PathMTU und DSL

H6G

Ich habe in meinem Heimnetzwerk folgendes Problem:

Seit ein paar Wochen schlägt die TLS Verbindung zu einem Microsoft Teams API Server fehl, wenn im Client eine MTU von 1500 eingetragen ist.

Stelle ich diese auf 1492, kann die Verbindung aufgebaut werden.

Nun weiß mein PPPoE Client, dass die Verbindung nur 1492 Bytes breit ist.

Eigentlich sollte über PathMTU der Linux Client darüber auch Bescheid wissen.

Router: RB4011iGS+5HacQ2HnD mit RouterOS 7.16.1 (PPPoE Client)

Modem: FritzBox 7530 AX mit FritzOS 8

Client: Arch Linux / Chromium / Firefox

Betroffener Server: https://api-emea.flightproxy.teams.microsoft.com/api/v2/epconv

Daher einige Fragen:

- Ist das ein Problem seitens Microsoft, dass da der eine Server streikt und random die Verbindung nicht zustande kommt? (Vorher ging es ja auch)

Wenn nein:

- Fehlen auf dem Router (PPPoE Client) oder auf dem Linux Client irgendwelche Pakete oder Configs für PathMTU?

- Blockiert eine Firewall PathMTU?

- Spielt das VLAN Tag eine Rolle in der MTU?

Ziel ist es, eine funktionierende PathMTU Infrastruktur zu haben, ohne bei jedem Interface die MTU konfigurieren zu müssen, und gleichzeitig jedes Netzwerkziel mit der höchstmöglichen MTU anzusprechen.

z.B. verhindert das ja Jumbo Frames, falls ich mal welche nutzen möchte im 10 GBit/s Netzwerk.

dsp78

Ich kann Dir bei Teams nicht direkt helfen, da ich da keine Ahnung von habe, aber ich habe von einem der Entwickler der pfsense dieser Tage die Empfehlung gehört, die Paketgrößen generell auf 1420 runterzuregeln und nicht die volle Lotte einzustellen. Diese generelle Empfehlung war damit begründet, dass so halt selbst bei viel Overhead bspw durch VPN-Tunnel die Pakete nicht rechenintensiv neuverpackt und rausgeschickt werden müssen. Mit 1420 sei man diesbezüglich safe.

Nuja, vermutlich weißt Du das selbst, besser und ich erzähle Dir unnützes Zeug, dachte aber, dass der generelle Tip von einem pfsense-Entwickler jetzt nicht ganz dumm ist und erwähne das deshalb in dem Kontext. ,)

frank_m

Die entsprechenden ICMP Pakete lässt du durch? Kannst du MSS Clamping im Router einrichten?

H6G

Zitat von dsp78

Ich kann Dir bei Teams nicht direkt helfen

Läuft am Ende im Webbrowser und sieht man so bei Chromium, als auch im Firefox.

Meine Vermutung ist, dass es irgendwo bei ICMP klemmt.

dsp78

Zitat von frank_m

Die entsprechenden ICMP Pakete lässt du durch? Kannst du MSS Clamping im Router einrichten?

Auf den Sensen kann Du sowohl MSS Clamping als auch ICMP einstellen. Wobei der Default bei ICMP afaik off ist. Bei statischen Routen macht es für das Debugging Sinn die durchzulassen. Ich würde aber irgendwie bezweifeln, dass Teams nicht läuft, weil kein Ping möglich ist. Wobei... ,)

frank_m

Ping ist zwar ICMP, aber ICMP ist nicht (nur) Ping.

H6G

Zitat von frank_m

Die entsprechenden ICMP Pakete lässt du durch?

Gibt es irgendwie eine Möglichkeit dies zu testen?

