Openvpn, reenvía paquetes muy lentamente

10

Reinicié mi servidor y surgió un problema extraño. Estoy corriendo en ArchLinux, los clientes son Ubuntu, Android y Mac.

El problema es que el acceso a Internet a través de los clientes es lento, aproximadamente 2ko / sy se detiene lentamente.

Pero descargar algo del servidor al cliente directamente se realiza a toda velocidad. Y, obviamente, Internet desde el servidor está a toda velocidad (40mo / s).

No sé qué sucedió desde el reinicio, pero este problema está aquí en todos los clientes y solo está relacionado con el tráfico que se abre a Internet.

EDITAR: Probado con tcp, no se resolvió. EDITAR: Probado varios ajustes de fragmentos / mtu, sin cambios.

Aquí están todos mis confs:

╭─<root@Alduin>-</etc/openvpn>-<1:45:07>-◇
╰─➤ cat Alduin.conf ccd/Thunderaan
local 212.83.129.104
port 1194
proto udp
dev tun
ca keys/ca.crt
cert keys/Alduin.crt
key keys/Alduin.key
dh keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 10.8.0.1"
client-to-client
keepalive 5 60
ping-timer-rem
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
client-config-dir ccd
topology subnet

ccd from here +++++++++++++++


ifconfig-push 10.8.0.2 255.255.255.0
push "redirect-gateway def1"

Cliente conf:

client
dev tun
proto udp
remote 212.83.129.104 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert name.crt
key name.key
ns-cert-type server
comp-lzo
verb 3

y algunos resultados que podrían ayudarte: 

╭─<cubox@Alduin>-<~>-<1:49:43>-◇
╰─➤ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eno1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP qlen 1000
    link/ether b8:ac:6f:94:e2:4e brd ff:ff:ff:ff:ff:ff
    inet 88.190.15.135/24 scope global eno1
       valid_lft forever preferred_lft forever
    inet 212.83.129.104/32 scope global eno1
       valid_lft forever preferred_lft forever
    inet6 2001:bc8:300a:dead::b12d/64 scope global
       valid_lft forever preferred_lft forever
    inet6 2a01:e0b:1000:15:baac:6fff:fe94:e24e/64 scope global dynamic
       valid_lft 2592000sec preferred_lft 604800sec
    inet6 fe80::baac:6fff:fe94:e24e/64 scope link
       valid_lft forever preferred_lft forever
3: eno2: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether b8:ac:6f:94:e2:4f brd ff:ff:ff:ff:ff:ff
6: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 100
    link/none
    inet 10.8.0.1/24 brd 10.8.0.255 scope global tun0
       valid_lft forever preferred_lft forever
╭─<cubox@Alduin>-<~>-<1:49:47>-◇
╰─➤ route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         88-190-15-1.rev 0.0.0.0         UG    0      0        0 eno1
10.8.0.0        *               255.255.255.0   U     0      0        0 tun0
88.190.15.0     *               255.255.255.0   U     0      0        0 eno1
╭─<cubox@Alduin>-<~>-<1:49:51>-◇
╰─➤ route -6
Kernel IPv6 routing table
Destination                    Next Hop                   Flag Met Ref Use If
::1/128                        ::                         U    256 0     0 lo
2001:bc8:300a:dead::/64        ::                         U    256 0     0 eno1
2a01:e0b:1000:15::/64          ::                         UAe  256 0     0 eno1
fe80::/64                      ::                         U    256 0     0 eno1
::/0                           fe80::225:45ff:fef6:947f   UGDAe 1024 2     0 eno1
::/0                           ::                         !n   -1  1  1891 lo
::1/128                        ::                         Un   0   2  5227 lo
2001:bc8:300a:dead::/128       ::                         Un   0   1     0 lo
2001:bc8:300a:dead::b12d/128   ::                         Un   0   1   131 lo
2a01:e0b:1000:15::/128         ::                         Un   0   1     0 lo
2a01:e0b:1000:15:baac:6fff:fe94:e24e/128 ::                         Un   0   3 29356 lo
fe80::/128                     ::                         Un   0   1     0 lo
fe80::baac:6fff:fe94:e24e/128  ::                         Un   0   1   311 lo
ff00::/8                       ::                         U    256 0     0 eno1
::/0                           ::                         !n   -1  1  1891 lo



-A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE # The iptables rule

La regla de iptables aquí es la única que está activa en el servidor.

