Hi Leute,
heute morgen um 02:40 war mein Netzwerk plötzlich weg.
Keinerlei Konfigurations-Aktivität in letzter Zeit - ich hab, wie es sich für einen anständigen Bürger gehört
nur Videos geguckt und Einkäufe getätigt.
Erste Analyse ergab, dass das Problem an den VPN-Tunnels liegt, die mein Basecamp mit den externen Sites verbinden. Die laufen mit openvpn, UDP und IPv6 und verwandeln das ganze Konstrukt in ein scheinbar homogenes LAN - und da geht teilweise nichts mehr durch.
Weitere Analyse der nackten IPv6 Verbindungen ergab dann, dass bei manchen eben das UDP nicht geht, bei anderen TCP nicht geht und bei wieder anderen ping/ICMP6 nicht geht - das alles völlig random und offenbar zufallsverteilt.
Mit tcpdump kann ich sehen, dass die Pakete hier im Basecamp abgeschickt werden, ich kann sie noch sehen wenn sie in PPPoE eingepackt ins DSL-Modem gehen. Aber auf der anderen Seite im Netzwerk-Interface tauchen sie nicht auf. Also hab ich erstmal bei der Telekom angerufen, und das ergab -natürlich- nichts.
Ein cluster-weiter Neustart ergab auch keine Besserung.
Das IPv6 ist so aufgesetzt, dass das Basecamp, das wie gesagt an einem Telekom DSL hängt, den Telekom /56 Prefix nutzt, die (drei) externen Sites sind über Tunnelbroker von HurricaneElectric angeschlossen, also mit gif Interfaces.
Zwischen den externen Sites, also innerhalb des HE-Netzes, scheint soweit alles normal zu funktionieren, nur vom (Telekom) Basecamp aus gibt es die Probleme. (Einen dritten Provider zum Vergleich hab ich erstmal nicht greifbar.)
Dann hab ich mich erstmal auf den ping konzentriert und bemerkt, dass das Verhalten auch davon abhängt, welche Absender-IP verwendet wird! Die gif Anbindung des Tunnelbroker verwendet zwei IPv6 Adressen für die Brückenpfeiler (in einem extra subnet) zusätzlich zum gerouteten Subnet, und auch diese (mindestens) drei Adressen verhalten sich jeweils unterschiedlich, wenn man sie anpingt. Zum Beispiel:
Irendjemand eine Idee, wo ich hier weitermachen könnte?
heute morgen um 02:40 war mein Netzwerk plötzlich weg.
Keinerlei Konfigurations-Aktivität in letzter Zeit - ich hab, wie es sich für einen anständigen Bürger gehört

Erste Analyse ergab, dass das Problem an den VPN-Tunnels liegt, die mein Basecamp mit den externen Sites verbinden. Die laufen mit openvpn, UDP und IPv6 und verwandeln das ganze Konstrukt in ein scheinbar homogenes LAN - und da geht teilweise nichts mehr durch.
Weitere Analyse der nackten IPv6 Verbindungen ergab dann, dass bei manchen eben das UDP nicht geht, bei anderen TCP nicht geht und bei wieder anderen ping/ICMP6 nicht geht - das alles völlig random und offenbar zufallsverteilt.
Mit tcpdump kann ich sehen, dass die Pakete hier im Basecamp abgeschickt werden, ich kann sie noch sehen wenn sie in PPPoE eingepackt ins DSL-Modem gehen. Aber auf der anderen Seite im Netzwerk-Interface tauchen sie nicht auf. Also hab ich erstmal bei der Telekom angerufen, und das ergab -natürlich- nichts.
Ein cluster-weiter Neustart ergab auch keine Besserung.
Das IPv6 ist so aufgesetzt, dass das Basecamp, das wie gesagt an einem Telekom DSL hängt, den Telekom /56 Prefix nutzt, die (drei) externen Sites sind über Tunnelbroker von HurricaneElectric angeschlossen, also mit gif Interfaces.
Zwischen den externen Sites, also innerhalb des HE-Netzes, scheint soweit alles normal zu funktionieren, nur vom (Telekom) Basecamp aus gibt es die Probleme. (Einen dritten Provider zum Vergleich hab ich erstmal nicht greifbar.)
Dann hab ich mich erstmal auf den ping konzentriert und bemerkt, dass das Verhalten auch davon abhängt, welche Absender-IP verwendet wird! Die gif Anbindung des Tunnelbroker verwendet zwei IPv6 Adressen für die Brückenpfeiler (in einem extra subnet) zusätzlich zum gerouteten Subnet, und auch diese (mindestens) drei Adressen verhalten sich jeweils unterschiedlich, wenn man sie anpingt. Zum Beispiel:
Code:
destination tun-1 tun-2 tun-3
from 2003:e7:171d:6eff::1 FAIL FAIL FAIL
from 2003:e7:171d:6ee1:41d:92ff:fe01:104 ok FAIL FAIL
from 2003:e7:171d:6ee0:41d:92ff:fe01:105 ok ok ok
from 2003:e7:17ff:f22:41d:92ff:fe01:301 FAIL ok ok
Code:
ingress point tun-1 tun-2 tun-3
from 2003:e7:171d:6eff::1 FAIL ok FAIL
from 2003:e7:171d:6ee1:41d:92ff:fe01:104 FAIL ok FAIL
from 2003:e7:171d:6ee0:41d:92ff:fe01:105 ok FAIL ok
from 2003:e7:17ff:f22:41d:92ff:fe01:301 FAIL FAIL FAIL
Code:
egress point tun-1 tun-2 tun-3
from 2003:e7:171d:6eff::1 FAIL ok FAIL
from 2003:e7:171d:6ee1:41d:92ff:fe01:104 ok ok FAIL
from 2003:e7:171d:6ee0:41d:92ff:fe01:105 ok ok ok
from 2003:e7:17ff:f22:41d:92ff:fe01:301 FAIL FAIL ok
Irendjemand eine Idee, wo ich hier weitermachen könnte?