуке - исправно идут пинги...

Подскажите, в чем загвоздка и как задать MTU, чтобы его подхватывали подключаемые к Wi-Fi устройства... (Причем без wireguard нужды в бубнах нет - сеть работает как надо...)

1
  • 1
    Включи подстройку mss через iptables
    – eri
    27 дек 2022 в 8:16

1 ответ 1

0

Спасибо @eri за наводку на MSS. Я использую nftables вместо iptables, но суть та же, синтаксис только отличается. Решением стала одна строчка в /etc/nftables.conf:

БЫЛО:

<...>

table ip nat {
        chain postrouting {
                type nat hook postrouting priority 100;
                oifname "wg0" masquerade;
        }
}

СТАЛО:

<...>

table ip nat {
        chain postrouting {
                type nat hook postrouting priority 100;
                iifname "wlan0" tcp flags syn tcp option maxseg size set 1360;
                oifname "wg0" masquerade;
        }
}

Также работает без куска строки iifname "wlan0", но с явным указанием с какого интерфейса нужно ужимать MTU смотрится симпатишнее.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.