╰─➤ tc qd
qdisc mq 0: dev eno1 root
qdisc pfifo_fast 0: dev tun0 root refcnt 2 bands 3 priomap  1 2 2 2 1 2 0 0 1 1 1 1 1 1 1 1

EDITAR: Aquí hay un registro del cliente de Archlinux que se conecta.

Oct  2 16:54:17 Groat ovpn-openvpn[9216]: OpenVPN 2.2.1 x86_64-linux-gnu [SSL] [LZO2] [EPOLL] [PKCS11] [eurephia] [MH] [PF_INET6] [IPv6 payload 20110424-2 (2.2RC2)] built on Feb 13 2013
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: LZO compression initialized
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: Socket Buffers: R=[212992->131072] S=[212992->131072]
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: Local Options hash (VER=V4): '41690919'
Oct  2 16:54:17 Groat ovpn-openvpn[9216]: Expected Remote Options hash (VER=V4): '530fdded'
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: UDPv4 link local: [undef]
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: UDPv4 link remote: [AF_INET]212.83.129.104:1194
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: TLS: Initial packet from [AF_INET]212.83.129.104:1194, sid=edfcb034 3452d72c
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: VERIFY OK: depth=1, /C=FR/ST=FR/L=Paris/O=Dragonborn/CN=Dragonborn_CA/[email protected]
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: VERIFY OK: nsCertType=SERVER
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: VERIFY OK: depth=0, /C=FR/ST=FR/L=Paris/O=Dragonborn/CN=Dragonborn/[email protected]
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Oct  2 16:54:17 Groat ovpn-openvpn[9217]: [Dragonborn] Peer Connection Initiated with [AF_INET]212.83.129.104:1194
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: SENT CONTROL [Dragonborn]: 'PUSH_REQUEST' (status=1)
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 10.8.0.1,route 212.83.129.0 255.255.255.0,route-gateway 10.8.0.1,topology subnet,ping 5,ping-restart 60,redirect-gateway def1,ifconfig 10.8.0.3 255.255.255.0'
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: OPTIONS IMPORT: timers and/or timeouts modified
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: OPTIONS IMPORT: --ifconfig/up options modified
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: OPTIONS IMPORT: route options modified
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: OPTIONS IMPORT: route-related options modified
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: ROUTE default_gateway=192.168.1.254
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: TUN/TAP device tun0 opened
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: TUN/TAP TX queue length set to 100
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: /sbin/ifconfig tun0 10.8.0.3 netmask 255.255.255.0 mtu 1500 broadcast 10.8.0.255
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: /sbin/route add -net 212.83.129.104 netmask 255.255.255.255 gw 192.168.1.254
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: /sbin/route add -net 0.0.0.0 netmask 128.0.0.0 gw 10.8.0.1
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: /sbin/route add -net 128.0.0.0 netmask 128.0.0.0 gw 10.8.0.1
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: /sbin/route add -net 212.83.129.0 netmask 255.255.255.0 gw 10.8.0.1
Oct  2 16:54:20 Groat ovpn-openvpn[9217]: Initialization Sequence Completed

EDITAR: Aquí hay un tcpdump del servidor descargando directamente un archivo: http://sprunge.us/aaJX Aquí está el cliente descargando este recurso: http://sprunge.us/WUCC y aquí hay un cliente normal de otro openvpn ( servidor de trabajo): http://www4.slashusr.com/57552.tcpdump

EDITAR: Como se preguntó en los comentarios, aquí hay capturas de tcpdump sin procesar. La captura de tun0 desde el servidor falló, no sé por qué. El servidor muestra afuera aquí , el cliente muestra tun0 aquí , el cliente muestra afuera aquí y el servidor descarga directamente el archivo aquí .

