VPN-Links: IPV6-Sessions brechen ab, wenn IPv4-Session aktiv

[Rougu]

Hallo,

ich jage seit Tagen einem seltsamen Verhalten hinterher: IPv6-Sessions über IKEv2-VPN-Links sind nur sporadisch möglich.
(Probiert mit LCOS 10.12.0084SU1 und 10.12.0134 beta an einem VPN-Dreieck aus LC-1781VA, LC-1781AW und WLC-4006+)

Ausgangslage: Es gibt keine aktiven Sessions über VPN. Dann sind IPv6-Verbindungen möglich und sie funktionieren gemäß Firewall-Regeln.

Wenn von einem Standort zusätzlich eine IPv4-Session über einen solchen Dual-Stack-IKEv2-VPN-Link gestartet wird, brechen alle IPv6-Sessions zusammen, die über den lokalen VPN-Endpunkt und über den entfernen VPN-Endpunkt bestehen.

Wenn die IPv4-Session beendet wird, funktionieren die IPv6-Sessions wieder, wenn der Timeout für beendete IPv4-Sessions abgelaufen ist (6-8 s) oder, bei noch aktiver IPv4-Session, sobald der UDP-Timeout abgelaufen ist.

Mehrere Standorte sind über VPN gekoppelt:

- IPv4 via Internet (lokaler Peer via NAT, entfernter Peer ohne NAT)
- IKEv2 für VPN
- gekapselt werden IPv4 und IPv6
- manuelle Regeln über passende Netzlisten
- Zielsysteme im Corporate-Netz haben ULA-Adressen (fc00::/7)
- Zielsysteme liegen im Intranet des entfernten Netzes oder werden dort intern (ohne LANCOM-Anteil)weiter geroutet.

Das Verhalten ist reproduzierbar, und ich bin ratlos.

Beispiel

1. ICMPv6 req and reply über ansonsten ungenutzten IPv4-Link: OK

Code: Alles auswählen

[VPN-Packet] 2017/11/08 05:26:14,081
for send: 2001:2002:2003:2004:c88e:5b62:ecb6:261e->fd40:9dc7:b528:1f:0:ffff:a0a:1f01   56  IPv6-ICMP  
-->IPv6 Header
Version             : 6
Traffic Class       : (0xc0) (Precedence 6) / (DSCP CS6)
Flow Label          : 514744
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 63
Source Address      : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
Dest Address        : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
-->ICMPv6 Header
Type                : Echo Request
Code                : 0
Checksum            : 30057
Body                : 52 b5 09 12 5a 02 87 64 R...Z..d
                      00 0c 83 91             ....


[VPN-Packet] 2017/11/08 05:26:14,081
encap 6in4: 10.1.253.130->111.112.113.114   76  IPv6  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0xc0) (Precedence 6) / (DSCP CS6)
Total length        : 76
ID                  : 65078
Fragment            : Offset 0
TTL                 : 60
Protocol            : IPv6
Checksum            : 44493 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->IPv6 Header
Version             : 6
Traffic Class       : (0xc0) (Precedence 6) / (DSCP CS6)
Flow Label          : 514744
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 63
Source Address      : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
Dest Address        : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
-->ICMPv6 Header
Type                : Echo Request
Code                : 0
Checksum            : 30057
Body                : 52 b5 09 12 5a 02 87 64 R...Z..d
                      00 0c 83 91             ....


