Thema "Betreff: GRE Protokoll gesperrt?" in Störungen im Kabel-Netz

GRE Protokoll gesperrt?

Brunhilde42 — Tue, 05 May 2026 18:28:47 GMT

Sehr geehte Forist*Innen sowie Vodafone-Mitarbeitende, ich habe ein Problem bezüglich meines Vodafone-Anschlusses.

Ich möchte mich über das GRE-Protokoll (Protokoll 47) mit einem Server verbinden. Ich besitze eine öffentlich routbare IPv6 über Dual Stack Lite.

Wenn ich eine Verbindung zu dem Server herstelle, zeigt mir tcpdump an, dass GRE-Traffic aus dem Netzwerk-Interface herausgeht. Jedoch kommt kein Traffic zurück, trotz hinreichend geöffneter Firewall seitens FritzBox und Endgerät. Firewall-Probleme innerhalb meines lokalen Netzwerkes können also ziemlich sicher ausgeschlossen werden.

Es liegt nicht am Anbieter des GRE-Endpoints. Dies konnte ich bestätigen, indem ich über mobile Daten (also aus einem anderen Netz) ein GRE-Packet an den "GRE-Client" gesendet habe, welches ebenfalls nicht in meinem Heimnetz ankam.

Daher stellt sich für mich die Frage: Filtern Vodafone-Firewalls GRE-Traffic? Und wenn ja, besteht die Möglichkeit, trotzdem IP-Packete mit GRE-Protokoll zu versenden (IPSec, Wireguard, etc. ist keine Option; es *muss* leider GRE sein)

MfG,

Brunhilde

Re: GRE Protokoll gesperrt?

elli_8098 — Thu, 07 May 2026 09:05:55 GMT

Hallo Brunhilde,

bei einem Anschluss mit Dual Stack Lite (DS‑Lite) ist die Nutzung von GRE (Protokoll 47) leider eingeschränkt:

DS‑Lite nutzt Carrier-Grade-NAT
Dieses unterstützt nur TCP/UDP zuverlässig
GRE‑Pakete können nicht korrekt zugeordnet werden und werden daher meist verworfen. Deshalb gehen Deine Pakete raus, aber es kommt nichts zurück.

Re: GRE Protokoll gesperrt?

seelo2010 — Thu, 07 May 2026 09:27:37 GMT

@elli_8098

Deine Aussage ist leider nur bedingt korrekt.

@Brunhilde42 möchte ja das GRE Protokoll auf IPv6 nutzen, die Pakete erreichen gar nicht das AFTR Gateway, somit spielt es keine Rolle wie der IPv4 Traffic geroutet wird.

Es ist jedoch wichtig, dass @Brunhilde42 die gesamte GRE/VPN Verbindung ausschließlich via IPv6 aufbaut und betreibt.

Betreff: GRE Protokoll gesperrt?

RobertP — Thu, 07 May 2026 10:51:01 GMT

@Brunhilde42 schrieb:
Ich möchte mich über das GRE-Protokoll (Protokoll 47) mit einem Server verbinden.

kannst du das mal genauer erklären?

Betreff: GRE Protokoll gesperrt?

Brunhilde42 — Thu, 07 May 2026 13:02:59 GMT

Beim GRE-Protokoll handelt es sich um ein verbindungsloses Protokoll auf OSI Ebene 4 (gleiche Ebene wie TCP oder UDP), welches für Netzwerktunnel (sozusagen für ein VPN) genutzt werden kann. Aktuell möchte ich es dafür nutzen, IPv4-Traffic einer öffentlich routbaren IPv4-Addresse über IPv6 in mein Heimnetz zu bekommen.

Das Problem ist, dass das Vodafone-Netz diese GRE-Pakete verschluckt. (In welche Richtung diese verschluckt werden, muss ich noch rausfinden) Ich sende also ein GRE-Paket und kann bestätigen, dass es meinen einen Rechner verlässt, aber es kommt nicht im Zielnetz von Vodafone trotz GRE-Protokoll-Weiterleitung in der Fritz Box an. Da das Paket auch in delegierten IPv6-Präfixen nicht empfangen wird, in denen ich volle Kontrolle über den Router habe und die Firewall der FritzBox hier keine Rolle spielt, kann ich einen Firewall-Konfigurationsfehler meinerseits ausschließen.

Es muss sich also entweder um einen FritzBox-Bug handeln (sehr unwahrscheinlich, da ich nicht glaube, dass die FritzBox einen Bug in der eigenen Firewall UND in der direkten Weiterleitung von Paketen an delegierte Präfixe hat, bei denen spezifisch nur GRE-Pakete rejected werden), oder Vodafone blockiert die Pakete aus irgendeinem Grund.

