Cisco i Google, to su druga dva...

Ispratio sam i ovaj dokument, pola noći se mlatio i ništa. Apsolutno isto.

Moraću da cimnem Cisco TAC još jednom, ali ću uključiti i Google ekipu (ako pristanu) pa da zajedno pokušamo da se izborimo sa ovim.

Nikad na ovako nešto nisam naleteo. Mikrotik, Baracuda, Juniper, Palo Alto, Checkpoint, svi oni su mi bili sa druge strane i nikad ni jedan problem. Baracuda mi je prvi VPN gateway sa kojim sam radio tunel sa digitalnim sertifikatom (na mojoj strani bio 1841) i to pre nekih 7-8 godina. I sve je svaki put prolazilo bez greške i bez frke. A ovo g*vno... Neverovatno. Hvala vam svima na pomoći. Idem da sednem ispred prozora i da tiho jecam nad svojom tužnom sudbinom.

There, there....

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Posto tebi generalno tunel radi, ali problem je u performansama, pogledaj da ne fragmentujes enkriptovani IPSec saobracaj i/ili da ti cloud ne salje fragmente - ne radim sa cisco dugo, ne mogu konkretan primer da ti dam, ali pretpostavljam da ces naci lako acl koji ce smo brojati fragmentovane pakete na eksternom interface-u.
Ako ti je to cisto - bez fragmenta, stavi slican acl prema aplikativnom serveru i od njega, da vidis da se ne desava pre-fregmentacija na strani google-a.

Da, tunel radi stabilno, performanse su krš. Fragmentaciju saobraćaja radim pre enkripcije:

JU-Internet-FW/pri/act# sh crypto ipsec fragmentation outside
fragmentation outside before-encryption


Iskreno, ne znam kako mogu da proverim da li Google pravi problem. :(

Čitam i gledam i dalje, ne mogu ovo da pustim da ostane ovako. Iskopaću ga, da *ebe oca.

Pa jel ti TCP ta aplikacija? Fregmentacija se izbegava gde god je moguce. Podesi MSS na 1300 - ako je TCP pa vidi da li imas fragmentaciju.

Jeste, otvara neke visoke portove. A igrao sam se i sa MSS-om (hvala Vuče), nije pomoglo.

JU-Internet-FW/pri/act# sh run all sysopt
no sysopt traffic detailed-statistics
no sysopt connection timewait
sysopt connection tcpmss 1300 ------------------------->menjao vrednost (od 576 pa na dalje i ostavio na ovoj)
sysopt connection tcpmss minimum 0
no sysopt connection permit-vpn
sysopt connection reclassify-vpn
sysopt connection preserve-vpn-flows

Pitao sam ovog tipa iz Google Cloud support-a koliki je njegov MSS, još čekam odgovor. 5 dana...

Jesu Azure i AWS ovakvi? Mislim ima li i sa njima ovakvih problema? Čeka me još par migracija, ali na ova dva pomenuta.
Ako bude ovako, roknuću se preventivno.

Sad sam procitao ceo thread, vec su ljudi rekli sta su imali vezano za mss, ja sam bespotrebno ponavljam, a ti gubis icmp, tako da ne znam, tcpdump na klijent i server i onda ping, pa kad ne prodje paket vidi gde je nestao - u kom smeru za pocetak...

Samo salji mail-ove.. ovih dana su svi u poslu zbog globalne situacije, pa nesto sto mozda nije prioritet bude izostavljeno.

Potpis

YU2MP

Stigao i odgovor. Odlažemo migraciju na 6 meseci zato što su primetili da postoje određeni problemi na njihovoj strani i da će im trebati vremena (uzevši u obzir i tekuću situaciju sa COVID-19 virusom) da sve to ispeglaju. Pride su se i izvinili na vremenu koje smo potrošili na ovaj posao. Zbog velikog broja uloženih čovek-sati, a u dogovoru sa našim servis provajderom Google će pokriti naše troškove za tih 6 meseci. Nije neka kinta, ali lepo od njih.

Bar sad znaš da nisi lud. :D

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...