[VPN-Packet] 2017/11/08 05:26:14,081
encrypted: 10.1.253.130->111.112.113.114  132  UDP port 4500->4500
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0xc0) (Precedence 6) / (DSCP CS6)
Total length        : 132
ID                  : 65078
Fragment            : Offset 0
TTL                 : 60
Protocol            : UDP
Checksum            : 44461 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->UDP Header
Src Port            : 4500
Dest Port           : 4500
Length              : 112
Checksum            : 0 (not available)
Body                : 15 74 88 1e 00 00 0b d7 .t......
                      dd ae 72 14 27 48 7e a6 ..r.'H~.
                      d0 ce 83 3e 58 87 fa 04 ...>X...
                      a3 a9 e0 d9 1c ba 25 c1 ......%.
                      89 b2 01 41 bb e0 57 20 ...A..W 
                      6c f0 90 87 88 64 f6 1e l....d..
                      2a 1c fd ee 28 40 b4 f2 *...(@..
                      5c e1 8e 5f 61 4f ce 50 \.._aO.P
                      30 13 9f 93 ac a1 71 cc 0.....q.
                      4b 51 a8 fa cf ec 65 24 KQ....e$
                      ba 4e 62 6d c0 79 3b a3 .Nbm.y;.
                      b7 08 cb a1 c5 30 11 c2 .....0..
                      bc 17 ab a5 c6 21 da 15 .....!..


[VPN-Packet] 2017/11/08 05:26:14,112
received: 111.112.113.114->10.1.253.130  132  UDP port 22411->29366
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x00) (Precedence 0) / (DSCP CS0/BE)
Total length        : 124
ID                  : 20384
Fragment            : Offset 0
TTL                 : 51
Protocol            : ESP
Checksum            : 26116 (wrong, should be 26142)
Src Address         : 111.112.113.114
Dest Address        : 10.1.253.130
IP Payload          : 0f b1 12 7b 00 00 08 57 ...{...W
                      c1 e3 6e e1 8e f9 c7 fc ..n.....
                      47 d0 97 43 5a 4f 80 e6 G..CZO..
                      82 b1 ea 88 3f b6 99 33 ....?..3
                      45 e9 a3 f7 d7 da 2b a2 E.....+.
                      a7 01 93 f5 5b 2a ee 0e ....[*..
                      42 d0 2e 6e 22 17 a9 56 B..n"..V
                      f6 a2 85 cb 51 de 7e a0 ....Q.~.
                      25 85 81 68 74 3c 55 80 %..ht<U.
                      85 69 3a 5e 00 80 de e2 .i:^....
                      a0 f4 93 ec 1b 9e 57 74 ......Wt
                      41 7f ed 32 d8 58 06 a7 A..2.X..
                      f6 dd 6e 2d dc c0 80 96 ..n-....


[VPN-Packet] 2017/11/08 05:26:14,113
decrypted: 111.112.113.114->10.1.253.130   76  IPv6  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x00) (Precedence 0) / (DSCP CS0/BE)
Total length        : 76
ID                  : 20384
Fragment            : Offset 0
TTL                 : 51
Protocol            : IPv6
Checksum            : 26148 (OK)
Src Address         : 111.112.113.114
Dest Address        : 10.1.253.130
-->IPv6 Header
Version             : 6
Traffic Class       : (0x00) (Precedence 0) / (DSCP CS0/BE)
Flow Label          : 0
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 64
Source Address      : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
Dest Address        : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
-->ICMPv6 Header
Type                : Echo Reply
Code                : 0
Checksum            : 29801
Body                : 52 b5 09 12 5a 02 87 64 R...Z..d
                      00 0c 83 91             ....


[VPN-Packet] 2017/11/08 05:26:14,113
esp_decrypted: decap: fd40:9dc7:b528:1f:0:ffff:a0a:1f01->2001:2002:2003:2004:c88e:5b62:ecb6:261e   56  IPv6-ICMP  
-->IPv6 Header
Version             : 6
Traffic Class       : (0x00) (Precedence 0) / (DSCP CS0/BE)
Flow Label          : 0
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 64
Source Address      : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
Dest Address        : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
-->ICMPv6 Header
Type                : Echo Reply
Code                : 0
Checksum            : 29801
Body                : 52 b5 09 12 5a 02 87 64 R...Z..d
                      00 0c 83 91             ....

