Massives Routing-/SSL-Handshake-Problem zu Cloudflare über IPv6 (Fehler: SEC_E_ILLEGAL_MESSAGE)

[Martin20097]

Hallo Vodafone-Team,

ich wende mich an das Community-Team, da wir ein schwerwiegendes, netzweites Routing- und Peering-Problem festgestellt haben, das Kunden im gesamten Vodafone-Netz (sowohl GigaCube/Mobilfunk als auch Kabel/Festnetz) betrifft.

Das Problem: Die Webseite buchungen.memomed.de (wird via CNAME auf memomed.wundercoach.net weitergeleitet) ist aus dem Vodafone-Netz heraus nicht erreichbar. Aus Netzen anderer Anbieter (Telekom, o2) funktioniert der Zugriff dagegen einwandfrei.

Technische Analyse & Beweise: Ein tracert auf die Domain zeigt, dass die Namensauflösung funktioniert, der Traffic jedoch ab Schritt 15/16 (Übergang vom Twelve99-Backbone zu DigitalOcean/Cloudflare) ins Leere läuft bzw. blockiert wird.

Die genaue Ursache konnten wir über einen detaillierten curl-Aufruf isolieren. Es liegt ein schwerwiegender SSL/TLS-Handshake-Fehler über IPv6 vor. Windows bricht die Verbindung mit der Fehlermeldung SEC_E_ILLEGAL_MESSAGE (0x80090326) hart ab. Das deutet darauf hin, dass auf dem IPv6-Weg zwischen Vodafone und Cloudflare Datenpakete fragmentiert oder korrumpiert werden (wahrscheinlich ein MTU-/MSS-Konflikt im Backbone), wodurch der Krypto-Handshake fehlschlägt.

Zwingt man den Client über IPv4 (curl -4), läuft die Verbindung fehlerfrei durch. Da Cloudflare jedoch standardmäßig IPv6 erzwingt, scheitern reguläre Webaufrufe von Vodafone-Kunden im Browser komplett.

Hier der relevante Log des Verbindungsabbruchs:

Plaintext

C:\Users\user>curl -v https://buchungen.memomed.de
* Host buchungen.memomed.de:443 was resolved.
* IPv6: 2606:4700:3031::6815:2f30, 2606:4700:3033::ac43:9077
* IPv4: 104.21.47.48, 172.67.144.119
* Trying [2606:4700:3031::6815:2f30]:443...
* schannel: disabled automatic use of client certificate
* ALPN: curl offers http/1.1
* schannel: next InitializeSecurityContext failed: SEC_E_ILLEGAL_MESSAGE (0x80090326) – This error usually occurs when a fatal SSL/TLS alert is received (e.g. handshake failed). More detail may be available in the Windows System event log.
* closing connection #0
curl: (35) schannel: next InitializeSecurityContext failed: SEC_E_ILLEGAL_MESSAGE (0x80090326)

Zusammenfassung für die Technik:

• Ziel-IPs (Cloudflare-Anycast): 2606:4700:3031::6815:2f30

• Fehlerort: IPv6-Backbone-Übergang zu Cloudflare / AS14061 (DigitalOcean)

• Symptom: Korrupte Paketübertragung beim TLS-Handshake über IPv6.

Da der betroffene Dienst ein Buchungssystem für Kunden ist, entsteht hierdurch aktuell ein wirtschaftlicher Schaden, da Vodafone-Kunden nicht buchen können. Bitte leitet diese Daten an das Netzwerk-Engineering / Core-Technik weiter, damit das Peering bzw. die MTU-Verarbeitung auf diesem IPv6-Routingpfad überprüft wird.

Vielen Dank für die Unterstützung!

[RobertP]

kurz und knapp:

du befindest dich hier in einem reinen Kunden helfen Kunden Forum

wende dich an den Support:

https://forum.vodafone.de/t5/Willkommen-in-der-Community/Dein-Kontakt-zu-Vodafone/td-p/3319888

[Martin20097]

Danke für den Hinweis! Da die normale Hotline bei tiefergehenden Routing- und SSL-Problemen im Backbone leider oft überfordert ist, hoffe ich hier auf ein Mitlesen der Vodafone-Moderatoren. Diese können solche komplexen Netzwerktickets erfahrungsgemäß direkt an die zuständige Technik/Engineering-Abteilung eskalieren.

[RobertP]

---

@Martin20097  schrieb:

Da die normale Hotline bei tiefergehenden Routing- und SSL-Problemen im Backbone leider oft überfordert ist, hoffe ich hier auf ein Mitlesen der Vodafone-Moderatoren. Diese können solche komplexen Netzwerktickets erfahrungsgemäß direkt an die zuständige Technik/Engineering-Abteilung eskalieren.

---

wird nicht passieren

hier gibt es schon seit August 2022 keinen individuellen Support durch Vodafone Moderatoren mehr

[RobertP]

welche Nameserver verwendest du?

 nslookup buchungen.memomed.de
Server:         1.1.1.1
Address:        1.1.1.1#53

Non-authoritative answer:
buchungen.memomed.de    canonical name = memomed.wundercoach.net.
Name:   memomed.wundercoach.net
Address: 138.68.114.12

[Martin20097]

Danke für die Info, hätte ja klappen können.

[Martin20097]

Was genau meinst du?
Das Routing läuft über Cloudflare.

[RobertP · Accepted solution]

curl -v https://buchungen.memomed.de
* Host buchungen.memomed.de:443 was resolved.
* IPv6: 2606:4700:3031::6815:2f30, 2606:4700:3033::ac43:9077
* IPv4: 104.21.47.48, 172.67.144.119
* Trying [2606:4700:3031::6815:2f30]:443...

vs:

 curl -v https://buchungen.memomed.de
*   Trying 138.68.114.12:443...
* Connected to buchungen.memomed.de (138.68.114.12) port 443 (#0)

[Martin20097]

Ok, dann hat die änderung bei Cloudflare was gebracht, aber aufrufen kann ich die Seite aus dem Vodafone Netz immer noch nicht:

curl -v https://buchungen.memomed.de
* Host buchungen.memomed.de:443 was resolved.
* IPv6: (none)
* IPv4: 138.68.114.12
* Trying 138.68.114.12:443...
* connect to 138.68.114.12 port 443 from 0.0.0.0 port 55969 failed: Timed out
* Failed to connect to buchungen.memomed.de port 443 after 21159 ms: Could not connect to server
* closing connection #0
curl: (28) Failed to connect to buchungen.memomed.de port 443 after 21159 ms: Could not connect to server

[RobertP]

die Seite lässt sich bei mir problemlos öffnen (Vodafone Mobilfunk)