После настройки PPPoE соединения на роутере Mikrotik некоторые тяжелые сайты (например, Госуслуги или Сбербанк) перестали открываться, либо загружаются бесконечно без картинок. Обычные поисковики работают нормально. Какое правило нужно добавить в файрвол?
Эта проблема — классический симптом завышенного размера максимального сегмента данных MSS при инкапсуляции трафика в туннель PPPoE. Провайдерский кабель требует 8 байт под свои служебные заголовки, из-за чего стандартный кадр MTU 1500 не пролезает в сеть. Пакеты застревают на маршрутизаторе, так как включен запрет фрагментации DF.
Для исправления ситуации выполните команду автоматического поджатия MSS в терминале WinBox:
1. Откройте консоль New Terminal и вставьте правило для изменения заголовков проходящих TCP-пакетов: /ip firewall mangle add action=change-mss chain=forward comment="Fix MSS PPPoE" new-mss=clamp-to-pmtu passthrough=yes protocol=tcp tcp-flags=syn.
2. Перейдите в раздел IP -> Web独立, откройте вкладку Interfaces, найдите ваш запущенный PPPoE-клиент и вручную ограничьте параметры Max MTU и Max MRU до стабильного значения 1492.
Это заставит ядро RouterOS автоматически уменьшать размер полезной нагрузки сетевых кадров на этапе хэндшейка. Тяжелые веб-ресурсы с шифрованием SSL перестанут фрагментироваться и блокироваться сетевыми узлами, и все страницы начнут загружаться мгновенно.
Если после добавления правила в mangle страницы все равно виснут, проверьте настройки встроенного файрвола.
Убедитесь, что созданное правило находится на самом верху списка во вкладке Mangle. Если выше стоят запрещающие или изолирующие правила FastTrack, планировщик Mikrotik просто проигнорирует команду пересчета дескрипторов MSS, оставляя заголовки пакетов без изменений.