----------------------------------------------------------------------------------------------------------------------
2. IPv4 SSH session wird aktiv

Code: Alles auswählen

[VPN-Packet] 2017/11/08 05:26:14,773
for send: 10.1.1.5->10.10.4.10   88  TCP port 65248->22
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 88
ID                  : 0
Fragment            : Offset 0 DontFrag
TTL                 : 63
Protocol            : TCP
Checksum            : 8767 (OK)
Src Address         : 10.1.1.5
Dest Address        : 10.10.4.10
-->TCP Header
Src Port            : 65248
Dest Port           : SSH
Sequence Number     : 1419723615
Ack Number          : 4177271648
Header Length       : 32
Flags               : PSH ACK
Window Size         : 4096
Checksum            : 63077 (OK)
Urgent Pointer      : 0
-->TCP Options
No-Operation        :
No-Operation        :
Time Stamp          : Curr 684051080 Echo 505372204
Body                : b1 e7 87 77 5d 70 8d 23 ...w]p.#
                      56 f1 8d e7 fe 0e d2 ed V.......
                      f0 46 fd 09 bd 37 ec 68 .F...7.h
                      ee a9 70 4f 53 0e 9f c7 ..pOS...
                      00 65 79 37             .ey7


[VPN-Packet] 2017/11/08 05:26:14,773
encap 4in4: 10.1.253.130->111.112.113.114  108  IP-ENCAP  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 108
ID                  : 65091
Fragment            : Offset 0
TTL                 : 60
Protocol            : IPinIP
Checksum            : 44605 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
IP Payload          : 45 48 00 58 00 00 40 00 EH.X..@.
                      3f 06 22 3f 0a 01 01 05 ?."?....
                      0a 0a 04 0a fe e0 00 16 ........
                      54 9f 43 5f f8 fc 1b 60 T.C_...`
                      80 18 10 00 f6 65 00 00 .....e..
                      01 01 08 0a 28 c5 ca 88 ....(...
                      1e 1f 5e 2c b1 e7 87 77 ..^,...w
                      5d 70 8d 23 56 f1 8d e7 ]p.#V...
                      fe 0e d2 ed f0 46 fd 09 .....F..
                      bd 37 ec 68 ee a9 70 4f .7.h..pO
                      53 0e 9f c7 00 65 79 37 S....ey7


[VPN-Packet] 2017/11/08 05:26:14,773
encrypted: 10.1.253.130->111.112.113.114  164  UDP port 4500->4500
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 164
ID                  : 65091
Fragment            : Offset 0
TTL                 : 60
Protocol            : UDP
Checksum            : 44536 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->UDP Header
Src Port            : 4500
Dest Port           : 4500
Length              : 144
Checksum            : 0 (not available)
Body                : 8b 7e 14 a0 00 00 0b e3 .~......
                      c5 0e 52 3d 7e 54 04 ff ..R=~T..
                      1e 18 b2 e4 71 c3 3d f5 ....q.=.
                      31 46 3a 34 cd f5 f5 c5 1F:4....
                      e6 40 24 8d 0a 74 3c ed .@$..t<.
                      68 3d 55 6b 43 16 7f 77 h=UkC..w
                      1c d5 a1 cc 6d c1 42 70 ....m.Bp
                      b3 38 70 03 16 5d e2 34 .8p..].4
                      09 d3 5d 2d 4c 90 a0 c6 ..]-L...
                      f3 23 b4 97 88 61 1a 6c .#...a.l
                      c1 64 25 e1 8d 94 82 6b .d%....k
                      21 94 c0 f0 17 ae 2f 60 !...../`
                      bb bb 93 31 6c 3e 06 2b ...1l>.+
                      a4 1c 93 d1 1b 6a 00 be .....j..
                      b0 5c 19 4f 4c 68 7e b8 .\.OLh~.
                      c7 36 c9 4d 60 06 fe ca .6.M`...
                      91 36 00 63 94 b0 01 5c .6.c...\


