MTU settings KPN PPPoE (Glas) (FortiGate)

[XchangeVisions]

Nadat ik m'n KPN experiabox heb weggehaald en PPPoE heb ingesteld op de FortiGate (40F) heb ik last dat Citrix met enige regelmaat 'vastloopt'. Het is een scherm-freeze want bij een chatgesprek komt het geluid wel door.

Ik heb het sterke vermoeden dat de MTU settings niet goed staan op de FG.
Ik ben geen held in het analyseren maar heb een capture van de PPPoE interface met een moment dat het vastloopt. Ik zie een groot aantal TCP Retransmissions (met package length van 1499-1501) en een 'don't fragment' flag. Waarschijnlijk worden packages gedropped...
Na ongeveer 20 seconden wordt er een nieuwe verbinding gemaakt en zie ik de Citrix client weer reageren.

De MTU van de WAN poort staat op 1514, de VLAN interface 1506 en de PPPoE interface is ongewijzigd.

Ik heb al veel gezocht naar mogelijke settings maar loop hier toch op vast.
Mogelijk dat een van jullie mij kan vertellen op welke MTU ik de WAN en VLAN poort moet instellen?


Hieronder de config.

edit "wan"
set vdom "root"
set mode pppoe
set allowaccess ping
set type physical
set alias "WAN"
set estimated-upstream-bandwidth 1000000
set estimated-downstream-bandwidth 1000000
set role wan
set snmp-index 1
set username "xxx@internet"
set password ENC xxx
set mtu-override enable
set mtu 1514
next

edit "internet"
set vdom "root"
set mode pppoe
set allowaccess ping
set alias "vlan6"
set device-identification enable
set estimated-upstream-bandwidth 1000000
set estimated-downstream-bandwidth 1000000
set role wan
set snmp-index 8
set username "xxx@internet"
set password ENC xxx
set mtu-override enable
set mtu 1506
set interface "wan"
set vlanid 6
next

edit "pppoe1"
set vdom "root"
set mode pppoe
set allowaccess ping
set type tunnel
set snmp-index 9
set interface "internet"
next

[nescafe]

Zet de MTU eens op 1508? PPPoE heeft 8 bytes overhead normaliter. WAN zou dan 1516 worden.

[ Voor 16% gewijzigd door nescafe op 03-09-2021 14:00 ]

[XchangeVisions]

Bedankt voor je snelle reactie!!

"MTU size not valid. Should be in the range of 576 - 1506 in PPPoE mode."

Ik heb nu de WAN interface op 1516 gezet en de VLAN interface op 1508.
Ik ga even testen of het nu stabiel blijft.

[nescafe]

Wat gebeurt er eigenlijk als je mtu op bovenliggende interfaces niet override en op pppoe1 mtu op 1500 zet?

[XchangeVisions]

Tot nu toe draait het lekker door.
Ik zal het uiteraard blijven monitoren maar heb het sterke vermoeden dat de MTU op 1508 en 1516 de oplossing is!

Ik zal eind van de dag ook wel even proberen met de pppoe op 1500 en de wan/vlan niet op override.

[Ben(V)]

Dit zou het moeten zijn:

MTU van PPPoE op 1500
Die van Vlan 6 op 1508
Die van de bovenliggende interface op 1512

[Kabouterplop01]

Bij de ouderwetse WAN pppoe verbindingen was het 1492 (overhead haalde je er af) en was de tcp-mss adjust 1452 voor de vlan kant op het LAN (40 bytes van ip + tcp header)

@Ben(V) Hoe zit dat met de nieuwe soort pppoe? Mijn google skills heeft er nog niets over gevonden.

[Ben(V)]

Heeft niets met een soort PPPoe te maken.
Dit is gewoon hoe KPN het heeft ingeregeld en aangezien ze ervan uit gaan dat je gewoon de meegeleverde Exeriabox gebruikt publiceren ze dit nergens.

[XchangeVisions]

Ben(V) schreef op zaterdag 4 september 2021 @ 11:36:
Dit zou het moeten zijn:

MTU van PPPoE op 1500
Die van Vlan 6 op 1508
Die van de bovenliggende interface op 1512

Van 1500 naar 1508 begrijp ik, maar waarom eigenlijk van 1508 naar 1512?


