Unitymedia iOS 9, Fritzbox und IPSec VPN?

[paddyfalk]

Also hier geht nix. Am iPhone Verbindung mit iOS8.4.1 aufgebaut - läuft. Am iPad unter 9.1b3 immer noch NICHT möglich! VPN steht, aber Datenverkehr läuft nicht.

 

[paddyfalk]

Heute iOS9.1b4 installiert. Natürlich nicht gefixt. Wieso auch. Schliesslich liegt das Problem im Netz von UM.
Ich habe heute einen Antrag auf Kulanzkündigung gestellt. Meine Heimautomation ist mittlerweile über das WLAN der Nachbarn verbunden - meine Fritzbox7490 dient als Router. VPN geht natürlich.
Nur halt keine gute Werbung, wenn der UM-Kunde bei den Nachbarn das Netz anzapfen muss, damit er Heizung, Licht, Alarmanlage bedienen kann. Die Nachbarn unterhalten sich schon und raten sich gegenseitig zum Anschluss bei UM ab - obwohl die Bandbreite am DSL bei uns nur 16.000 bis max. 23.000 beträgt. Aber ich werde wohl auch wechseln müssen, wenn es UM nicht schafft.

 

[Gast33230]

Habe gerade auf 2 Geräten die 9.1 final installiert.
Gleiches Problem: VPN-Verbindung von iPhone und iPad zu Fritzbox 3272 (Router) und Zyxcel (Cisco) Kabel-Modem von UM ist nicht möglich.

VPN wird aufgebaut aber keine Daten gehen durch. :hirnbump:

 

[satlolli]

So, nun ist es es ein Problem bei Unitymedia, da die VPN-Verbindungen seit iOS9.1 auf einem Telekom VDSLer mit FB7490 und einem Telekom LTE mit FB6840 wieder laufen. NUR nicht am Unitymediaanschluss (Business, IPv4) mit 6360, da kommt weiterhin keine Verbindung zustande !

 

[hajodele]

Gibt UM inzwischen wenigstens zu, dass sie da ein Problem haben?
Bei Facebook hat vor ein paar Tagen ein Admin wegen normalem VPN nachgefragt:
Zugang funktioniert nur von UM nicht - die Clients haben alle IPv4.

 

[Diter]

http://www.ip-phone-forum.de/showthread.php?t=281439&page=9&p=2121267&viewfull=1#post2121267

ich teste gerade iOS 9.1beta3 (13B5130b) und habe ein funktionierende VPN IPSec Verbindung nach Hause (Unitymedia). Ich hoffe es kommt auch in die Final-Version.
Zugriff auf meinen Router: checked
Zugriff auf Rechner im Home-Netz (http/ssh): checked
Zugriff durch den IPSec-Tunnel ins Netz: checked
Prüfung meiner IP im Netz: checked
Zugriff durch den IPSec-Tunnel auf AppleStore: checked

Bitte vielmals um Entschuldigung! Es hat sich heraus gestellt, dass das ECN bei der obigen Konstellation durch eine Komponente in der Verbindung zwischen UM-Netz und WLAN-Hotspot bereinigt wurde!

iOS 9.0.x final : Problem vorhanden
iOS 9.1 beta y: Problem vorhanden
iOS 9.1.0 final: Problem vorhanden
iOS 9.2 beta z: kann ich keine Angaben machen!


UM macht etwas merkwürdiges, indem die dort das ECN auf 0x03 setzten und einen vollkommenden Datenstau signalisieren, den es meiner Meinung nach nicht gibt. Ist jetzt eine Spekulation, aber vielleicht will man keinen Datenverkehr anderer Provider durchrouten, außer es ist für die eigenen Kunden. Es ist nicht unzulässig, sondern NUR ungewöhnlich! Man kann diese "Porblematik" des gesetzten ECN-Flags bis 2008 zurück verfolgen. Schon damals gab es in diesem Forum diese Diskussion und auch 2012 gab es eine entsprechende Diskussion dazu.
2008: http://www.unitymediaforum.de/viewtopic.php?p=41203&sid=2fda705931c2dd2928340306c0c4cedd#p41203
2012: http://serverfault.com/questions/356490/is-clearing-the-ecn-bits-from-the-ip-tos-header-considered-harmfull
2015: http://www.ip-phone-forum.de/showthread.php?t=281439&page=7&p=2120349&viewfull=1#post2120349 <-- Nachweis, dass es an dem ECN liegt!