[VPN-Packet] 2017/11/08 05:26:14,809
received: 111.112.113.114->10.1.253.130  180  UDP port 22411->29366
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x00) (Precedence 0) / (DSCP CS0/BE)
Total length        : 172
ID                  : 20388
Fragment            : Offset 0
TTL                 : 51
Protocol            : ESP
Checksum            : 26064 (wrong, should be 26090)
Src Address         : 111.112.113.114
Dest Address        : 10.1.253.130
IP Payload          : 67 0f a9 7a 00 00 0a e3 g..z....
                      fe 9c 43 91 79 70 44 25 ..C.ypD%
                      04 f0 c9 45 6b 1c bc 92 ...Ek...
                      cf a2 7d 4c d4 1a 53 b3 ..}L..S.
                      48 01 b8 43 84 c5 8a 51 H..C...Q
                      37 b6 15 c3 85 5d 78 e3 7....]x.
                      f5 65 0d f0 57 a3 fe 9f .e..W...
                      19 f5 ec fd 02 ae d6 54 .......T
                      f3 46 2b bd 16 de 13 c1 .F+.....
                      cb 4f 83 44 96 9f 67 69 .O.D..gi
                      78 ea 7d 63 45 fe 7a 30 x.}cE.z0
                      ab 21 00 4f 17 d0 fb 70 .!.O...p
                      d6 c8 df 4e ab f0 dd 9c ...N....
                      ff 98 8f bc 75 13 2d 02 ....u.-.
                      d6 97 18 48 d2 68 1a 7f ...H.h..
                      91 0e 2f aa c6 94 ce fb ../.....
                      94 dd 34 e6 4f 7c 20 84 ..4.O| .
                      5e ec f7 d5 63 c8 50 27 ^...c.P'
                      7a 3f c7 96 00 e5 b6 d1 z?......


[VPN-Packet] 2017/11/08 05:26:14,809
decrypted: 111.112.113.114->10.1.253.130  124  IP-ENCAP  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x00) (Precedence 0) / (DSCP CS0/BE)
Total length        : 124
ID                  : 20388
Fragment            : Offset 0
TTL                 : 51
Protocol            : IPinIP
Checksum            : 26133 (OK)
Src Address         : 111.112.113.114
Dest Address        : 10.1.253.130
IP Payload          : 45 48 00 68 42 44 40 00 EH.hBD@.
                      3e 06 e0 ea 0a 0a 04 0a >.......
                      0a 01 01 05 00 16 fe e0 ........
                      f8 fc 1b 60 54 9f 43 83 ...`T.C.
                      80 18 01 37 dc 78 00 00 ...7.x..
                      01 01 08 0a 1e 22 0c 5e .....".^
                      28 c5 ca 88 d2 16 d1 4a (......J
                      d3 0e b6 5f 5f a6 45 43 ...__.EC
                      e9 00 dc 94 ca 9d 2f ac ....../.
                      e7 45 42 20 da 06 bb 13 .EB ....
                      17 74 e7 b5 5f 82 5d 36 .t.._.]6
                      91 d8 49 fa b2 24 01 8b ..I..$..
                      c9 77 38 5a 94 6b 84 b6 .w8Z.k..


[VPN-Packet] 2017/11/08 05:26:14,810
esp_decrypted: decap: 10.10.4.10->10.1.1.5  104  TCP port 22->65248
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 104
ID                  : 16964
Fragment            : Offset 0 DontFrag
TTL                 : 62
Protocol            : TCP
Checksum            : 57578 (OK)
Src Address         : 10.10.4.10
Dest Address        : 10.1.1.5
-->TCP Header
Src Port            : SSH
Dest Port           : 65248
Sequence Number     : 4177271648
Ack Number          : 1419723651
Header Length       : 32
Flags               : PSH ACK
Window Size         : 311
Checksum            : 56440 (OK)
Urgent Pointer      : 0
-->TCP Options
No-Operation        :
No-Operation        :
Time Stamp          : Curr 505547870 Echo 684051080
Body                : d2 16 d1 4a d3 0e b6 5f ...J..._
                      5f a6 45 43 e9 00 dc 94 _.EC....
                      ca 9d 2f ac e7 45 42 20 ../..EB 
                      da 06 bb 13 17 74 e7 b5 .....t..
                      5f 82 5d 36 91 d8 49 fa _.]6..I.
                      b2 24 01 8b c9 77 38 5a .$...w8Z
                      94 6b 84 b6             .k..


