VPN Backup geht nur einseitig

reuter · Beitrag von **reuter** » 28 Mär 2008, 16:50

Hallo allersiets,

ich arbeite zur Zeit an einer WLAN-Verbindung, die durch einen VPN-Tunnel vor Ausfall geschützt werden soll. Nach der Konfiguration funktioniert inzwischen soweit auch alles und ich kann von Netz A in Netz B pingen und umgekehrt. Unterbreche ich das WLAN, dann zieht mein VPN-Tunnel auch ungefähr nach 30 Sekunden an und ich kann von Netz A alles in Netz B erreichen und mit allen Anwendungen arbeiten. Versuche ich jedoch von Netz B irgendwas in Netz A zu erreichen, dann funktioniert das nicht. Schalte ich den IP-Router Trace an, dann sieht es auf dem Router in Netz B so aus, als wenn das Paket in die Backup-Leitung gesteckt würde, am Router A kommt das aber scheinbar nicht an.

Der VPN-Tunnel für sich alleine läuft ebenfalls, ich kann in beide Richtungen pingen und Application based Routing nutze ich auch nicht.

Irgendwelche Ideen ?

Grüße
Dirk

backslash · Beitrag von **backslash** » 28 Mär 2008, 17:18

Hi reuter

Unterbreche ich das WLAN, dann zieht mein VPN-Tunnel auch ungefähr nach 30 Sekunden an und ich kann von Netz A alles in Netz B erreichen und mit allen Anwendungen arbeiten. Versuche ich jedoch von Netz B irgendwas in Netz A zu erreichen, dann funktioniert das nicht.

Hast du denn auch der Seite B gesagt, daß die VPN-Verbindung die Backupverbindung ist?

Schalte ich den IP-Router Trace an, dann sieht es auf dem Router in Netz B so aus, als wenn das Paket in die Backup-Leitung gesteckt würde, am Router A kommt das aber scheinbar nicht an.

Was sagt den ein VPN-Packet-Trace in diesem Fall ?

Gruß
Backslash

reuter · Beitrag von **reuter** » 28 Mär 2008, 17:55

Hi Backslash,

Hast du denn auch der Seite B gesagt, daß die VPN-Verbindung die Backupverbindung ist?

Habe ich. Wird auch im Trace vom IP-Router mit Backup angezeigt, von beiden Seiten.

Was sagt den ein VPN-Packet-Trace in diesem Fall ?

Da wird es kompliziert, da ich immer von A nach B durchgreifen muss um dann von einem System in B zurück nach A zu testen und da reichlich Pakete fliessen. Mein Telnet bricht dann beim Trace ab (Nur das Telnet, WLAN und Backup sind sonst stabil) und dummerweise ist die Strecke auf der das passiert gute 50km von meinem Arbeitsplat weg, so das ich nicht mal eben vor Ort testen kann.

Habe ich eine Chance den VPN-Packet Trace auf eine bestimmte Verbindung im Tunnel festzunageln ?

Grüße
Dirk

reuter · Beitrag von **reuter** » 31 Mär 2008, 09:32

Hallo Backslash,

das mit dem VPN-Packet Trace habe ich inzwischen hinbekommen. Im Trace kann ich sehen, das alle 30 Sekunden ein PING Paket durch den Tunnel kommt (120 ms), während der Ping in die andere Richtung glatt durchläuft (30 ms). Laut IP-Router Trace werden jedoch ständing Pakete auf die Leitung geschoben.

Das ganze sieht dann so aus:

IP-Router Trace von Router B:

[IP-Router] 2008/03/31 09:22:30,450
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.10.1, SrcIP: 172.17.12.1, Len: 84, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x00ee, seq: 0x0000
Route: WAN Tx (WLANBRIDGE) (backup via VPNBACKUP)

[IP-Router] 2008/03/31 09:22:31,450
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.10.1, SrcIP: 172.17.12.1, Len: 84, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x00ee, seq: 0x0001
Route: WAN Tx (WLANBRIDGE) (backup via VPNBACKUP)

[IP-Router] 2008/03/31 09:22:32,450
IP-Router Rx (intern, RtgTag: 0):
DstIP: 192.168.10.1, SrcIP: 172.17.12.1, Len: 84, DSCP/TOS: 0x00
Prot.: ICMP (1), echo request, id: 0x00ee, seq: 0x0002
Route: WAN Tx (WLANBRIDGE) (backup via VPNBACKUP)

...

VPN-Packet-Trace von Router B:

[VPN-Packet] 2008/03/31 09:12:59,230
decap: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

56 Byte Packet from 192.168.10.1 seq.no=705 time=109.024 ms
[VPN-Packet] 2008/03/31 09:15:36,140
for send: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:15:36,180
decap: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

56 Byte Packet from 192.168.10.1 seq.no=862 time=58.176 ms
[VPN-Packet] 2008/03/31 09:16:32,210
for send: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:16:32,250
decap: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

56 Byte Packet from 192.168.10.1 seq.no=918 time=121.641 ms
[VPN-Packet] 2008/03/31 09:18:13,130
for send: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:18:13,170
decap: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

...

VPN-Packet-Trace von Router A:

[VPN-Packet] 2008/03/31 09:19:09,540
decap: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:19:09,540
for send: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

[VPN-Packet] 2008/03/31 09:20:05,590
decap: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:20:05,590
for send: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

[VPN-Packet] 2008/03/31 09:21:46,510
decap: 172.17.12.1->192.168.10.1 84 ICMP ECHOREQUEST

[VPN-Packet] 2008/03/31 09:21:46,510
for send: 192.168.10.1->172.17.12.1 84 ICMP ECHOREPLY

...

Verbindungen aus der anderen Richtung (Also Verbindungsaufbau von A nach B) laufen problemlos und in normaler geschwindigkeit.

Ich kann mir da absolut keinen Reim drauf machen. Das Update auf 7.30, das ich aufgrund der ICMP-Fehler Problematik vom anderen Thread gemacht habe hat leider in diesem Fall auch nichts gebracht.

Grüße
Dirk

reuter · Beitrag von **reuter** » 31 Mär 2008, 11:05

Kleines Update zum Fall:

Nachdem ich jetzt so ziemlich alles ausprobiert habe bin ich zu dem schluss gekommen das es irgendein Problem im Zusammenspiel des LC und der Microsense Glasfaser-Konverter gibt, die unser Netzwerkpartner eingebaut hat um die Strecke zum Dach zu verlängern.

Unterbreche ich die Strecke, indem ich an einem der LCs das RJ45 Kabel zur Strecke abziehe, dann wird die Backup-Strecke aufgebaut, das eine LC zeigt permanent einen Leitungsfehler an, das andere aber die Meldung "Protokollverhandlung mit WLANBRIDGE". Die Strecke funktioniert dann in genau die Richtung zu dem Gerät das die "Protokollverhandlung" Meldung anzeigt. In die Gegenrichtung jedoch nicht.

Unterbreche ich die Strecke, indem ich z.B. das WLAN-Interface eines der OAP abschalte, dann gehen beide Router auf einen Leitungsfehler, die Backup-Strecke wird aufgebaut und funktioniert in beide Richtungen.

Versteht das irgendwer und kann mir sagen ob ich da noch etwas am LC drehen kann ? Ich würde ganz gerne die komplette Strecke überwachen.

Grüße
Dirk