Citrix und UPC: Verbindung sehr schlecht

thomak37 · 2020-11-13T10:10:49+00:00

Sunrise Community - Kunden helfen anderen Kunden rund um die Themen Fernsehen, Internet, Telefon und Mobile. Jetzt registrieren!

Belegnor

Hallo @thomak37

Habt Ihr die IPS Logs Eurer Firewall überprüft? UDP ist zwar effizienter, aber dafür auch “geschwätziger”, d. h., es werden mehr Anfragen/Pakete als bei TCP Verbindungen gesendet (oder zumindest habe ich dieses Verhalten bei einigen Applikationen festgestellt, wie z. B SSL VPN mit DTLS Unterstützung …). Wenn die Anzahl der UDP-Requests/Packets den im IPS konfigurierten Schwellenwert übersteigt, dann fängt die Firewall an, diese zu verwerfen, was zu instabilen Verbindungen führen kann.

Gruss

GrandDixence

@thomak37 schrieb:

Wir haben MTUDiscovery zum Testen aktiviert, leider ohne Erfolg. Wir werden UDP leider wieder deaktivieren müssen, wenn es keine andere Lösung gibt.

Ein “Path MTU Discovery”-Verfahren (PMTUD) ist üblicherweise darauf angewiesen, dass ICMP-Pakete von den Firewalls durchgelassen werden.

https://de.wikipedia.org/wiki/Internet_Control_Message_Protocol

Damit der Sender des zu grossen IP-Pakets per ICMP vom Router darauf hingewiesen werden kann, die Grösse der zu versendenden IP-Datenpakete zu reduzieren.

https://de.wikipedia.org/wiki/Path_MTU_Discovery

https://www.msxfaq.de/netzwerk/grundlagen/mtu.htm

Lässt eine Firewall kein ICMP durch, so fungiert diese Firewall als “Schwarzes Loch” für diese Verbindung (black hole). Leider sind weltweit zahlreiche Firewalls im Betrieb, die kein ICMP durchlassen. Auch sind Router im Einsatz, welche keine ICMP-Meldung konform zu RFC 1191 oder RFC 8201 (ehemals RFC 1981) senden:

https://de.wikipedia.org/wiki/Black_Hole_Router

Will man mit einem Serverdienst grosse UDP-Pakete, mit mehr als 548 Byte an Nutzdaten (IPv4-Paketgrösse > 576 Byte), versenden oder empfangen, so gibt es drei Lösungswege:

\=> Gleiches gilt auch für grosse IP-Pakete von Sonderverbindungen, wie zum Beispiel ESP (VPN-Tunnel)!

a) man sorgt dafür, dass von Client bis Server die MTU lückenlos immer mindestens 1500 Byte gross ist (MTU von Ethernet). => Bedingt bei UPC den Einsatz des EuroDOCSIS-Kabelmodems im Bridge-/Modem-Modus. Siehe auch Beitrag Nr. 6.

b) Server und Client verwenden ein “Path MTU Discovery”-Verfahren nach RFC 1191 (IPv4), RFC 8201 (IPv6; ehemals RFC 1981):

https://tools.ietf.org/html/rfc1191

https://tools.ietf.org/html/rfc8201

UND man sorgt dafür, dass ICMP-Pakete von allen Firewalls zwischen Client und Server in beide Richtungen (Uplink+Downlink) durchgelassen werden. In das Betriebssystem integrierte Firewall nicht vergessen (zum Beispiel: Windows-Firewall)! UND zwischen Client und Server ist kein “Black hole Router” im Einsatz:

https://de.wikipedia.org/wiki/Black_Hole_Router

c) Server und Client verwenden ein “Path MTU Discovery”-Verfahren, welches auch ohne ICMP zuverlässig die “Path MTU” feststellen kann. Zum Beispiel: PLPMTUD nach RFC 4821 und DPLPMTUD nach RFC 8899:

https://rtodto.net/packetization-layer-pmtu-discovery/

https://tools.ietf.org/html/rfc4821

https://tools.ietf.org/html/rfc8899

Grundsätzlich ist auch für TCP-Verbindungen ein “Path MTU Discovery”-Verfahren erforderlich. Jedoch unterstützen viele Router “MSS Clamping”, welches die “MTU < 1500 Byte”-Problematik bei TCP-Verbindungen wesentlich entschärft.