[VPN-Packet] 2017/11/08 05:26:14,813
for send: 10.1.1.5->10.10.4.10   52  TCP port 65248->22
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 52
ID                  : 0
Fragment            : Offset 0 DontFrag
TTL                 : 63
Protocol            : TCP
Checksum            : 8803 (OK)
Src Address         : 10.1.1.5
Dest Address        : 10.10.4.10
-->TCP Header
Src Port            : 65248
Dest Port           : SSH
Sequence Number     : 1419723651
Ack Number          : 4177271700
Header Length       : 32
Flags               : ACK
Window Size         : 4094
Checksum            : 33798 (OK)
Urgent Pointer      : 0
-->TCP Options
No-Operation        :
No-Operation        :
Time Stamp          : Curr 684051119 Echo 505547870


[VPN-Packet] 2017/11/08 05:26:14,813
encap 4in4: 10.1.253.130->111.112.113.114   72  IP-ENCAP  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 72
ID                  : 65102
Fragment            : Offset 0
TTL                 : 60
Protocol            : IPinIP
Checksum            : 44630 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
IP Payload          : 45 48 00 34 00 00 40 00 EH.4..@.
                      3f 06 22 63 0a 01 01 05 ?."c....
                      0a 0a 04 0a fe e0 00 16 ........
                      54 9f 43 83 f8 fc 1b 94 T.C.....
                      80 10 0f fe 84 06 00 00 ........
                      01 01 08 0a 28 c5 ca af ....(...
                      1e 22 0c 5e             .".^


[VPN-Packet] 2017/11/08 05:26:14,813
encrypted: 10.1.253.130->111.112.113.114  132  UDP port 4500->4500
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x48) (Precedence 2 High Troughput) / (DSCP AF21)
Total length        : 132
ID                  : 65102
Fragment            : Offset 0
TTL                 : 60
Protocol            : UDP
Checksum            : 44557 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->UDP Header
Src Port            : 4500
Dest Port           : 4500
Length              : 112
Checksum            : 0 (not available)
Body                : 8b 7e 14 a0 00 00 0b e4 .~......
                      17 f6 42 39 13 a3 5f 17 ..B9.._.
                      26 99 89 e4 ad 75 29 2d &....u)-
                      a5 29 bb e9 0d e4 4c fa .)....L.
                      bc aa 62 b2 58 6e 91 f7 ..b.Xn..
                      7b 71 eb c7 2b 85 88 a5 {q..+...
                      49 96 b7 80 75 c9 85 19 I...u...
                      09 d1 12 18 de e1 16 f3 ........
                      5e b1 61 3c 9d 44 b5 9a ^.a<.D..
                      4d 79 ec f2 4a 89 b0 e7 My..J...
                      f2 8b 96 42 f5 e6 56 3b ...B..V;
                      c3 a4 66 30 da 77 ce 76 ..f0.w.v
                      5c a5 f4 dd 81 93 d2 cc \.......

---------------------------------------------------------------------------------------------------
3. ICMPv6 Echo Req bei aktiver IPv4-Session auf der Leitung schlägt fehl:


Fehlermeldung: "no policy found for..." beim Versuch, das ESP-verkapselte Datenpaket zu verschicken.