EDITAR: el servidor está ejecutando un i3, que no se usa en ningún momento (ni siquiera durante el uso de openvpn). Lo mismo para el cliente, i7 totalmente inactivo.

EDITAR: El problema todavía está aquí. Por favor ayuda :(

linux iptables routing ip openvpn Cubox
fuente
¿Supongo que has mirado algunas capturas con wireshark / tcpdump? La respuesta casi con certeza se puede encontrar en una captura, si captura en el lugar correcto.
Zoredache
Tengo un tcpdump de la interfaz eno1 en una descarga del cliente y uno del servidor (del mismo archivo). Y uno de un cliente openvpn que funciona también. Editaré la pregunta.
Cubox
¿Puede agregar información de la CPU desde el cliente y el servidor mientras se transfiere el tráfico?
Jed Daniels
En su tcpdump, no veo tráfico lento (aunque puede ser demasiado corto). ¿Todos los clientes obtienen la misma dirección IP 10.8.0.2? ¿Puede omitir eso y más bien empujar una ruta a su red 212.83.129.0?
ott--
Cada cliente tiene su propio ccd con su propia dirección IP. No entiendo qué quieres decir con una ruta a la red.
Cubox

Respuestas:

1

No estoy seguro de si es la misma causa, pero creo que vale la pena ajustar sobre tun-mtu y mssfix como se menciona en openvpn-on-android-tcp-retransmissions-after-openvpn-server-reboot

EDITAR: Encontré que este también podría ser útil [RESUELTO] Rendimiento inaceptable de openVPN Cambio de un parámetro del kernel: net.inet.ip.fastforwarding = 1 (agregue /etc/sysctl.conf en su servidor Linux)

revs Wutiphong
fuente
Gracias por la respuesta. Cambiar la opción tun-mtu y mssfix no ayudó. La configuración de aceleración rápida no existe en Linux. Solo núcleos BSD.
Cubox
0

¿El servidor vpn también es el servidor de puerta de enlace? intente eliminar la puerta de enlace push, sus clientes solo necesitan tener una ruta adicional.

Alin Andrei
fuente
¿Dónde ves una opción de puerta de enlace?
Cubox
En las opciones de CCD hay una puerta de enlace de redireccionamiento. Necesita comprobar si hay una ruta estática en los clientes hacia su GW real.
MealstroM
Ahi esta. Los clientes pueden hablar con cualquier cosa en Internet, solo lo hacen lentamente.
Cubox
0

Su regla de iptables posterior al enrutamiento parece extraña, intente esto

-A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE

en lugar del SNAT, y elimine una de las IP en eno1, si no las necesita a ambas. Dos direcciones IP públicas en lo que parece ser una interfaz ethernet se ven raras. ¿Por qué esa configuración?

Supongo que su servidor openvpn está en bucle y soltando paquetes de un lado a otro, lo que lleva a este problema.

AntonioP
fuente
Tengo la regla de la mascarada ahora, no resolvió el problema. Tengo dos en mi servidor, uno de ellos es la conmutación por error y el otro el principal. Por tener un servidor con cuatro ips en la interfaz eth0 (en otro servidor Archlinux) durante más de un año, puedo decirle que los ips múltiples no son el problema aquí ...
Cubox
0

¿Ejecutas tu propio servidor dns internamente? Tuve problemas con mi red cuando ejecutaba una configuración de powerdns para dns internos, pero no tenía una zona inversa configurada correctamente. Wireshark proporcionó las respuestas en ese caso.

Peter Nunn
fuente