Im Endeffekt hat aber Apple einen Bug in der IPSec Implementierung. Und das macht die Situation wieder akut!

Work-Around für OS X (net.inet.ipsec.ecn auf 2 setzen):
http://www.ip-phone-forum.de/showthread.php?t=281439&page=12&p=2122457&viewfull=1#post2122457
http://www.ip-phone-forum.de/showthread.php?t=281439&page=13&p=2122503&viewfull=1#post2122503

Work-Around für iOS mit Jailbreak (net.inet.ipsec.ecn auf 2 setzen):
http://www.ip-phone-forum.de/showthread.php?t=281439&page=14&p=2122904&viewfull=1#post2122904
http://www.ip-phone-forum.de/showthread.php?t=281439&page=15&p=2123143&viewfull=1#post2123143

 

[Bartimaus]

Guten Morgen,

ich hatte zu diesem Fehler eine Mail an UM gesendet.

Gestern rief mich ein Hotline-MA von UM an, und erklärte, das denen das Problem bewusst ist, und derzeit mit Apple an einer Lösung gearbeitet wird.

Angeblich wird der Fehler seitens UM in 2-3 Wochen gefixt sein.
Der HotlineMA ist wohl selber als iOS9-User davon betroffen....

Ich bin gespannt.

 

[Bartimaus]

Nabend,

mit der Public Beta von ios9.2 funktioniert der VPN-Tunnel Wiede :zwinker:

 

[Fleischer]

Seit gestern Abend mehren sich die Aussagen derer, deren VPN-Tunnel wieder wie gewünscht läuft (incl. meinem).
Siehe auch:
http://www.ip-phone-forum.de/showthread.php?t=281439&p=2129332&viewfull=1#post2129332

 

[freezer2k5]

Hallo zusammen,
Kann die Aussage dass es wieder geht soweit bestätigen!! iOS 9.0.2 auf iPhone 6S
IPSec Verbindung wird aufgebaut und Traffic fließt! :super: :super: :super:

 

[s710]

Auf meinem Mac (10.11.1 (15B42)) immer noch tote Hose. VPN Verbindung wird aufgebaut, danach kein Zugriff möglich. iPhone kann ich geraden icht prüfen, werde ich heute abend.

 

[tq1199]

Auf meinem Mac (10.11.1 (15B42)) immer noch tote Hose. VPN Verbindung wird aufgebaut, danach kein Zugriff möglich. iPhone kann ich geraden icht prüfen, ...

Schau mal mit:

<i>
</i>sudo tcpdump -vvveni any | grep -i '0x3,CE'

(oder gleichwertig) nach, ob UM an deinem Anschluss, die Datenpakete noch mit dem ECN-Flag markiert.

 

[s710]

Da bekomme ich:

<i>
</i>11:35:24.389525 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 138: (tos 0x3,CE, ttl 60, id 18398, offset 0, flags [none], proto UDP (17), length 124)
11:35:27.047218 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 47, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:27.059874 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 47, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.924766 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925613 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925615 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925616 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925774 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925775 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:33.925776 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 66: (tos 0x3,CE, ttl 49, id 0, offset 0, flags [DF], proto TCP (6), length 52)
11:35:34.419036 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 138: (tos 0x3,CE, ttl 60, id 12954, offset 0, flags [none], proto UDP (17), length 124)

 

[tq1199]

Da bekomme ich:

<i>
</i>11:35:24.389525 xx:xx:xx:xx:xx:xx > yy:yy:yy:yy:yy:yy, ethertype IPv4 (0x0800), length 138: (tos 0x3,CE, ttl 60, id 18398, offset 0, flags [none], proto UDP (17), length 124)

Hier sieht man, dass für deinen UM-Anschluss bzw. bei deiner UM-Hardware (Modem?, Router?, Gateway?, ...) das ECN-Bit (tos 0x3,CE) noch gesetzt ist.

Welche Hardware bzw. welchen Tarif hast Du von Unitymedia?

