Newsgroup: it.comp.reti.cisco
Titolo: Per Mayhem, Cesare Fontana e Fabio Sardone - Performance VPN

Ripropongo un post di alcuni giorni fà che non ha avuto replica.
Scusate se mi permetto di interpellarVi direttamente ma credo che grazie
alla vostra esperienza possiate aiutarmi.
Buon giorno a tutto il newsgroup,
vorrei sottoporre alla Vostra attenzione un problema che da un pò di tempo
mi "assilla".
Ho creato una VPN tra due sedi utilizzando un Cisco 827 nella sede
principale e un Cisco Soho 97 nella sede periferica utilizzando IPSEC 3DES e
pre-shared key.
La sede principale permette anche l'accesso di postazioni portatile via RAS
con l'utilizzo del client VPN 4.x di Cisco.
Presso la sede principale è installato un server Windows 2000 Server SP4 sul
quale sono configurati i servizi terminal server.
Le postazioni della sede periferica (Windows 2000 Workstation SP4) accedono
via terminal services client al terminal server della sede principale e
utilizzano una applicazione proprietaria.
La funzione di stampa di questa applicazione inoltra le stampe verso una
stampante laser di rete (coda LPR configurata sul server Windows 2000
Server) installata nella sede periferica.
Il tutto funziona egregiamente se non fosse per il fatto che quando dalla
sede periferica vengono richieste delle stampa particolarmente corpose
l'output di stampa impiega diversi minuti prima di essere prodotto.
Considerando il fatto che le dimensioni dei file di stampa richiesti non
sono mai così grandi da giustificare una attesa cosi lunga (la stessa stampa
viene prodotta in circa 30 secondi con un collegamento punto-punto in ISDN a
64K) mi sono concentrato su MTU e IP fragmentation.
I risultati delle prove effettuate sono le configurazioni sotto elencate, ma
l'anomalia persiste.
Qualcuno ha un'idea di come si possa risolvere questo problema?
GRAZIE MILLE per l'attenzione:
router#sh ver
Cisco Internetwork Operating System Software
IOS (tm) C820 Software (C820-K9OSY6-M), Version 12.2(8)T5,  RELEASE SOFTWARE
(fc1)
TAC Support: 
http://www.cisco.com/tac
Copyright (c) 1986-2002 by cisco Systems, Inc.
Compiled Fri 21-Jun-02 21:52 by ccai
Image text-base: 0x80013170, data-base: 0x8090A790
ROM: System Bootstrap, Version 12.1(1r)XB1, RELEASE SOFTWARE (fc1)
router uptime is 2 weeks, 2 days, 22 hours, 8 minutes
System returned to ROM by power-on
System image file is "flash:c820-k9osy6-mz.122-8.T5.bin"
CISCO C827 (MPC855T) processor (revision 0x801) with 31744K/1024K bytes of
memory.
Processor board ID JAD0631002E (2745959192), with hardware revision 0000
CPU rev number 5
Bridging software.
1 Ethernet/IEEE 802.3 interface(s)
1 ATM network interface(s)
128K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)
2048K bytes of processor board Web flash (Read/Write)
Configuration register is 0x2102
router#sh run
Building configuration...
Current configuration : 3168 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname router
!
aaa new-model
!
!
aaa authentication login userauthen local
aaa authorization network groupauthor local
aaa session-id common
enable secret ***************
enable password ***************
!
username utente password ***************
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip tcp path-mtu-discovery
no ip domain-lookup
!
ip inspect name firewall ftp
ip inspect name firewall tcp timeout 3600
ip inspect name firewall udp timeout 60
!
crypto isakmp policy 3
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp policy 4
 authentication pre-share
crypto isakmp key ********* address 81.74.98.34 no-xauth
!
crypto isakmp client configuration group utente
 key **************
 pool ippool
 acl 108
!
!
crypto ipsec transform-set ivrea esp-3des esp-md5-hmac
!
crypto dynamic-map dynmap 10
 set transform-set traset
!
!
crypto map mappa local-address ATM0.35
crypto map mappa client authentication list userauthen
crypto map mappa isakmp authorization list groupauthor
crypto map mappa client configuration address respond
crypto map mappa 10 ipsec-isakmp dynamic dynmap
crypto map mappa 30 ipsec-isakmp
 set peer 81.74.98.34
 set transform-set traset
 match address 106
!
interface Ethernet0
 ip address 10.41.138.195 255.255.255.192
 ip nat inside
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 bundle-enable
 dsl operating-mode auto
!
interface ATM0.35 point-to-point
 ip address 81.74.104.125 255.255.255.0
 ip nat outside
 ip inspect firewall out
 pvc 8/35
  protocol ip 81.74.104.254 broadcast
 !
 crypto map mappa
!
ip local pool ippool 192.168.4.1 192.168.4.100
ip nat translation timeout 180
ip nat translation tcp-timeout 180
ip nat translation udp-timeout 180
ip nat inside source list 120 interface ATM0.35 overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.35
no ip http server
ip pim bidir-enable
!
!
access-list 10 permit xxx.yyy.zzz.kkk
access-list 10 deny   any log
access-list 106 permit ip 10.41.138.192 0.0.0.63 10.45.138.224 0.0.0.15
access-list 106 permit ip 10.45.138.224 0.0.0.15 10.41.138.192 0.0.0.63
access-list 108 permit ip 10.41.138.192 0.0.0.63 192.168.4.0 0.0.0.255
access-list 120 deny   ip 10.41.138.192 0.0.0.63 192.168.4.0 0.0.0.255
access-list 120 deny   ip 10.41.138.192 0.0.0.63 10.45.138.224 0.0.0.15
access-list 120 permit ip 10.41.138.192 0.0.0.63 any
no cdp run
!
snmp-server community comunita RO
!
line con 0
 exec-timeout 120 0
 login authentication userauthen
 stopbits 1
line vty 0 4
 access-class 10 in
 exec-timeout 120 0
 password *****************
!
scheduler max-task-time 5000
end
router_1#sh ver
Cisco Internetwork Operating System Software
IOS (tm) SOHO97 Software (SOHO97-K9OY1-M), Version 12.2(8)YN, EARLY
DEPLOYMENT RELEASE SOFTWARE (fc1)
Synched to technology version 12.2(11.2u)T
TAC Support: 
http://www.cisco.com/tac
Copyright (c) 1986-2002 by cisco Systems, Inc.
Compiled Wed 30-Oct-02 21:49 by ealyon
Image text-base: 0x800131B0, data-base: 0x8074BDE4
ROM: System Bootstrap, Version 12.2(8r)YN, RELEASE SOFTWARE (fc1)
ROM: SOHO97 Software (SOHO97-K9OY1-M), Version 12.2(8)YN, EARLY DEPLOYMENT
RELEASE SOFTWARE (fc1)
router_1 uptime is 4 weeks, 6 days, 21 hours, 8 minutes
System returned to ROM by power-on
System image file is "flash:soho97-k9oy1-mz.122-8.YN.bin"
CISCO SOHO97 (MPC857DSL) processor (revision 0x400) with 29492K/3276K bytes
of memory.
Processor board ID AMB07390KM3 
(2502523364
), with hardware revision 0000
CPU rev number 7
Bridging software.
1 Ethernet/IEEE 802.3 interface(s)
1 ATM network interface(s)
128K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)
2048K bytes of processor board Web flash (Read/Write)
Configuration register is 0x2102
router_1#sh run
Building configuration...
Current configuration : 2045 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname router_1
!
enable secret ******************
enable password ******************
!
username utente password *************
ip subnet-zero
ip tcp path-mtu-discovery
no ip domain lookup
!
ip inspect name firewall ftp
ip inspect name firewall tcp timeout 3600
ip inspect name firewall udp timeout 60
!
crypto isakmp policy 4
 authentication pre-share
crypto isakmp key ******* address 81.74.104.125
!
!
crypto ipsec transform-set traset esp-3des esp-md5-hmac
!
crypto map mappa local-address ATM0.35
crypto map mappa 7 ipsec-isakmp
 set peer 81.74.104.125
 set transform-set traset
 match address 106
!
!
interface Ethernet0
 ip address 10.45.138.225 255.255.255.240
 ip nat inside
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
!
interface ATM0.35 point-to-point
 ip address 81.74.98.34 255.255.255.0
 ip nat outside
 ip inspect firewall out
 pvc 8/35
  protocol ip 81.74.98.254 broadcast
 !
 crypto map mappa
!
ip nat translation timeout 180
ip nat translation tcp-timeout 180
ip nat translation udp-timeout 180
ip nat inside source list 120 interface ATM0.35 overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.35
no ip http server
!
access-list 10 permit xxx.yyy.www.zzz
access-list 10 deny   any log
access-list 106 permit ip 10.45.138.224 0.0.0.15 10.41.138.192 0.0.0.63
access-list 106 permit ip 10.41.138.192 0.0.0.63 10.45.138.224 0.0.0.15
access-list 120 deny   ip 10.45.138.224 0.0.0.15 10.41.138.192 0.0.0.63
access-list 120 deny   ip 10.41.138.192 0.0.0.63 10.45.138.224 0.0.0.15
access-list 120 permit ip 10.45.138.224 0.0.0.15 any
snmp-server community comunita RO
snmp-server enable traps tty
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
 stopbits 1
line vty 0 4
 access-class 10 in
 exec-timeout 120 0
 password 7 104A594F554E43525B57
 login local
!
scheduler max-task-time 5000
end
router_1#