Code: Alles auswählen

[VPN-Packet] 2017/11/08 05:26:15,086
for send: 2001:2002:2003:2004:c88e:5b62:ecb6:261e->fd40:9dc7:b528:1f:0:ffff:a0a:1f01   56  IPv6-ICMP  
-->IPv6 Header
Version             : 6
Traffic Class       : (0xc0) (Precedence 6) / (DSCP CS6)
Flow Label          : 514744
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 63
Source Address      : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
Dest Address        : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
-->ICMPv6 Header
Type                : Echo Request
Code                : 0
Checksum            : 24966
Body                : 52 b5 09 13 5a 02 87 65 R...Z..e
                      00 0c 97 72             ...r


[VPN-Packet] 2017/11/08 05:26:15,086
encap 6in4: 10.1.253.130->111.112.113.114   76  IPv6  
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0xc0) (Precedence 6) / (DSCP CS6)
Total length        : 76
ID                  : 65125
Fragment            : Offset 0
TTL                 : 60
Protocol            : IPv6
Checksum            : 44446 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->IPv6 Header
Version             : 6
Traffic Class       : (0xc0) (Precedence 6) / (DSCP CS6)
Flow Label          : 514744
Payload Length      : 16
Next Header         : ICMPv6
Hop Limit           : 63
Source Address      : 2001:2002:2003:2004:c88e:5b62:ecb6:261e
Dest Address        : fd40:9dc7:b528:1f:0:ffff:a0a:1f01
-->ICMPv6 Header
Type                : Echo Request
Code                : 0
Checksum            : 24966
Body                : 52 b5 09 13 5a 02 87 65 R...Z..e
                      00 0c 97 72             ...r


[VPN-Packet] 2017/11/08 05:26:15,086
encrypted: 10.1.253.130->111.112.113.114  132  UDP port 4500->4500
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0xc0) (Precedence 6) / (DSCP CS6)
Total length        : 132
ID                  : 65125
Fragment            : Offset 0
TTL                 : 60
Protocol            : UDP
Checksum            : 44414 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->UDP Header
Src Port            : 4500
Dest Port           : 4500
Length              : 112
Checksum            : 0 (not available)
Body                : 15 74 88 1e 00 00 0b d8 .t......
                      3e 3f c4 b5 fa fc e4 0a >?......
                      1e 35 33 e9 cc 58 b3 59 .53..X.Y
                      c3 b2 2e d6 44 7d 65 3b ....D}e;
                      24 0b 3b d6 4f 74 31 a8 $.;.Ot1.
                      b5 b7 a2 cb db 12 bb 8a ........
                      71 98 98 ce a2 ff 2a 66 q.....*f
                      68 94 07 d3 34 ae c0 de h...4...
                      46 64 66 73 b1 ce 93 5a Fdfs...Z
                      a3 94 12 77 f1 57 ef 42 ...w.W.B
                      a5 aa 99 4c 2f 95 da 35 ...L/..5
                      21 7a c3 2c 56 15 5c 91 !z.,V.\.
                      6c fd ea 23 f0 65 04 90 l..#.e..


[VPN-Packet] 2017/11/08 05:26:15,089
no policy found for: 10.1.253.130->111.112.113.114  132  UDP port 4500->4500
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0xc0) (Precedence 6) / (DSCP CS6)
Total length        : 132
ID                  : 65125
Fragment            : Offset 0
TTL                 : 60
Protocol            : UDP
Checksum            : 44414 (OK)
Src Address         : 10.1.253.130
Dest Address        : 111.112.113.114
-->UDP Header
Src Port            : 4500
Dest Port           : 4500
Length              : 112
Checksum            : 0 (not available)
Body                : 15 74 88 1e 00 00 0b d8 .t......
                      3e 3f c4 b5 fa fc e4 0a >?......
                      1e 35 33 e9 cc 58 b3 59 .53..X.Y
                      c3 b2 2e d6 44 7d 65 3b ....D}e;
                      24 0b 3b d6 4f 74 31 a8 $.;.Ot1.
                      b5 b7 a2 cb db 12 bb 8a ........
                      71 98 98 ce a2 ff 2a 66 q.....*f
                      68 94 07 d3 34 ae c0 de h...4...
                      46 64 66 73 b1 ce 93 5a Fdfs...Z
                      a3 94 12 77 f1 57 ef 42 ...w.W.B
                      a5 aa 99 4c 2f 95 da 35 ...L/..5
                      21 7a c3 2c 56 15 5c 91 !z.,V.\.
                      6c fd ea 23 f0 65 04 90 l..#.e..