https://de.wikipedia.org/wiki/Maximum_Segment_Size

Ob für eine UDP-Verbindung, eine TCP-Verbindung oder eine Sonderverbindung ein “Path MTU Discovery”-Verfahren eingesetzt wird, ist in Wireshark am gesetzten Flag “Don’t Fragment” der IP-Pakete ersichtlich.

https://de.wikipedia.org/wiki/IP-Fragmentierung

https://en.wikipedia.org/wiki/IP_fragmentation

Zur Anwendung von Wireshark siehe “Allgemeine Fehlersuche und Fehlereingrenzung” gemäss Beitrag Nr. 3:

https://community.sunrise.ch/t5/Connect-Box/Gigaconnect-Aussetzer/m-p/152213#M3445

Zum Thema “fragmentierte IP-Pakete” sollten auch die Beiträge Nr. 9 und Nr. 11 unter:

https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151345#M3219

https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151351#M3221

beachtet werden.

thomak37

Nochmals: Ich kann nicht 2000 Anwender anweisen, den Brige-Mode zu aktivieren. Das versteht kaum einer und ist nicht praktikabel. Wenn der Bridge-Modus so gut ist, muss er von der UPC standardmässig gesetzt werden.

Wir haben MTUDiscovery zum Testen aktiviert, leider ohne Erfolg. Wir werden UDP leider wieder deaktivieren müssen, wenn es keine andere Lösung gibt.

GrandDixence

Im Bridge-/Modem-Modus weist bei allen heute im Einsatz stehenden EuroDOCSIS-Kabelmodeme von UPC Cablecom der Internetanschluss für IPv4 eine MTU von 1500 Byte auf.

https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151345#M3219

https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151378#M3233

https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151351#M3221

Im Router-Modus ist die MTU für IPv4 bei rund 1428 Byte.

https://community.sunrise.ch/t5/Connect-Box/Schlechte-Verbindungswerte-PS4/m-p/171520#M7732

Grund für die MTU < 1500 Byte bei IPv4 im Router-Modus ist der Einsatz von “Dual Stack Light”:

https://www.elektronik-kompendium.de/sites/net/2010211.htm

Wer Ärger und Probleme wünscht, darf gerne mehrjährige Empfehlungen in den Wind oder Sand setzen und sein EuroDOCSIS-Kabelmodem im Router-Modus betreiben. Dann sind, dank MTU < 1500 Byte, fragmentierte IP-Pakete und CGN, die Performance- (und Sicherheits)-Probleme vorprogrammiert. Viel Spass damit!

https://de.wikipedia.org/wiki/Carrier-grade_NAT

https://de.wikipedia.org/wiki/Maximum_Transmission_Unit

https://en.wikipedia.org/wiki/Maximum_transmission_unit

Für mehr Informationen zu MTU und fragmentierte IP-Pakete siehe auch Beitrag Nr. 8 und die dort verlinkten Beiträge.

Der Einsatz von IPv6 an einem Internetanschluss ist erst sinnvoll, wenn der Internetanschluss “echtes” Dual Stack unterstützt.
https://www.elektronik-kompendium.de/sites/net/1904041.htm

thomak37

Der Bridge-Modus kann ich nicht jedem Anwender, der bei UPC ist, empfehlen/erklären. Dazu ist es aus meiner Sicht nur ein Workaround.

Wir versuchen jetzt, das MTUDiscovery von Citrix zu aktivieren, was aus meiner Sicht auch nur ein Workaround ist.

thomak37

IPv6 ist zwar aktiviert, der Verbindungsaufbau zu Citrix XenDesktop findet allerdings über IPv4 statt.

GrandDixence

Allgemeine Fehlersuche und Fehlereingrenzung" gemäss Beitrag Nr. 3 durchführen:

https://community.sunrise.ch/t5/Connect-Box/Gigaconnect-Aussetzer/m-p/152213#M3445

Und ja, EuroDOCSIS-Kabelmodem in den Bridge-/Modem-Modus umschalten (lassen) => Gute Performance-Regel Nr. 1!

\=> Die “Gute Performance-Regel Nr. 1” feiert bald ihr 4 jähriges Jubiläum!!

TheSven

Ich bin jetzt nicht der Netzwerkspezialist, aber wenn ich deinen Link anschaue, sehe ich dass das Problem bei Ipv6 auftritt, aber nicht bei Ipv4. Ist das richtig so?

In dem Fall würde ich sagen, hilft das Umstellen auf Ipv4 only bei UPC. Dies kann man beim Support beantragen.

