Netzwerkprobleme - VPN - Mobile Daten - RDP "interner Fehler"
Hallo
Ich habe mit folgender Ausgangslage Probleme:
Externer Standort soll via VPN an den Hauptstandort angebunden werden. Es sind 2 Draytek Geräte im Einsatz. Verbindungsaufbau via Wireguard mit routing und auch via SSL-VPN funktioniert wie erwartet. Ping geht durch,VoIP Telefonie, Outlook und Kommunikation mit Exchange, Webinterfaces von Geräten jeweils am anderen Standort öffnen geht.
Was nicht geht:
Via Wireguard kriege ich wenn ich eine RDP Verbindung herstellen will beim "Geschwindigkeit überprüfen" einen "Internen Fehler". RDP Verbindung klappt dann nicht.
Wenn ich mit dem selben Notebook via Draytek VPN Client die Verbindung via Hotspot vom Handy aufbauklappt die RDP Verbindung sofort.
Wenn die Verbindung zwischen den beiden Standorten via SSL VPN LAN zu LAN hergestellt wird klappt auch alles, bis auf RDP. RDP verbindet sich dann, die RDP Sitzung kann gestartet werden aber sobald man ein Fenster verschiebt bricht nicht nur die RDP Verbindung ab, bzw. friert mit Grafikfehlern ein, es ist dann auch der SSL Tunnel im Router getrennt. Wenn ich den Draytek Smart VPN Client benutze wird der auch getrennt. Ping geht nicht mehr durch.
Ich habe 15 minuten ping durchlaufen lassen, Telefonie probiert. Und dann erst RDP ausprobiert und die Verbindung war sofort wieder getrennt. Also das war auch nicht Zufall meiner Ansicht nach.
Ich habe am externen Standort ein ZTE 5G Router von der Telekom. Kann der irgendwie die SSL Verbindungen ruinieren? Ein Hop zu viel dann? Ich habe da keine Einstellung für gefunden im ZTE 5G Gerät. Im Draytek sind die Firewalls aus. Die Geräte machen zum Internet hin NAT, VPN ist geroutet. Oder kann das der 5G Mast sein auf dem der Router hängt?
Eigentlich ist lediglich die Simkarte ist getauscht, von flex mit 100GB auf company backup wo tagesflats gebucht werden. Falls das eine Rolle spielt.
Als nächstes probiere ich mal den Flex Tarif vor Ort wieder aus mit anderer Sim und Speedbox 2.
Aber wäre ja schon irgendwie überraschend, wenn das darin liegen soll...
Jemand sonst noch Ideen?
Ich habe mit folgender Ausgangslage Probleme:
Externer Standort soll via VPN an den Hauptstandort angebunden werden. Es sind 2 Draytek Geräte im Einsatz. Verbindungsaufbau via Wireguard mit routing und auch via SSL-VPN funktioniert wie erwartet. Ping geht durch,VoIP Telefonie, Outlook und Kommunikation mit Exchange, Webinterfaces von Geräten jeweils am anderen Standort öffnen geht.
Was nicht geht:
Via Wireguard kriege ich wenn ich eine RDP Verbindung herstellen will beim "Geschwindigkeit überprüfen" einen "Internen Fehler". RDP Verbindung klappt dann nicht.
Wenn ich mit dem selben Notebook via Draytek VPN Client die Verbindung via Hotspot vom Handy aufbauklappt die RDP Verbindung sofort.
Wenn die Verbindung zwischen den beiden Standorten via SSL VPN LAN zu LAN hergestellt wird klappt auch alles, bis auf RDP. RDP verbindet sich dann, die RDP Sitzung kann gestartet werden aber sobald man ein Fenster verschiebt bricht nicht nur die RDP Verbindung ab, bzw. friert mit Grafikfehlern ein, es ist dann auch der SSL Tunnel im Router getrennt. Wenn ich den Draytek Smart VPN Client benutze wird der auch getrennt. Ping geht nicht mehr durch.
