Frage
Antwort
Lösung
12.09.2023 22:11 - bearbeitet 12.09.2023 22:17
Wie ich darauf komme: Probleme mit meinem IPv6 IPSEC VPN, das auch in der Vergangenheit schon empfindlich auf Probleme mit PMTUD/fragment loss war. Insofern habe ich als erstes da angefangen zu suchen.
Wireshark dump beim Aufbau IPv6 basiertes IPSEC VPN scheint zu zeigt, dass die ESP pakete nicht durchgehen sobald sie fragmentiert sind. Habe dann aber nicht mehr genauer untersucht.
Statdessen Tests für ICMP(v6) gefahren:
Der Test [1] zeigt, das bei IPv6 Fragmente über das mobilfunknetz (cellular) nicht funktionieren.
Bei IPv4 scheint die PMTUD über das Mobilfunknetz nicht zu gehen, siehe [2].
Cross-Check 1: die Ergebnisse (Daten im Mobilfunknetz) sind sowohl bei auf meinem Mobiltelefon (iOS), wie auch Laptop (Windows 11) mit Daten-sim (beide Vodafone, beides der gleiche Vertrag) identisch.
Cross-check: mit einem alternativen Festnetz-internet (VF Kabel Internet, via WLAN, FritzBox) sind die Ergebnis auf den beiden Seiten [1] und [2], also für IPv6 wie auch IPv4, unauffällig, alles geht, keine Fehlermeldungen. Getestet ebenfalls auf dem gleichen Laptop und dem gleichen Telefon, nur eben WLAN an und Cellular abgeschaltet.
=> Schlussfolgerung: es ist kein Windows problem, kein Problem mit einem einzelnen System
Zusammenfassung aus den Tests [1] und [2]:
ipv6 - pmtud ; ipv6 - fragments ; ipv4 - pmtud ; ipv4 - fragments
Mobilfunk Daten: OK NOT OK NOT OK OK
Festnetz Internet: OK OK OK OK
Kann die Ergebnisse jemand unabhängiges bestätigen?
[1]
http://icmpcheckv6.popcount.org/
meldet:
"✗ The request timed out. Looks like IP fragments failed to be delivered to you."
[2]
http://icmpcheck.popcount.org/
meldet:
"✗ The request timed out. Looks like the ICMP Path MTU message was not delivered to you."
Gelöst! Gehe zu Lösung.
24.05.2024 07:44 - bearbeitet 24.05.2024 07:47
Bei mir - seit aktivierung der Option 5G+ - keine Probleme mehr und sowohl IPv6 PMTUD wie auch Fragments funktionieren.
Gleiches gilt übriges, wenn man eine SIM-Karte auf der die Option 5G+ aktiviert ist in einem anderen Telefon verwendet. Konkret sogar dann, wenn das Telefon gar kein 5G kann! (Altes iPhone 8 als Test).
Der Workaround funktioniert auch bei NICHT 5G-fähige Telefonen!
Nur aktivieren lässt sich die Option da nicht, das muss man auf einem anderen Telefon mit 5G tun - oder eventuell über die Hotline (ob die das wohl verstehen?).
Wäre natürlich schön, wenn VF einfach und automatisch alles über die neue (fehlerfreie) Infrastruktur abwickeln würde. Zumindest alles was 4G und 5G ist. Das die "alte" Infrastruktur (mit dem Fehler) nochmal gefixt wird ist ja eher unwahrscheinlich.
Anway - dieser Thread kann IMO geschlossen werden. Ich markiere diesen Eintrag als Lösung.
am 13.09.2023 09:01
Das Blockieren fragmentierter IPv6 Pakete kann ich leider bestätigen. Ich habe dadurch auch VPN Probleme.
am 13.09.2023 12:49
Hallo Thomas,
1.
danke fürs bestätigen der IPv6 Problematik. Damit wäre VF dann nicht RFC8504 konform, das klingt bedenklich.
Zitat aus der RFC:
Nodes MUST always be able to send, receive, and process Fragment headers.
Ich frag mal Tobi ob er das fixen kann...
2.
Zum zweiten Thema, Thomas, kannst Du zufällig auch das PMTUD Problem auf v4 bestätigen?
am 13.09.2023 20:44
Bei v4 ist alles grün.