 

[s710]

Bin im Büro, den Tarif und die Hardware kenn ich hier nicht. Ich werds heute abend übers Handy versuchen, dann weiß ich zumindest, ob mein Anschluss zu Hause okay ist.

Aber kurzum: Unitymedia stellt hier die Anschlüsse einzeln um?? Wenn ja, muss man sich drum bemühen, dass der eigene Anschluss "umgestellt" wird (Support Ticket, ...), oder machen die das jetzt nach und nach für alle?

 

[tq1199]

Aber kurzum: Unitymedia stellt hier die Anschlüsse einzeln um?? Wenn ja, muss man sich drum bemühen, dass der eigene Anschluss "umgestellt" wird (Support Ticket, ...), oder machen die das jetzt nach und nach für alle?

Das ist unterschiedlich. Manche UM-Kunden mussten ihre Hardware rebooten. Bei meinem Anschluss (FritzBox 6360-cable) musste ich nichts machen, denn das ECN-Bit war plötzlich weg.

Z. B. aus dem IPPF:

Mein Kollege hat ein Cisco EPC3212 Kabelmodem, eben neugestartet, ECN Feld ist auch weg. Interessanterweise konnte er die Parameter abrufen unter [ip-addresse-des-modems]/Docsis_status.asp und er hat den Parameter "IPTypeofServiceOverwrite = 0x0003" gefunden. Nach dem Neustart lautet der Feld "IPTypeofServiceOverwrite = 0x0000."

QUELLE: http://www.ip-phone-forum.de/showthread.php?t=281439&s=dc43372c7830f85110d83c8e264e6480&p=2129426&viewfull=1#post2129426

Siehe z. B. auch ab dem Beitrag #432: http://www.ip-phone-forum.de/showthread.php?t=281439&p=2129370&viewfull=1#post2129370

 

[s710]

Interessant. Habe ebenfalls das Cisco EPC3212. Schau ich mir heute abend an. Hier auf Arbeit haben wir mE eine Fritzbox. Vielleicht ist mir einem Reboot zu hause ja alles erledigt.

 

[rv112]

Danke für die Info. Werde ich ebenfalls mal testen.

 

[freezer2k5]

Hallo zusammen,
Kann die Aussage dass es wieder geht soweit bestätigen!! iOS 9.0.2 auf iPhone 6S
IPSec Verbindung wird aufgebaut und Traffic fließt! :super: :super: :super:

PS: habe ein Cisco EPC3212.. Modem läuft seit ca. 100Tagen...
Das o.g. Flag gibt es bei mir zweimal:

IPTypeofServiceOverwrite = 0x0000
IPTypeofServiceOverwrite = 0x00b8

Ob das jetzt vorher auf 0x0003 gestanden hat, kann ich so nicht mehr nachvollziehen... wurde dann wenn im laufenden Betrieb geändert..

 

[tq1199]

IPTypeofServiceOverwrite = 0x00b8

Mit diesem Flag werden i. d. R. RTP-Pakete markiert, um diese zu priorisieren. Evtl. auch SIP-Pakete (Telefonie) bei UM?

Das kann man z. B. mit iptables und dem target "-j DSCP --set-dscp-class EF", auch machen.

 

[rv112]

Bei mir funktioniert es endlich auch wieder!

 

[s710]

Interessant. Habe ebenfalls das Cisco EPC3212. Schau ich mir heute abend an. Hier auf Arbeit haben wir mE eine Fritzbox. Vielleicht ist mir einem Reboot zu hause ja alles erledigt.

Bei mir läufts auch wieder

 

[BlueMagic]

Hallo zusammen,

leider klappt es bei meinem Setup noch nicht.

FritzBox 6360 von KabelBW
iPhone 6s mit iOS 9.2

FritzBox habe ich neugestartet, VPN Verbindung kann ich wie früher aufbauen, aber auf die Netzwerkgeräte komme ich leider immer noch nicht.

Was kann ich noch tun damit ich wieder in mein Heimnetz komme?

Ein Anruf beim UM Support war leider enttäuschend, "von diesem Problem haben wir noch nicht gehört" :wand: .

Hoffe Ihr könnt mir da weiterhelfen.

Vielen Dank im voraus

Markus