Wäre interessant zu hören, ob damit das Problem behoben ist.

luvbuv

Hallo Zusammen
Kann die Problemstellung bestätigen. Auch wir setzten im Büro Citrix XenDesktop ein und hatten bei diversen Mitarbeitern mit unterschiedlichen Internet-Providern komische Phänomene (kein Starten von neuen Citrix Sessions möglich - via Citrix Workspace ging es nicht und aktuell bei mir sehr oft Verzögerungen der aktiven Session (Paketverlust / lange Antwortzeiten). Das Deaktivieren von UDP auf der Citrix Infrastruktur und somit der Wechsel zurück auf TCP hat einige Probleme behoben, leider aber nicht bei meinem Setup zu Hause. Zum Teil bis zu 10 Sekunden Aussetzer der Citrix Session, kein Arbeiten in HomeOffice Zeiten :-( Ach ja, es spielt auch keine Rolle ob WLAN oder LAN und auch das OS kann ich ausschliessen. Sobald ich ein Hotspot übers Handy mache sind die Probleme weg…

Habe ich das korrekt verstanden, dass ich meine ConnectBox nun fix auf ipv4 und in den „Bridge-Modus“ umstellen lassen muss um das Problem zu lösen?
danke und gruss

Daniele_Sunrise

luvbuv Herzlich Willkommen in der Community!

Ich würde nicht gleich den Bridge Modus nutzen. Wir können zuerst als test dein Modem auf IPv4 umstellen und du testest es danach nochmals. Falls es nichts nützt, kannst du selber danach das Modem in den Bridge Modus setzen und deinen eigenen Router installieren.

Sollen wir dein Modem auf IPv4 umstellen?

Liebe Grüsse
Daniele

luvbuv

Hoi Daniele

Ja, sehr gerne. Was brauchst du für Angaben von mir?

gruss

Daniele_Sunrise

luvbuv Wir benötigen keine Daten - dein Konto habe ich gefunden.

Wir haben die Umstellung vorgenommen, welche in 30 Minuten abgeschlossen ist. Starte anschliessend dein Modem neu. Falls du Schwierigkeiten hast, führe ein Modemreset aus. Drücke dazu sanft mit einem spitzen Gegenstand den Reset Knopf auf der Rückseite für mindestens 25 Sekunden.

Liebe Grüsse
Daniele

luvbuv

Salü Daniele

Danke für die prompte Unterstützung. Ich werde nächste Woche testen ob damit mein Problem gelöst ist. Ich melde mich hier nochmals.

gruss

luvbuv

Hoi Daniele

Habe nach 3 Arbeitstagen mit weiteren „Citrix-Hängern“ im HomeOffice die UPC Connect Box nun in den BridgeModus gestellt und meine Fritzbox managed nun das Netzwerk (DHCP, Mesh, WLAN usw.). Leider leider bringt aber auch das NICHTs. Noch immer haben wir bei Citrix Sessions massive „Hänger“ und ein Arbeiten ist sehr mühsam. Hast du mir noch ein paar weitere Tipps? Ich bin noch nicht so lange UPC Kunde und ganz am Anfang gab es diese Probleme nicht (März 2021). Erst seit dem der 2FA via Connect App nötig war (so mein Gefühl). Kann das ein Grund sein?

Danke für eure Hilfe
LuvBuv

Daniele_Sunrise

luvbuv Ich habe soeben einen Techniker beauftragt, die Signalwerte bei dir neu einzupegeln. Du wirst innerhalb 24 Stunden für eine Terminvereinbarung kontaktiert werden.

Liebe Grüsse
Daniele

Drehzahl73

Daniele_Sunrise
Hoi
ich habe das gleich Phänomen wie luvbuv
Mein Router ist schon ewig auf IPv4 und als Modem eingestellt. Egal wie ich mich mit welchem Gerät ich den connect aufbaue, die Citrix VDA ist extrem grusig.
Ich nutze die Unifi UDM Pro incl. APpro und Unifi Switches. Alle Systeme und meine Clients arbeiten ohne Probleme, nur die Verbindung zum Citrix ins Büro ist nicht wirklich zu gebrauchen.
Jetzt habe ich gelesen, das es evtl. an den Signalwerten liegen kann. Kann man das auch selbst prüfen, ich meine alles andere funktioniert ja soweit gut. Ein Kollege hat die gleiche Hardware zuhause und die Einstellungen sind identisch, nur der Provider unterscheidet sich.
Hast du evtl. ne Idee?
Gruss und Dank
Heiko

p.S. das Problem besteht seit ca. Anfang Mai.

luvbuv

Salü Daniele

Die Korrekturen vor Ort haben schon einen ersten Teil-Erfolg verzeichnet. Die Citrix Sessions sind nur noch sehr selten verzögert und das Arbeiten im HomeOffice macht wieder Spass.

