Hace unos días empezó a darme problemas la conexión VPN que utilizo para unir dos domicilios en distintas ciudades, rechazando paquetes el router cliente VPN por error de "ICMP time exceeded in-transit".
Buscando el problema vi que los pings desde el router de la compañia de adsl daban un TTL=3 cuando lo normal es más de 40. El TTL se decrementa cada vez que pasa por un router por lo que el router VPN cliente deja de enrutar a los equipos de su LAN.
###Router adsl
PING echo.nmap.org (45.33.32.156): 56 data bytes
64 bytes from 45.33.32.156: seq=0 ttl=3 time=212.908 ms
###Router VPN servidor
PING echo.nmap.org (45.33.32.156): 56 data bytes
64 bytes from 45.33.32.156: seq=0 ttl=2 time=215.654 ms
###Router VPN cliente con la VPN activa
PING echo.nmap.org (45.33.32.156): 56 data bytes
64 bytes from 45.33.32.156: seq=0 ttl=1 time=288.581 ms
###Router VPN cliente con la VPN inactiva
PING echo.nmap.org (45.33.32.156): 56 data bytes
64 bytes from 45.33.32.156: seq=0 ttl=46 time=169.136 ms
No se si habrá otra solución mejor para evitar los límites de enrutado que nos pone alguna compañía de adsl, aparte de pelearse con ésta para que los quite, pero a mí me ha funcionado instalando el paquete 'iptables-mod-ipopt' en el router cliente VPN y añadiendo en /etc/firewall.user la siguiente línea
iptables -t mangle -A PREROUTING -i tun0 -j TTL --ttl-inc 1
Con esto, iptables procesará los paquetes que le lleguen por la VPN e incrementará su ttl en 1 permitiendo un enrutado más.
Saludos
