@Dominic330 schrieb:
Zuvor lief der Tunnel IPsec S2S mit ca 15Mbit, beide Seiten mit Connect 600, alles stabil keine unterbrüche oder sonstiges.
Demnach wurden für die Realisierung der beiden Internetanschlüsse je eine Connect Box eingesetzt. Die eingesetzte VPN-Tunnellösung produzierte massenhaft fragmentierte IP-Pakete. Entweder basierte dieser VPN-Tunnel auf zu grossen UDP-Pakete oder auf zu grosse ESP-Pakete. => Dies würde man in einer mit Wireshark auswertbaren Netzwerkaufzeichnung schön sehen.
Mit der Connect Box wirkt(e) offenbar eine Drosselung der fragmentierten IP-Pakete auf eine Datenrate von maximal 15 MBit/s. Hätte man diese VPN-Tunnellösung durch eine anständige VPN-Tunnellösung ersetzt, welche keine zu grossen UDP- oder ESP-Pakete auf die Reise zum fernen VPN-Endpunkt schickt(e), hätte man mit den beiden Connect Boxen eine VPN-Tunnellösung mit Bruttodatenübertragungsraten von 60 MBit/s realisieren können. Durch die Verschlüsselung ist die erzielbare Nettodatenübertragungsrate deutlich tiefer als die Bruttodatenübertragungsrate.
Aber das alles habe ich ja schon in Beitrag Nr. 11 erklärt…
@Dominic330 schrieb:
nach ca. 24h begannen die Probleme. Bei Seite A liefen Internetanfragen ins leere, TLS-Fehler bei Webseitenaufrufen etc. VPN lief korrekt, Seite B ohne Probleme. Wenn der Tunnel deaktiviert wird, funktioniert auf Seite A alles wieder wie gewohnt.
Der Giga Connect Box oder irgendeinem Router (im Netzwerk von UPC/Cablecom) wird es nach 24 Stunden Dauerbeschuss zu blöd mit den zahlreichen fragmentierten IP-Paketen von immer der gleichen Quelle und er beginnt mit der Drosselung oder gar Blockierung des gesamten Netzwerkverkehrs von dieser Quelle.
Eventuell werden nur grössere IP-Pakete blockiert, dies sollte mit Ping-Messungen mit gesetztem „don’t fragment (DF) bit“ leicht feststellbar sein:
https://de.wikipedia.org/wiki/Maximum_Transmission_Unit
Dies würde erklären, weshalb MSS clamping eine positive Wirkung haben könnte. Aber: MSS clamping ist eine Symptombekämpfung und keine Ursachenbekämpfung! !
Abhilfe (also Bekämpfung der Ursache): Quelle der fragmentierten IP-Pakete ausschalten. => Abschalten des VPN-Tunnels und die aktuell eingesetzte VPN-Tunnellösung durch eine anständige VPN-Tunnellösung ersetzen. Siehe Beitrag Nr. 11 für mehr Informationen…
@Dominic330 schrieb:
Falls sich ein Netzwerkspezialist von upc melden will, stehe ich gerne zur Verfügung.
Auch dieser Netzwerkspezialist wird in Wireshark auswertbare Netzwerkaufzeichnungen (*.pcap/*.pcapng) zur Fehlersuche einfordern…