Ich habe 15 minuten ping durchlaufen lassen, Telefonie probiert. Und dann erst RDP ausprobiert und die Verbindung war sofort wieder getrennt. Also das war auch nicht Zufall meiner Ansicht nach.
Ich habe am externen Standort ein ZTE 5G Router von der Telekom. Kann der irgendwie die SSL Verbindungen ruinieren? Ein Hop zu viel dann? Ich habe da keine Einstellung für gefunden im ZTE 5G Gerät. Im Draytek sind die Firewalls aus. Die Geräte machen zum Internet hin NAT, VPN ist geroutet. Oder kann das der 5G Mast sein auf dem der Router hängt?
Eigentlich ist lediglich die Simkarte ist getauscht, von flex mit 100GB auf company backup wo tagesflats gebucht werden. Falls das eine Rolle spielt.
Als nächstes probiere ich mal den Flex Tarif vor Ort wieder aus mit anderer Sim und Speedbox 2.
Aber wäre ja schon irgendwie überraschend, wenn das darin liegen soll...
Jemand sonst noch Ideen?
Please also mark the comments that contributed to the solution of the article
Content-ID: 669748
Url: https://administrator.de/contentid/669748
Printed on: December 14, 2024 at 16:12 o'clock
11 Comments
Latest comment
Zitat von @hausrocker:
Und den trage ich dann im Draytek ein für die WAN Verbindung, die für die VPN Strecke benutzt wird und dann wird es funktionieren?
Weil zu viele fragmentierte Pakete die SSL Verbindungen zerstören?
Und den trage ich dann im Draytek ein für die WAN Verbindung, die für die VPN Strecke benutzt wird und dann wird es funktionieren?
Weil zu viele fragmentierte Pakete die SSL Verbindungen zerstören?
Ich kann dir leider nicht sagen, wie das im Draytek eingetragen wird. Ich kenne mich mit Draytek nicht aus bzw. nur mit deren VDSL-Modems. Bei einer OpenVPN Road Warrior Verbindung z.b. gehe ich in die Client-config und trage mssfix <mtu-40> wie z.B. hier beschrieben ein: https://www.sonassi.com/help/troubleshooting/setting-correct-mtu-for-ope ...
Hier steht etwas bzgl. MTU bei Draytek: https://www.draytek.co.uk/support/guides/kb-vigor-mtu-2
Das muss irgendwo bei der VPN-Client-Konfiguration des Drayteks einstellbar sein.
Das Trügerische ist, dass die VPN-Verbindung zustande kommt, Ping und DNS usw alles funktioniert. In dem Moment, wo allerdings der UDP Stream genutzt wird (innerhalb des Tunnels) macht die MTU immer öfter Probleme. Edit: Zur Info, MS RDP nutzt UDP und TCP, probiert allerdings zuerst UDP. Wenn das klappt, wird TCP nicht mehr probiert. TCP wird eher als Failback genutzt. Gerade in Terminsalerverumgebungen ist die Nutzung von TCP aber gegenüber UDP zu bevorzugen. Die genauen Gründe müsste ich selbst nochmal recherchieren :D
Du könntest daher probieren, den RDP-Zugriff auf nur-TCP um zu stellen, wie z.B. hier besprochen: Bildqualität der Windows Remotedesktop-Sitzung verbessern Damit zwingst du deine Geräte UDP gar nicht erst zu nutzen sondern direkt TCP zu probieren. Muss natürlich Firewallmäßig auch freigegeben werden.
MfG
Hi, soweit ich weiß ist die MTU nur bei SSL-VPNs relevant. Und auf die MTU seitens des Provides haben wir keinen Einfluss. Jenachdem, mit welchem Provider und welcher Technik und von welchem Standort man ins Internet geht verhält sich die MTU anders.
Wir müssen nur einen Workaround kennen. Testweise solltest du die MTU auch sehr klein einstellen können, kleiner geht immer, der Durchsatz leidet letztlich drunter. In letzter Zeit häufen sich auch bei uns die Probleme mit der MTU. Da rufen Kunden an, die vom Homeoffice aus keinen Zugriff auf den Server mehr haben, mit ihrem Handy als Hostspot funktinioert es dann. Oder mit dem WLAN des Nachbars, der als Provider vielleicht 1und1 statt Telekom hat usw usw.
