Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 7 replies
  • Subscribers 1 subscriber
  • Views 6548 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSec Site-to-Site - Need Guidance, MTU?

StephenW
Looking for a bit of help here...

For the past 3 days I've been trying to configure a Site to Site IPsec tunnel routing two subnets.

No problem whatsoever making the connection. Ping works, pinging with -l 25000 works, etc...

The issue comes with file transfers, etc... When copying a file using SMB (Windows File Sharing), sometimes the transfer will work, but halting 50%, sometimes it won't start at all.

Transferring files via SCP (SSH) same behavior, usually transfers around 276KB before halting and freezing, a few times I can transfer over 50MB, but it ultimately freezes. I've noticed that doing a tcpdump and analyzing in wireshark, there are lots of retransmissions, and "Previous segment lost".

Keep in mind, I can load webpages across the link, make VoIP calls, etc absolutely fine...

I've been reading up about how MTUs may cause this issues?

My ISP, and everything supports 1500, the ASG is setup as default at 1500 (I haven't changed anything). After reading about possible MTU problems it says I should lower it... Does this mean I have to change the MTU on all computers, servers, routers on both subnets? Won't this cause issues if I communicate with systems on the internet which use 1500?

I'm not saying the issue is an MTU related one, it's just the only thing I can think of. I've troubleshot everything else...

Any help would be appreciated! Thanks!

(And PS. I've even done a factory fresh install of the ASGs to make sure that no configuration changes I have made or have setup are causing the issues)


This thread was automatically locked due to age.
  • 0
    Just an update...

    I set the MTU for ALL nics on both ASGs to 1400, and I'm still having the issues with transfers...
  • 0
    In the '+ Advanced' section of 'Remote Gateway' on each side, have you selected 'Support Path MTU discovery'?

    Cheers - Bob
  • 0 in reply to BAlfson
    In the '+ Advanced' section of 'Remote Gateway' on each side, have you selected 'Support Path MTU discovery'?

    Cheers - Bob


    I've tried it with and without... I've setup IPsec site to site connections before and have never had this problem...

    The behaviour and issues I'm seeing almost make me think it's hardware issues, but I've tried different hardware on both ends...

    Just a final though. I've got the ASG at the central location running in a virtual machine (on a vSphere cluster), could that affect anything or cause these issues?
  • 0
    Stephen, you've done what I would have tried.  Maybe there's not a good Astaro driver for the NIC you chose to install it with.  Did you select the Intel E1000?

    Cheers - Bob
  • 0 in reply to BAlfson
    Stephen, you've done what I would have tried.  Maybe there's not a good Astaro driver for the NIC you chose to install it with.  Did you select the Intel E1000?

    Cheers - Bob


    I originally used the VMware images from v7 to create the virtual machines. Right now it's marked as "flexible" for NIC type. and the VM's detect them as some AMD net adapter.

    I'll change to E1000 and test it out!

    Thanks [:)]
  • 0
    Awesome!!!!

    Switched the NICs to E1000 and it resolved the issues, the VPN is up and flying [:)]

    Thanks Bob!
  • 0 in reply to StephenW
    Thanks for the info guys! We were on v7 and upgraded to v8 and we got the most awful throughput through the VPN. As soon as we changed the nic's to e1000 mode in vmware the VPN's finally started flying.