 wrote in message
news:ypMRb.291999$e6.11...@twister2.libero.it...


 Carlo
Anzitutto grazie per il contributo.
Seguendo la nota tecnica
http://support.microsoft.com/default.aspx?scid=kb;en-us;159211
 sono arrivato
a stabilire che il maximum segment size utilizzabile č 1414...ma anche
settandolo nell'interfaccia eth0 il problema non si č risolto.
Ciao e GRAZIE.

 l'anomalia persiste.
[SNIP]
Io dovendo andare a risolvere il problema metterei un bel pc con ethereal per
guardare cosa succede al server. In particolare farei attenzione a due aspetti:
-eventuale encapsulation PPPoE che ti abbassa MTU a 1492
-IPsec encapsulation che riduce uklteriormente l' MTU
-Il fatto che se il remote printing usa UDP ip tcp adjust-mss serve a poco
-se le correzioni le fai sulla ethernet quando incapsuli sulla dialer/ATM in
IPSEC il pacchetto si allunga
Suggerimento: sparati un MTU molto basso sulla interfaccia adsl (1000) e vedi
se risolvi, poi aumenta fino al verificarsi del problema. Se usi ethereal
l'analisi del traffico ti dovrebbe dire qual'e' il problema.
Scusa se non posso essere piu' preciso ma non ho il tempo di approfondire anche
per mancanza di elementi nonche' di tempo. 
Se risolvi fai poi sapere.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 Ciao
Ciao Fabio, grazie per i suggerimenti.
Credo anchio che il problema sia da ricercarsi nell'ambito "MMS/MTU".
Domani pomeriggio, armato di sniffer e tanta pazienza, vado sul luogo e
cerco di risolvere il problema.
Non appena trovo la soluzione la posto.
Ciao