Probiere noch die Umstellung auf TCP ;)
MfG
Wir müssen nur einen Workaround kennen. Testweise solltest du die MTU auch sehr klein einstellen können, kleiner geht immer, der Durchsatz leidet letztlich drunter. In letzter Zeit häufen sich auch bei uns die Probleme mit der MTU. Da rufen Kunden an, die vom Homeoffice aus keinen Zugriff auf den Server mehr haben, mit ihrem Handy als Hostspot funktinioert es dann. Oder mit dem WLAN des Nachbars, der als Provider vielleicht 1und1 statt Telekom hat usw usw.
Probiere noch die Umstellung auf TCP ;)
MfG
Ich glaube du verwechselst da etwas. Mit RDP meine ich das RDP-Protokoll: https://de.wikipedia.org/wiki/Remote_Desktop_Protocol
RDP basiert auf dem ITU-Protokoll T.120 und ist ein Protokoll der Ebenen 4–7 des OSI-Modells. Es benutzt grundlegend das Transmission Control Protocol (TCP) für den Sitzungsaufbau und die Datenübertragung. Zur Verringerung der Latenzen (z. B. Multimediainhalte, Telefon- und Videokonferenzen) wird nach Möglichkeit ein paralleler Kanal mit User Datagram Protocol (UDP) verwendet.
Und dein Router nutzt HTTPS um die GUI dar zu stellen, und bekanntlich nutzt HTTPS ja TCP als Transport, ist also auch keine Erklärung für das von dir beschriebene Verhalten. Wenn du immer wieder ausgeloggt wirst kann das einfach nur sehr kurzer Timeout deiner Session sein?
SSL-VPN heißt nur, dass SSL als Verschlüsselung genutzt wird: https://de.wikipedia.org/wiki/SSL-VPN
Anders als OpenVPN kann Wireguard allerdings nur UDP als Transport nutzen. Und UDP ist der Grund, weswegen die MTU Größe relevant ist.
Und genau so lässt sich auch erklären, warum du den RDP-Zugriff ebenfalls auf TCP einschränken sollst, damit die Remotedesktopsitzung garnicht erst UDP nutzt.
Mach das erstmal und lass die Finger von der Sicherheitsaushandlung des RDP Protokolls weg, das hat nichts miteinander zu tun.
MfG
RDP basiert auf dem ITU-Protokoll T.120 und ist ein Protokoll der Ebenen 4–7 des OSI-Modells. Es benutzt grundlegend das Transmission Control Protocol (TCP) für den Sitzungsaufbau und die Datenübertragung. Zur Verringerung der Latenzen (z. B. Multimediainhalte, Telefon- und Videokonferenzen) wird nach Möglichkeit ein paralleler Kanal mit User Datagram Protocol (UDP) verwendet.
Und dein Router nutzt HTTPS um die GUI dar zu stellen, und bekanntlich nutzt HTTPS ja TCP als Transport, ist also auch keine Erklärung für das von dir beschriebene Verhalten. Wenn du immer wieder ausgeloggt wirst kann das einfach nur sehr kurzer Timeout deiner Session sein?
SSL-VPN heißt nur, dass SSL als Verschlüsselung genutzt wird: https://de.wikipedia.org/wiki/SSL-VPN
Anders als OpenVPN kann Wireguard allerdings nur UDP als Transport nutzen. Und UDP ist der Grund, weswegen die MTU Größe relevant ist.
Und genau so lässt sich auch erklären, warum du den RDP-Zugriff ebenfalls auf TCP einschränken sollst, damit die Remotedesktopsitzung garnicht erst UDP nutzt.
Mach das erstmal und lass die Finger von der Sicherheitsaushandlung des RDP Protokolls weg, das hat nichts miteinander zu tun.
MfG