IPv4 Firewall:

Code

/ip firewall connection tracking
set udp-timeout=10s
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

Alles anzeigen

IPv6 Firewall:

Code

/ipv6 firewall filter
add action=accept chain=forward comment=RELATED,ESTABLISHED connection-state=established,related
add action=accept chain=input comment=RELATED,ESTABLISHED connection-state=established,related
add action=accept chain=output comment=RELATED,ESTABLISHED connection-state=established,related
add action=accept chain=input comment=Allow-DHCPv6 dst-address=fe80::/10 dst-port=546 in-interface-list=WAN protocol=udp src-address=fe80::/10 src-port=547
add action=accept chain=input comment=Allow-MLD icmp-options=130:0 in-interface-list=WAN protocol=icmpv6 src-address=fe80::/10
add action=accept chain=input comment=Allow-MLD icmp-options=131:0 in-interface-list=WAN protocol=icmpv6 src-address=fe80::/10
add action=accept chain=input comment=Allow-MLD icmp-options=132:0 in-interface-list=WAN protocol=icmpv6 src-address=fe80::/10
add action=accept chain=input comment=Allow-MLD icmp-options=143:0 in-interface-list=WAN protocol=icmpv6 src-address=fe80::/10
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=128:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=129:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=1:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=2:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=3:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=4:0-1 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=133:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=135:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=134:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=input comment=Allow-ICMPv6-Input icmp-options=136:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=128:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=129:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=1:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=2:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=3:0-255 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment=Allow-ICMPv6-Forward icmp-options=4:0-1 in-interface-list=WAN limit=1k,0:packet protocol=icmpv6
add action=accept chain=forward comment="LAN => WAN Forward" in-interface-list=LAN out-interface-list=WAN
add action=reject chain=forward in-interface-list=WAN reject-with=icmp-port-unreachable
add action=reject chain=input in-interface-list=WAN reject-with=icmp-port-unreachable

Alles anzeigen

Die IPv6 Firewall hatte ich vor Jahren mal aus den OpenWRT Standard-Einstellungen übertragen.

Fehlt da etwas?

Alle irrelevanten Einträge habe ich mal entfernt.

Das PPPoE-Client Interface ist in der Gruppe WAN.

http://icmpcheckv6.popcount.org/ und http://icmpcheck.popcount.org/ funktionieren beide auf 1500.

MSS Clamping ist eine Möglichkeit. Dabei stieß ich auf: https://forum.mikrotik.com/viewtopic.php?t=207341

Mal gucken.

Unterstützt Vodafone RFC 4638 an DTAG DSLAMs?

dsp78

Wenn ich das richtig gelesen habe, akzeptierst Du ICMP auf IPv4 nur LAN intern und droppst auf WAN incoming, während Du auf IPv6 auch ICMP vom WAN akzeptierst.

Auf den Sensen stellst Du standardmäßig den MSS -40 unter MTU, also ist bei 1500 als MTU ist der Standard 1460 oder halt entsprechend analog. Du willst ja auch nicht mit einem LKW unter einer Brücke durchführen, die exakt die Höhe des LKW hat. Das macht trotzdem Aua. 😁

Bzgl Vodafone und deren DSLAMs keine Ahnung.

H6G

Zitat von dsp78

Wenn ich das richtig gelesen habe, akzeptierst Du ICMP auf IPv4 nur LAN intern und droppst auf WAN incoming

add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp

Das ist nicht Interface-Spezifisch. Ein Ping auf die Public-IP von außen funktioniert zudem.

H6G

Zitat von dsp78

Auf den Sensen stellst Du standardmäßig den MSS -40 unter MTU, also ist bei 1500 als MTU ist der Standard 1460 oder halt entsprechend analog. Du willst ja auch nicht mit einem LKW unter einer Brücke durchführen, die exakt die Höhe des LKW hat. Das macht trotzdem Aua.

clamp-to-pmtu ist bei mir eine Option in der Firewall bei mir.

Probiere ich morgen mal aus frank_m

Danke schonmal für den Hinweis mit dem MSS Clamping.

frank_m

Path MTU Discovery kann auch aufgrund einer Einschränkung eines Routers zwischen dir und dem Teams Server schief gehen. Das muss nicht an dir liegen. Dann bleibt nur MSS Clamping.

dsp78

Zitat von H6G

clamp-to-pmtu ist bei mir eine Option in der Firewall bei mir.

Probiere ich morgen mal aus frank_m

Danke schonmal für den Hinweis mit dem MSS Clamping.

Gern, hab grade gelesen, dass Du bei Verschlüsselung nochmal 100 Bytes abziehen solltest, also 1360 dann. Und das ist immernoch sehr viel, weil Du neben TCP und IP Header je 20 Bytes, auch nochmal die optionalen Flags (12 Bytes?) berücksichtigen solltest. Ganz safe wäre wohl MSS auf 1338.

PathMTU und DSL

H6G 6. Januar 2025 um 20:07

Benutzer online in diesem Thema