Kennt das jemand? Danke und Gruß,

rougu

[Rougu]

Hi,

mit LCOS 10.12.0146-RU2 keine Änderung hierzu. Es ist auch nicht öffentlich geworden, ob dieses Verhalten als Bug angesehen wird oder überhaupt im Labor nachvollzogen werden konnte.

Dieses Verhalten entwickelt sich in meinem Setup zum Show-Stopper. Da IKEv2-Verbindungen aktuell, vielleicht nur bei mir, nicht für IPv4 und IPv6 parallel genutzt werden können und überdies die Firewallregeln, wie im Rahmen des Forums eingehend diskutiert, nicht vereinheitlicht für IPv4/IPv6 definiert werden können, könnte dies nach Jahrzehnten der Treue (ELSA/LANCOM) demnächst das "Aus" für LANCOM in meinem WAN-Portfolio bedeuten. Der Einrichtungs- und Pflegeaufwand übersteigt das erwartete Maß.

Gruß,

rougu

[GrandDixence]

Ja, die Qualität der letzten LCOS-Versionen lässt zu wünschen übrig. Verwendet mindestens ein VPN-Tunnel AES-GCM für die Verschlüsselung? Was meldet "trace VPN-Debug" als VPN-Tunnel-Trennungsgrund?

[Rougu]

Hi,

wir sind bei LCOS 10.12.0147-SU3 und das Problem besteht weiter. Auch gibt es bis heute in diesem Forum keine Hinweise darauf, dass mein Problem
nachvollzogen werden konnte.

Es ist übrigens identisch mit http://www.lancom-forum.de/feedback-lco ... 16201.html vom Juli 2017. Der vermeintliche Fix dort war nur eine Fata Morgana.

Heute hatte ich Gelegenheit, nochmals genau darauf zu schauen. Es muss nichts wiederholt werden; die Traces oben gelten nach wie vor.
Auffällig war nur, dass es einen Unterschiede macht, ob die IPSec-Encapsulation über IPv4 oder IPv6 aufgebaut wird. Mal läuft im Tunnel IPv4 zuverlässig und IPv6 hakt, mal ist es anders herum.

Auf jeden Fall möchte ich grundsätzlich hier anmerken:

- IPSec-Tunnel über IKEv2 müssen für transportierte Daten IPv4 und IPv6 zuverlässig laufen. Das ist ganz einfach eine "conditio sine qua non" für den zukünftigen Einsatz von LANCOM in der Standortvernetzung in Zeiten von IPv6-first in aktuellen Betriebssystemen.
- Der Aufwand für die Konfiguration muss überschaubar sein, auch ohne Cloud.
- Meine Bereitschaft zu testen und kostenlos die Qualitätssicherung zu unterstützen ist endlich. Das betriftt VPN, VCM, u. a., für die ich in der Vergangenheit viel Zeit investiert habe . (Bei weitem weniger aber als manch ein Leidensgenosse.)

Auch wenn dies kein offizielles LANCOM-Forum ist, wissen doch die aktiven User, dass ganz wesentliche User teilnehmen, die im Herzen der Entwicklung sitzen. Daher schreibe ich auch hier und nicht an den 1st-Level-Support für umsatzschwache Fachhändler. Und die Tiefe der technischen Expertise von Partnern und Entwicklern ist ja bestehend hier in den Beiträgen. Aber dennoch ist für mich jetzt das Ende der Fahnenstange erreicht: zu viele Ungereimtheiten in zentralen Funktionen, die den Betreuungsaufwand für die Produkte in die Höhe treiben, wenn man aufwändige Konfigurationen fährt.