Aanpassen van de MTU op de PPPoE interface kreeg ik niet voor elkaar via CLI.
Via config upload werkt het wel, maar na een reboot is het weg.

Uiteindelijk van alles geprobeerd maar voor nu is mijn conclussie dat Fortigate automatisch 8 bytes pakt voor PPPoE. De PPPoE tunnel interface is dus standaard 8 MTU minder dan de VLAN interface.
(nb. ik draai op versie v6.4.2 build 1723)


Maar ik heb het nu voor elkaar en de WAN staat op 1512, de VLAN6 op 1508 en de PPPoE op 1500 MTU.
Na een reboot blijft het ook goed staan. (controle via fnsysctl ifconfig -a "poort naam")

De PPPoE interface moet ik via de GUI aanmaken omdat ik errors blijf krijgen dat de "internet" interface niet bestaat, via de GUI werkt het wel.
Via de GUI heb ik ook de PPPoE username en password ingesteld.
De bovenliggende interfaces staan op Adressing mode = Manual.


config system interface
edit "wan"
set vdom "root"
set allowaccess ping
set type physical
set alias "WAN"
set estimated-upstream-bandwidth 1000000
set estimated-downstream-bandwidth 1000000
set role wan
set snmp-index 1
set mtu-override enable
set mtu 1512
next
edit "internet"
set vdom "root"
set allowaccess ping
set alias "VLAN6"
set estimated-upstream-bandwidth 1000000
set estimated-downstream-bandwidth 1000000
set role wan
set snmp-index 8
set mtu-override enable
set mtu 1508
set interface "wan"
set vlanid 6
next
edit "pppoe1"
set vdom "root"
set mode pppoe
set allowaccess ping
set type tunnel
set alias "PPPoE tunnel"
set estimated-upstream-bandwidth 1000000
set estimated-downstream-bandwidth 1000000
set role wan
set snmp-index 9
set interface "internet"
next
end

config system pppoe-interface
edit "pppoe1"
set device "internet"
set username "mac-address-modem@internet"
set password "kpn"
next
end

[mduijm]

Hoi, we zitten nu op veel hogere versies van FortiOS en de PPPoe is niet meer een losse interface afaik. Heb je toevallig een nieuwere config die je kan delen? Ik zit zelf op v7.4.4 build2662

[nelizmastr]

mduijm schreef op vrijdag 26 juli 2024 @ 13:09:
Hoi, we zitten nu op veel hogere versies van FortiOS en de PPPoe is niet meer een losse interface afaik. Heb je toevallig een nieuwere config die je kan delen? Ik zit zelf op v7.4.4 build2662

Is er een reden dat je op de feature release branch zit en niet op mature firmware?

Los daarvan is de commandset voor interfaces niet of nauwelijks veranderd tussen FortiOS 6.4 en 7.2 (draai geen 7.4.4, ben geen beta tester op productie ) dus zou je dit aardig moeten kunnen overnemen.

Zie ook de Fortinet documentatie en cookbooks

[ Voor 4% gewijzigd door nelizmastr op 27-07-2024 08:21 ]

[XchangeVisions]

@mduijm
Ik heb de laatst werkende config voor je bekeken (#config-version=FGT40F-7.4.4-FW-build2662-240514:) en er is niks veranderd t.o.v. bovenstaande config.

[mduijm]

top dank je wel!

[mduijm]

nelizmastr schreef op zaterdag 27 juli 2024 @ 08:20:
[...]


Is er een reden dat je op de feature release branch zit en niet op mature firmware?

Los daarvan is de commandset voor interfaces niet of nauwelijks veranderd tussen FortiOS 6.4 en 7.2 (draai geen 7.4.4, ben geen beta tester op productie ) dus zou je dit aardig moeten kunnen overnemen.

Zie ook de Fortinet documentatie en cookbooks

Ik draai de FGT thuis op een thuis netwerk, zit geen bedrijfsnetwerk achter vandaar dat ik gewoon de laatste versies pak.