一个简单的 Mikrotik 策略路由遇到断流问题

[ppbaozi]

mikrotik 简单把 eth1 的流量下一跳扔给 ubuntu，ubuntu 做了 masquerade，没有其他防火墙拦截规则 表现是 pc1 访问网页加载非常慢，比正常情况慢几倍，还有无法打开的概率，在 ubuntu 上用 wireshark 抓包路由和 masquerade 规则都是有效的，但有产生很多红色的 tcp 异常包，可能有重发现象，具体的我看不懂

我尝试了直接 route 、mark routing 、先 mark connection 再 mark routing 都有问题

[cwbsw]

开了 fasttrack 的话先关掉试试。

[ppbaozi]

@cwbsw 我有尝试过，也不行

[ericbize]

pre routing 里面先 mark routing， 然后 ip route 写路由跳过去。 所以 你的 1.0/24 没有 转换地址去 2 的话，看看有没有回程路由

[ericbize]

同时，不是很懂你，为什么要弄个 1 段，2 段， 直接把网关写到 ubuntu 不好么

[0gys]

我猜应该是你把流量丢给 Ubuntu 这策略有问题。毕竟你丢过去，却没有给回程路由。我建议你要是旁路翻墙，把 Ubuntu 设置成 wan 口比较好。

[ppbaozi]

@ericbize
@0gys
回程没问题吧，1.0 和 2.0 经过路由肯定是互通的

[ppbaozi]

@ericbize 我想隔离两个网段，在此基础上做一些防火墙规则

[ericbize]

@ppbaozi
1. 你用排除法， 直接把电脑挂在 2 段， 看看 网关写 Ubuntu 有没有问题。
2. 上面问题都排除了之后， 尝试小幅度 升降 ros 版本， 某些版本可能会有策略路由的 bug 。

[ppbaozi]

@ericbize mark routing 我试过了，mark connection 也试过。还是不顺畅。不是不通，是不顺畅。有丢包和断流的的情况出现，speedtest 跑一半就断了这种

[ericbize]

@ppbaozi 我家就是这么玩的，错是不会错的， 但是你确定你的 Ubuntu 稳吗

[ppbaozi]

@ericbize 同一个网段网关直接指到 ubuntu 是没问题的。 经过 routeros 如果在同一个网段也没问题，不同网段就有问题，有点迷

[jousca]

MTU 设置对了么？

[ppbaozi]

@jousca 没动默认配置

[mansurx]

可以给 ubuntu 插两根线，一根进一根出。搞成双臂模式。如果条件允许的话。

[dndx]

听起开很像是 MTU 问题，如果经过 VPN，MTU 太大会导致一部分 TCP 包被丢掉，就会产生不稳定的情况。

[dndx]

一般情况下来说，经过 VPN 的数据“默认配置”断流是很正常的，需要在 iptables 上做 MSS clamping 。

[ppbaozi]

@dndx 我 ubuntu 上其实没有做 vpn，就是 snat 了一下还是通过 192.168.2.1 的网关出去的，我的需求就是用 ubuntu 来监控 1.0 网段的流量而已

[0gys]

@ppbaozi 最好贴上脚本配置。不然不好断定

[ppbaozi]

看起来好像是 fasttrack 的问题

[ChangeTheWorld]

mangle foward tcp syn change-mss 做一下