Ich danke allen für ihr Engagement und verabschiede mich nach etwa 25 Jahren gemeinsamen Weges. Viel Erfolg in der Zukunft.

Ich werde diesem Forum in Zukunft wohl kaum noch Beiträge liefern und mich nach Alternativlösungen umsehen.

Gruß,

rougu

[Christoph_vW]

Weil das nicht klappte habe ich IPv4 und IPv6 über separate IKEv2 Verbindungen laufen.

[MariusP]

Hi,

- Der Aufwand für die Konfiguration muss überschaubar sein, auch ohne Cloud.

Welche Teile der VPN Konfiguration haben in deinen Fälle einen (zu) großen Aufwand?
Ich schätze du meinst du Netzkonfiguration?
Siehst du es eher so, dass die Konfiguration sich nicht so verhält wie der Nutzer erwartet oder ist es eher so, dass die Netzkonfiguration nicht genug Möglichkeiten bietet und sich daher zu aufwändig gestaltet?

Anmerkung: Die meisten hier sind in der Fw Entwicklung und nicht in der Tool-Entwicklung tätigt. Manche Szenarien sind auf der Konsole alleine nur bedingt abbildbar und erfordern Tools, welche dann den Überblick über mehrere Konfigurationen hat.

Ist die Cloud für dich von der Konfigurationsseite her gut, aber der Cloudaspekt davon selber weniger wünscheswert?
Gruß

[Jirka]

Hallo Rougu,

wir sind bei LCOS 10.12.0147-SU3 und das Problem besteht weiter.

...bloß nicht aufgeben. Ich habe bei einem VoIP-Bug auch 3 Monate warten müssen, und das, obwohl ich den Bug auf dem Silbertablett serviert hatte (damit meine ich, dass die Ursache für das Fehlverhalten schon ausgearbeitet wurde). Und wie Du siehst, hat Christoph_vW auch das Problem.

IPSec-Tunnel über IKEv2 müssen für transportierte Daten IPv4 und IPv6 zuverlässig laufen.

Ohne Frage.

Das ist ganz einfach eine "conditio sine qua non" für den zukünftigen Einsatz von LANCOM in der Standortvernetzung in Zeiten von IPv6-first in aktuellen Betriebssystemen.

Man, Du schreibst ja schon wie Koppelfeld

Und die Tiefe der technischen Expertise von Partnern und Entwicklern ist ja bestehend hier in den Beiträgen.

Na klar! Und auch von Dir, deswegen bedauere ich Deine Entscheidung:

Aber dennoch ist für mich jetzt das Ende der Fahnenstange erreicht [...] Ich danke allen für ihr Engagement und verabschiede mich [...]

Ich habe Deine Beiträge sehr geschätzt (Dich natürlich auch) und bin traurig, dass wir auf Deinen technischen Sachverstand verzichten müssen. Du lässt uns und die Bugs damit alleine. Das tut schon ein wenig weh, wenn ein Mitstreiter wie Du die Bühne verlässt. Aber ich kann Deine Entscheidung auch nachvollziehen, wer LANCOM noch aus den früheren Zeiten kennt, fühlt sich spätestens seit diesem Jahr nicht mehr gut aufgehoben.

P.S.: Wenn Du wirklich was Besseres finden solltest, sag Bescheid...

Viele Grüße,
Jirka

[cpuprofi]

...bloß nicht aufgeben. Ich habe bei einem VoIP-Bug auch 3 Monate warten müssen, und das, obwohl ich den Bug auf dem Silbertablett serviert hatte (damit meine ich, dass die Ursache für das Fehlverhalten schon ausgearbeitet wurde)...

Ich warte schon seit 5 (!!!) Monaten auf eine Beseitigung eines Bugs bei VoIP und IPv6...

Grüße
Cpuprofi