Probleme beim Benutzen von Webseiten und Diensten über FFRL-Tunnel

Hallo zusammen,

aus unserem Netz werden diverse Probleme bei der Nutzung von Twitter oder auch unserer Knotenkarte https://karte.freifunk-lippe.de/map gemeldet, die ich zwar nachstellen kann, aber nicht wirklich weiß, worin die Gründe liegen.

Unsere Karte z.B. zeigt nur den Hinweis, dass die Knoten geladen werden, dann kommt aber nichts mehr. Versuche ich das über meine „normale“ Internetverbindung, dann funktioniert alles.

Bei der Twitter-Nutzung gibt es Verbindungsabbrüche und teilweise starke Lags.

Kann mir evtl. jemand sagen, wo ich da ansetzen kann? Kann ich irgendwas tracen oder Logs bereitstellen, um das Problem einzugrenzen?

Für eure Hilfe danke ich euch.

MSS-Clamping hast Du an vor den Tunneln?

Hallo Kai,

ich bin mir nicht sicher, ob das an ist. Ich habe an der Konfiguration seit Ewigkeiten nichts verändert und die Probleme treten auch nur in 2 von 4 Domänen auf - alle Gateways sind identisch konfiguriert.

Wo kann ich das auf einem Ubuntu-Server sehen? 16.04 und 18.04.

Viele Grüße,
Michael

Es sollte via Ansible …

-A POSTROUTING -o tun-+ -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss ! --mss 0:1240 -j TCPMSS --set-mss 1240

… gesetzt werden. Ein iptables -L -n -v | grep -i mss sollte das zeigen.

Wobei „die Probleme treten auch nur in 2 von 4 Domänen auf“ komisch klingt.

Alles seltsam.Wie ist die MTU bei euch eingestellt?

Wir haben keine FFRL-Tunnel mehr im Einsatz (eigenes AS), und aufgrund der MTU-Problematik in der Vergangenheit vermeiden wir nicht-fragmentierende Tunnel. Aber das es nur einen Teil Eurer Meshes („Domänen“) betrifft, ist komisch. Reboot der GWs mal probiert?

Sicher.

Und wenn Du https://speed.hetzner.de/100MB.bin vom GW aus mit der jeweiligen IP (wget -O /dev/null --bind-address=…) holst, geht es wiederholbar nur mit einigen (und immer den gleichen) der GW-IPs?

Ich verstehe nicht, was das aussagen soll.

Bei Eurem, auf dem Münsteraner basierenden, Setup geht doch jede Domäne über die gleichen Tunnel des GWs raus. Also kann das eigentlich nicht am GW liegen? Anders gefragt, wie hast Du das verifiziert, daß dem so ist?

Das sieht ganz stark nach einer Brücke zwischen zwei Domänen aus.

https://karte.freifunk-lippe.de/map/#!/8416f9663c10 UPLINK?
https://karte.freifunk-lippe.de/map/#!/8416f9665c16
https://karte.freifunk-lippe.de/map/#!/8416f9664a96

Wurde zu diesem Knoten ein Tunnel aufgebaut?
In /var/log/tunneldigger-broker_domain??.log einfach nach dem letzten Logeintrag mit der Knoten-ID suchen.

1 „Gefällt mir“

Ja, zum Knoten 8416f9663c10 wird ein Tunnel aufgebaut. Die beiden anderen Knoten bauen eine Meshverbindung zum Knoten mit dem Uplink auf. Was meinst du mit einer Brücke zwischen den Domänen? Wie kann so etwas passieren?

Hatten wir auch schon öfter.

Zwei Router die VPN Verbindungen zu unterschiedlichen Domänen aufbauen und per Kabel meshen. Patsch …

Wie kann ich bei über 700 Knoten feststellen, ob so etwas passiert? Kann ich das irgendwo auf dem Gateway sehen?

Ich könnte das immer via Mesh Karte sehen.

Auf dem Gw geht’s auch aber da muss jemand anderes mit Shell Magie helfen.

Wo sehe ich das auf der Karte? Bei den Verbindungen? https://karte.freifunk-lippe.de/map/

In diesem (und vielen anderen Fällen im Münsterland) werden dir im Meshviewer zwei IPv6-Adressen, eine aus der eigentlichen Domäne und einer anderen, angezeigt.

OK, das kann ich momentan bei uns nicht feststellen, dass dem so ist.

Was könnte man auf den verlinkten Meshviewer-Karten sehen?
(hint: macht bitte Screenshots, wenn es um temporäre Dinge geht!)

Oder nochmal anders gefragt: Um welches FFRL-Backbone-probleme diskutiert ihr hier jetzt?
Peering/Routing zu welchen AS?
Betrifft es eher IPv4 oder (auch/nur) IPv6?

Auf den verlinkten Karten ist nichts zu sehen, keine Ahnung was RobWei da gesehen hat.

Leider weiß ich nicht, wo ich ansetzen soll. Wenn jemand von euch etwas testen möchte, kann er sich die Firmware unter https://wizard.freifunk-lippe.de holen und den Knoten auf Domäne 3 oder 4 einstellen, um das Problem nachzustellen. Alleine der Aufruf unserer Karte (siehe Link oben) funktioniert nicht. Ich vermute, wenn man nachvollziehen kann, weshalb diese nicht geladen wird, ist man schon ein großes Stück weiter.