vpn ложит сеть

Доброго времени суток. Очень нужна помощь специалистов!

Проблема вот в чем:
У нас в организации одноранговая сеть, шлюзом для всех является линуксовая машина, на которой крутиться Debian GNU/Linux 5.0. Если кто ни будь из сотрудников подключается vpn'ом к клиенту, то у него пропадает интернет и начинает жутко тормозить интернет у всей организации (постоянно отваливается, тормозит). Вот что пишет сам линукс:


Подскажите пожалуйста с чем это может быть связано и как это исправить, заранее спасибо!

Так к клиенту подключаются? Или клиенты подключаются к серверу VPN?

Наши сотрудники подключаются к нашим клиентам (наши сети никак не связаны между собой) по средствам vpn (подключаются по vpn, потом подключаются по rdp к их серверу и там уже работают).

Что то не понятно, кто куда конектитса и ...

Все ясно. Их сотрудники из своего оффиса конектятся к серверу VPN на удаленном оффисе. Потом уже RDP идет в ход.
Что используете в качестве впн? pptp, openvpn?
Если инет пропадает у ваших, которые подрубились к впн, то смотрите маршрутизацию. Смотрите DNS, шлюз по умолчанию и т.д. Да и нагрузку сервера проверте.

В настройках VPN уберите галку "Использовать основной шлюз в удалённой сети"

да что же я рассказчик то какой плохой...))) извините)

[наша сеть][vpn]------->{интернет}--------->[ сервак клиента]

вот... кто то в нашей сети создает впн подключение что бы подключиться к кому то там....

XliN вы правы! все как описали. подключаются и pptp и openvpn, в зависимости от того как устроена система безопасности у клиентов. Уже есть инфа для раздумий, спасибо. сейчас пороемся.

Kettler попробуем, спасибо

"Kettler" написал:

В настройках VPN уберите галку "Использовать основной шлюз в удалённой сети"

А тормаза начинаются даже если всего один ppp поднят? И как дела с MTU обстаят?

если 1 то нет, не успевает, поскольку канал широкий, 6 метров. в /etc/network/interfaces mtu не прописан. может как то можно уменьшит размер при активном vpn?

ifconfig

eth0 Link encap:Ethernet HWaddr 00:e0:4d:02:3f:7f
inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:6226370 errors:3 dropped:16 overruns:1 frame:0
TX packets:7424407 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:1708626796 (1.5 GiB) TX bytes:2759157983 (2.5 GiB)
Interrupt:18 Base address:0xe800

eth1 Link encap:Ethernet HWaddr 00:08:a1:6a:37:52

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:8581527 errors:0 dropped:0 overruns:0 frame:0
TX packets:20326400 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:3055203022 (2.8 GiB) TX bytes:4005570139 (3.7 GiB)
Interrupt:19 Base address:0xec00

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:4168 errors:0 dropped:0 overruns:0 frame:0
TX packets:4168 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:1672588 (1.5 MiB) TX bytes:1672588 (1.5 MiB)

а ifconfig с сервера можно с подключенным клиентом посмотреть?

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

только что на другом форуме прочитал про

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu (почему то с t вместо i), вот сейчас попробую, может поможет.

"XliN" написал:

а ifconfig с сервера можно с подключенным клиентом посмотреть?

да можно. если не поможет то кину. спасибо!)

гм.... пишет что в такой то строке "-A: команда не найдена" (я пробовал и -I и -A). я в начале цепочки FORWARD написал это правило... Куда то в определенное место необходимо втыкать? пойду пока до рабочего места дойду откуда подключаются по впн.

На сервере linux сделай команду

modprobe ip_conntrack_pptp

и

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

После этого проверь

У меня вот так
#Выравниваем MTU

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
#############Firewall#############
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP
# Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим признак ESTABLISHED.
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
iptables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Приводит к связыванию системных ресурсов, так что реальных обмен данными становится не возможным.
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

Я еще аот такие модули подгружаю

modprobe ip_conntrack
modprobe ip_gre
modprobe ip_nat_pptp
modprobe ip_conntrack_pptp

только что сделал. посмотрим как будет работать. большое спасибо. он ругался к стати на команды из за того, что в нижнем регистре были написаны... /// )))

только что сделал. посмотрим как будет работать. большое спасибо. он ругался к стати на команды из за того, что в нижнем регистре были написаны... /// )))