aktuelle NetzwerkprobleMeme

MTU Problem

Symptom

Auf manchen clients im FF-DO-Netz laden manche Webseiten nicht (zZ status.ffdo.de, github.com, …).

Supernode Doku inkonsistent?

Supernodes/fastd meint:

  • MTU im Tunnel ist 1364 entspricht Transport-MTU 1450
  • Als Verschlüsselungsmethode wird nur noch “salsa2012+umac” zugelassen. Die MTU ist auf 1280 eingestellt (entspricht Transport-MTU 1366).

Mit MTU 1280 kommt https://status.ffdo.de/

cat /var/lib/dhcp/dhclient.eth0.leases
lease {
  interface "eth0";
  fixed-address 10.233.37.10;
  option subnet-mask 255.255.0.0;
  option routers 10.233.32.1;
  option dhcp-lease-time 600;
  option dhcp-message-type 5;
  option domain-name-servers 10.233.32.1,10.233.16.1;
  option dhcp-server-identifier 10.233.32.1;
  option interface-mtu 1280;
  option ntp-servers 10.233.32.1,10.233.16.1;
  renew 3 2016/03/09 18:32:33;
  rebind 3 2016/03/09 18:37:29;
  expire 3 2016/03/09 18:38:44;
}
# ifconfig
eth0      Link encap:Ethernet  Hardware Adresse 00:14:2a:96:62:c1  
          inet Adresse:10.233.37.10  Bcast:10.233.255.255  Maske:255.255.0.0
          inet6-Adresse: 2a03:2260:50:5:c9eb:20f7:dfb5:621b/64 Gültigkeitsbereich:Global
          inet6-Adresse: 2a03:2260:50:5:214:2aff:fe96:62c1/64 Gültigkeitsbereich:Global
          inet6-Adresse: fe80::214:2aff:fe96:62c1/64 Gültigkeitsbereich:Verbindung
          UP BROADCAST RUNNING MULTICAST  MTU:1280  Metrik:1
          RX-Pakete:82717 Fehler:0 Verloren:0 Überläufe:0 Fenster:0
          TX-Pakete:36500 Fehler:0 Verloren:0 Überläufe:0 Träger:0
          Kollisionen:0 Sendewarteschlangenlänge:1000 
          RX-Bytes:60328360 (60.3 MB)  TX-Bytes:3482617 (3.4 MB)

Mit MTU 1500 kommt https://status.ffdo.de/ nicht:-(

# ifconfig eth0 mtu 1500
# ifconfig eth0
eth0      Link encap:Ethernet  Hardware Adresse 00:14:2a:96:62:c1  
          inet Adresse:10.233.37.10  Bcast:10.233.255.255  Maske:255.255.0.0
          inet6-Adresse: 2a03:2260:50:5:c9eb:20f7:dfb5:621b/64 Gültigkeitsbereich:Global
          inet6-Adresse: 2a03:2260:50:5:214:2aff:fe96:62c1/64 Gültigkeitsbereich:Global
          inet6-Adresse: fe80::214:2aff:fe96:62c1/64 Gültigkeitsbereich:Verbindung
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metrik:1
          RX-Pakete:130812 Fehler:0 Verloren:0 Überläufe:0 Fenster:0
          TX-Pakete:44833 Fehler:0 Verloren:0 Überläufe:0 Träger:0
          Kollisionen:0 Sendewarteschlangenlänge:1000 
          RX-Bytes:67857497 (67.8 MB)  TX-Bytes:4381016 (4.3 MB)
# tracepath status.ffdo.de
 1?: [LOCALHOST]                                         pmtu 1500
 1:  10.233.32.1                                          87.437ms 
 1:  10.233.32.1                                          75.879ms 
 2:  10.233.16.1                                         155.571ms asymm  1 
 3:  10.233.16.1                                         147.653ms pmtu 1400
 3:  10.0.6.5                                            138.895ms asymm  2 
 4:  100.64.2.62                                         273.430ms asymm  3 
 5:  strato.nikhef.nl-ix.net                             231.958ms asymm  4 
 6:  no reply
 7:  be10-1184.rbx-g1-a9.fr.eu                           150.556ms asymm  8 
 8:  be100-1120.fra-5-a9.de.eu                           111.316ms asymm  9 
 9:  be1-1171.sbg-g2-a9.fr.eu                            186.281ms asymm 10 
10:  vl20.sbg-g2-a75.fr.eu                               177.505ms asymm 12 
11:  be50-7.sbg-4a-a9.fr.eu                              164.236ms asymm 13 
12:  digitmedia.de                                       130.633ms reached
     Resume: pmtu 1400 hops 12 back 11

Wo verschwinden die ICMP Pakete …

… die für die pMTUd gebraucht werden?

Das Routing von status.ffdo.de zum FFRL sieht zZ (20.3.) so aus:

tracepath -b 185.66.194.42
  1?: [LOCALHOST]                                         pmtu 1500
  1:  37.187.168.253 (37.187.168.253)                       0.972ms
  1:  37.187.168.253 (37.187.168.253)                       0.929ms
  2:  po116.sbg-g1-a75.fr.eu (188.165.9.75)                 0.291ms
  3:  be1-20.sbg-g1-a9.fr.eu (178.33.103.200)               0.921ms
  4:  be100-1170.fra-1-a9.de.eu (37.187.232.87)             3.458ms
  5:  atuin.rzone.de (80.81.192.110)                        9.160ms
  6:  ae0.0.morla.as6724.net (81.169.144.33)                3.438ms
  7:  xe-0-0-1.core-b30.as6724.net (85.214.0.64)           14.810ms asymm  6
  8:  no reply

Was mag der RIPE DB Eintrag für den letzten sichtbaren hop bedeuten?:

% whois -h whois.ripe.net 85.214.0.64
[...]
% Information related to '85.214.0.0/24AS6724'

route:          85.214.0.0/24
descr:          STRATO AG
descr:          prefix only advertised in case of DDoS
origin:         AS6724
mnt-by:         STRATO-RZG-MNT
created:        2014-02-18T16:19:15Z
last-modified:  2014-02-18T16:19:15Z
source:         RIPE

Lösungsmöglichkeiten?

  • Eruieren, was der obige “DDos prefix” von Strato genau bedeutet.
  • “MTU and Fragmentation Issues with In-the-Network Tunneling” RFC 4459.

Techniker ist informiert

http://www.buzzfeed.com/sebastianfiebrig/techniker-ist-informiert

Techniker, you have no power here

Techniker, you have no power here