14.09.2023 08:27 - bearbeitet 14.09.2023 08:28
Danke Thomas. Kannst Du noch verraten auf welchem / was für einem system getestet? Bei mir bei IPv4 PMTUD weiterhin rot.
Probiere auch nochmal, in meinem Umfeld einen dritten Tester zu organisieren.
14.09.2023 16:47 - bearbeitet 14.09.2023 16:48
Ergänzung, Ergebnisse aus weiteren Tests mit Bekannten und Kollegen:
Telekom-Netz (DE) mit Google Pixel:
IPv6: PMTUD OK ; Fragments OK
IPv4: PMTUD NOT-OK ; Fragments OK
Fyve (VF Netz, DE), iPhone 13 mit aktuellestem iOS :
IPv6: PMTUD OK ; Fragments NOT-OK
IPv4: PMTUD NOT-OK ; Fragments OK
Verizon (US, von innerhalb der USA), mit einem Google Pixel:
IPv6: PMTUD OK ; Fragments NOT-OK
IPv4: PMTUD OK ; Fragments OK
Vodafone (DE), iPhone Telefon: (gleiches Setup wie bei mir, aber anderer Nutzer, gleibes Ergebnis wie bei mir (s.o.)
IPv6: PMTUD OK ; Fragments NOT-OK
IPv4: PMTUD NOT-OK ; Fragments OK
Vodafone (DE), Andoid Telefon:
IPv6: PMTUD OK ; Fragments NOT-OK
IPv4: PMTUD NOT-OK ; Fragments OK
Scheint also so, als würde die Telekom (DE) zumindest v6 komplett richtig machen.
IPv6 Fragments kommen hingegen in keinem der Vodafone Netze durch.
Und PMTUD IPv4 kann scheinbar nur die USA (wild guess, die machen kein CG NAT?).
am 15.09.2023 18:08
Hi @poeggi,
gern schauen wir uns das mit Dir nochmal gemeinsam an.
Meld Dich dazu bitte nochmal über folgenden Kontaktmöglichkeiten.
LG Chr1ssy
18.09.2023 19:13 - bearbeitet 18.09.2023 19:14
Hallo Chr1ssy,
nimm es mir bitte nicht übel, aber diese standardisierten Texte/Antworten aus der Konserve helfen nun wirklich niemandem.
Die Hotline ist chronisch überlastet und bei den zitierten "Kontaktmöglichkeiten" gibt es auch sonst keinen Kanal, über dem man differenziert ein Fehlerbild beschreiben könnte.
Insofern habe ich dieses Forum hier primär zur Dokumentation und beschreibung genutz und dann ein Ticket in der Technik der Firmenkundenbetreuung auf gemacht, über die Firma in der ich Arbeite und zu der auch das Mobiltelefon gehört.
Hoffnungsweise funktioniert der Kanal (TBC).
Denn eines ist sicher, das IPSEC via v6 auf Mobil nicht funktioniert, das ist ein echtes Problem das sicherlich nicht nur ich und Thomas haben.
Zusätzlich vermutlich noch diverse Kunden bei denen das Fehlerbild weniger eindeutig ist, z.B. der aufbau des Tunnels aus unklaren Gründen sehr lange dauert... bis z.B. nach timeout ein Fallback auf ein anderes Protokoll passiert.
am 18.09.2023 19:23
Hi @poeggi,
vielen Dank für Deine Rückmeldung.
Standard können wir gar nicht. Jede unserer Antworten ist mit ganz viel Liebe verfasst. Hier können wir Dich leider nicht unterstützen, da ein Zugriff auf Dein Kundenkonto nicht möglich ist. Das tut uns wirklich leid.
Natürlich hoffen wir sehr, dass andere User:innen hilfreiche Tipps Dich parat haben. Sollte dem nicht so sein, weißt Du ja, wie Du uns über die anderen Kontaktkanäle erreichen kannst.
Viele Grüße
R4mona
28.09.2023 07:55 - bearbeitet 28.09.2023 08:08
Update:
Ticket im Geschäftskundensupport ist eröffnet.
Die Technik VF sagt, der Fehler ist reproduzierbar und eingekreist (damit dann auch bestätigt, würde
ich verstehen).
Es wird wohl gerade mit dem/den Hersteller/n (der vermeintliche die Probleme auslösenden Netzwerkkomponenten) gesprochen.
Hört sich erstmal gut an!