Betreff: GRE Protokoll gesperrt?

seelo2010 — Thu, 07 May 2026 13:09:39 GMT

Das ist etwas anderes, was du jetzt schreibst.

Du musst das GRE Protokoll mit IPv6 Erweiterung auf der Layer3 Ebene direkt mit IPv6 betreiben.

Betreff: GRE Protokoll gesperrt?

Brunhilde42 — Thu, 07 May 2026 14:35:21 GMT

Könntest du erläutern, wie du das meinst (speziell den Part mit dem Betreiben über IPv6)? Die Aussage von mir, GRE sei auf der Ebene OSI-4, ist tatsächlich falsch (es ist außerhalb des Schichtmodells, bzw. verbindet zwei Network Layers).

Meine GRE-Pakete werden vollständig über IPv6 versendet – lediglich das eingekapselte Paket ist ein IPv4-Paket.

Betreff: GRE Protokoll gesperrt?

RobertP — Thu, 07 May 2026 14:49:04 GMT

du solltest jetzt nicht erklären was GRE Tunneling ist, sondern wie du das gedenkst umzusetzen

du schreibst auch etwas von einem Anbieter, welcher ist das?

Betreff: GRE Protokoll gesperrt?

seelo2010 — Thu, 07 May 2026 14:57:43 GMT

Genau, alles was übers GRE Protokoll im Layer 3 abgewickelt wird, darf nur via IPv6 abgewickelt werden.

Dafür ist meines Wissens eine Erweiterung um das IPv6 Protokoll beim GRE Server/Client erforderlich.

Was du innerhalb des VPNs überträgst spielt keine Rolle.

Betreff: GRE Protokoll gesperrt?

Brunhilde42 — Thu, 07 May 2026 17:18:51 GMT

Anbieter ist noez.de.

Hinter meine FritzBox ist ein OpenWRT-Router geschaltet, an den die FritzBox für delegierte IPv6-Subnetze die Firewallaufgaben delegiert. Da tcpdump die Pakete vor der Firewall abfängt, ist die Konfiguration selbiger erstmal irrelevant.

Wenn ich das interne Gateway des virtuellen Netzes pinge, meldet tcpdump folgendes:

IP6 [censored public IPv6 of OpenWRT router] > [noez.de IPv6 endpoint]: GREv0, length 88: IP 192.168.2.30 > 192.168.2.29: ICMP echo request, id 9258, seq 1, length 64

192.168.2.28/30 ist dabei das VPN-Netz (mit privaten IPv4-Addressen). Der Endpoint sendet keine Antwort auf den ping request.

Habe jetzt noch ein bisschen mehr Troubleshooting durchgeführt, folgendes zeichnet sich bei der GRE-Erreichbarkeit von außerhalb des Heimnetzes auf den OpenWRT-Router ab:

erreichbar innerhalb des FritzBox-Netzwerkes
erreichbar über Handy-Hotspot, wobei Handy Netz vom Heimnetz bezieht
nicht erreichbar über Handy-Hotspot mit mobilen Daten
erreichbar über Netz eines benachbarten DS-Lite-Anschlusses bei Vodafone
erreichbar über VPS in einem anderen AS

Ursprünglich habe ich nur den ersten und den dritten Troubleshooting-Schritt gemacht. Mit den neuen Daten kann ich nun mit ziemlicher Sicherheit sagen, das es am Anbieter oder meiner Konfiguration liegt. Ich vermute außerdem, das mein Anbieter von mobilen Daten GRE-Traffic filtert.

Vielen Dank für das Input von euch 🙂

EDIT: Vodafone macht doch irgendwas, siehe nächste Seite

Betreff: GRE Protokoll gesperrt?

Brunhilde42 — Thu, 07 May 2026 17:05:20 GMT

Es wird immer mysteriöser... Habe den GRE-Tunnel-Endpoint von noez.de so konfiguriert, das er auf die IPv6 einer VPS zeigt. Dort kommt der Traffic tatsächlich an (tatsächlich kann ich auch die öffentliche Addresse pingen, und ich sehe den ping in meiner VPS). Irgendwas scheint also doch eingehenden Traffic von noez.de zu meinem Heimnetz abzufangen (anscheinend auch nur Traffic von Noez, wie oben beschrieben konnte ich selbst traffic generieren, der auch in meinem Heimnetz empfangen wurde)

Habt ihr ne Idee, woran das liegen könnte?

Betreff: GRE Protokoll gesperrt?

Brunhilde42 — Thu, 07 May 2026 17:32:20 GMT

Da es etwas unübersichtlich wird, hier noch ne Grafik der aktuellen Situation. Konfigurationen mit verschluckten Paketen in rot, die Farbe grün zeigt an, das GRE-Pakete durchgekommen sind.