Der Verteiler im Gebäude muss zwingend modernisiert werden, das habt ihr zusammen mit der Verwaltung nun ebenfalls in die Wege geleitet. Ich bedanke mich für deine super Unterstützung, top Service!

Danke und Gruss
LuvBuv

GrandDixence

@luvbuv
24h/7Tage-Leitungstest einrichten gemäss:
https://community.sunrise.ch/d/8569-gigaconnect-aussetzer/25
und die rote Kurve der Paketverlustrate beobachten.

Mit einem 24h/7Tage-Leitungstest können technische Mängel am Internetanschluss frühzeitig erkannt werden. Bevor der Mangel spürbare Auswirkungen auf die Funktionstüchtigkeit des Internetanschlusses hat.

Dank der Vorwärtsfehlerkorrektur (FEC) und dem üblicherweise eingesetzten Netzwerkprotokoll TCP sind Paketverluste und Paketverfälschungen für die Benutzer des Internetanschlusses erst ab einer hohen Paketverlustrate spür- und bemerkbar.
https://de.wikipedia.org/wiki/Transmission_Control_Protocol

Für mehr Informationen zur Paketverlustrate siehe:
https://community.sunrise.ch/d/16127-extrem-langsames-internet-schon-wieder

https://community.swisscom.ch/t5/Internet-Allgemein/IB3-erreicht-nur-2-4-gbit-down-up-anstatt-10-gbit-8-2gbit-die/m-p/680968#M63181

https://de.wikipedia.org/wiki/Reichweite_(Funktechnik)

Das Netzwerkprotokoll UDP sollte nur für zeitkritische Anwendungen, VPN-Tunneln, DHCP und DNS eingesetzt werden. UDP ist sensibel gegenüber Paketverluste und Paketverfälschungen:
https://de.wikipedia.org/wiki/User_Datagram_Protocol

Beispiele von zeitkritische Anwendungen sind:

Gaming
Sprachtelefonie (VoIP, MS Teams und so weiter)

Für alle nicht-zeitkritischen Anwendungen sollte die Verwendung des Netzwerkprotokolls UDP mit einer entsprechenden Firewallregel in der eigenen Hardware-Firewall blockiert werden. Siehe dazu:
https://community.swisscom.ch/t5/Internet-Allgemein/Glasfaserausbau/m-p/669736#M62750

und die “Gute Performance”-Regeln Nr. 1 bis und mit Nr. 5:
https://community.sunrise.ch/d/4397-diagnose-tool-der-connect-box-sagt-ihr-heim-netzwerk-hat-derzeit-einige-probl/27

Daniele_Sunrise

Drehzahl73 Wir haben die Signalwerte überprüft und diese sind optimal. Vielleicht haben andere Tipps, was man noch wie an deinen Geräten einstellen kann.

Hast du als Test einmal das Modem in den Router Modus gesetzt und VPN getestet?

Liebe Grüsse
Daniele

Drehzahl73

Daniele_Sunrise
Hoi
nein haben ich nicht das ich dann mein komplettes Netzwerk vergessen kann und ich bin nicht der einzige der von zuhause Arbeitet, aber der einzige mit CTX. Das WLAN reicht hinten und vorne nicht und die Einstellungsmöglichkeiten sind mit Verlaub suboptimal. Da die Anschlüsse im Haus nicht so passen müsste ich neu verkabeln oder längere Kabel holen. Wenn von euch aus alles Gut ist und seitens Firma nichts geändert werden kann, dann ist das so und ich brauche ein 2. Internetanschluss für die Arbeit. Derzeit wird nun der ServiceDesk bei uns umgestellt, das sie die BYOD User fragen welchen Provider sie haben, da ich nach kurzem rumfragen im Büro noch weitere UPC Kunden gefunden habe die ähnliche Probleme haben, aber auch der IPv6 Routereinstellung stehen.
Danke fürs Nachschauen

« Vorherige Seite