Не больше 2ГБ через SSH за раз? Так должно быть?

Только это вообще никак не повлияло на разрыв при попытке подключения по ssh. Там всё осталось так было:

Так я больше скажу - оказывается ему даже самого факта попытки подключения не надо. Достаточно обратиться к живому хосту на том конце туннеля. Не важно - есть там кому отвечать или нет.

Сейчас вот забыл порт указать на Асусе - ткнулся к нему и VPN моргнул:

$ ssh vasya@192.168.71.1
ssh: connect to host 192.168.71.1 port 22: Connection refused
[--- тут на Микротике ovpn-out1: disconnected <poll error>---]
$ ssh vasya@192.168.71.1 -p xx22xx
vasya@192.168.71.1's password:

Что такого клиент ssh может слать в сеть, отчего VPN на Микротике сессию теряет?

Трафик захватите и смотрите на TTL пакетов.

Пока ничего осмысленно не нашёл.

Если на Микротике включить логи уровня debug - то сам факт <poll error> никак не расшифровывается. Просто вот «ой». Дальше уже в debug всякое sent P_CONTROL_HARD_RESET_CLIENT_V2, которое уже следствие того «ой».

Если смотреть в tcpdump на самой машине откуда делаю ssh - то тоже ничего интересного - при первой попытке просто ответа нет (что и понятно - тот хост-то пропал в конце туннеля), при второй попытке просто нормальное соединение.

Запустил nginx на 80-порту на удаленной машине - соединение по 80му порту никак не влияет на VPN. Тупо работает всегда с первого раза.

Посмотрел в Wireshark, там понятнее вроде:

При первом соединении:

Client: Key Exchange Init
шесть штук TCP Retransmission
и потом [RST]

При втором соединении:

Client: Key Exchange Init
Server: Key Exchange Init
Client: Diffie-Hellman Key Exchange Init
Server: Diffie-Hellman Key Exchange Reply, New Keys
ну и дальше у них уже всё хорошо, договорились

Не больше 2ГБ через SSH за раз? Так должно быть? (комментарий)

Т.е. вы хотите сказать, что запрос ключей для сессии SSHv2 и установленное соединение в сессии клиент-сервер VPN точно никак не могут быть связаны? Это технически разные вещи и не могут друг другу мешать в принципе? Так?

---

Расскажите пожалуйста, что вы имеете в виду под «Через VPN в другой стране»?

Вот машина D, она ходит в интернеты через М.
М соединён с А через VPN
За А находится машина K, с которой хочу иметь стабильную связь.

Если я на машине D установлю соединение VPN в Голландию так, что для всего остального интернета машина D будет видна как «я в Голландии» - как это мне поможет добраться до машины K в городе через совсем другой туннель? Что поменяется-то? Маршрут 192.168.88.0/24 <-> 192.168.71.0/24 же всё равно останется мимо Голландии? Или в чем фокус?

---

Вот что разумно было бы попробовать - погасить VPN-клинета на М, и сделать D прямым клиентом на А, чтобы исключить особенности реализации OpenVPN на Микротике. Только это малоинтересно в практическом смысле. Обычная схема использования этой системы в обратную сторону - из K, через A и через М смотреть на видеокамеры. В ту сторону - раз в полгода приспичивает.

Запишите трафик в pcap и выложите сюда (или пришлите мне на iam@valdikss.org.ru), я посмотрю и скажу вам.

ValdikSS всё почитал, всё понял и всё починил )

Оказывается проблема была в слишком большом MTU.

Когда уже знаешь правильный ответ - кажется, что весь интернет кишит рекомендациями ставить MTU 1200,1300,1400 для OpenVPN на UDP )

Только там нигде не объясняется зачем/почему. А неспециалисту трындец как непросто догадаться, что из-за фрагментации на нижнем уровне такая фигня может происходить с тяжелыми протоколами уровнем выше.