Verbindung zu Server mit Cloudfare Tunnel extrem langsam,bei gleichzeitig akiver VPN Verbindung

[Justinh]

Hallo, ich habe gerade eine wie ich sie beschreiben würde recht merkwürdige Situation bei mir.


Ich habe folgendem Aufbau:
1. Ich habe meinen Server der öffentlich im Internet hängt und auf dem mehrere Webserver laufen (oder genauer gesagt Home Assitent, ist aber egal , da es alle Sachen betritt die auf dem Server laufen) läuft
2. Dieser Server hat eine dauerhafte Tunnel Verbindung zu Cloudfare, damit ich die Dienste die auf ihm laufen per https ereichen kann.
3.Dieser Server hält zusätzlich zu dem Cloudfare Tunel eine dauerhafte VPN Vebindung zu meiner Fritzbox die hier bei mir steht(der Server steht in einem anderen Netztwerk). Ich habe in den IP Routes auf dem Server festgelegt , dass über dass VPN zu mir nur Adressen im Bereich von 192.168.188.0/24 geleitet werden(in diesem Bereich vergibt meine Fritzbox DHCP Addressen). Alle anderen Dinge also auch die Verbindung zu Cloudfare wird über die Default Route geleitet(die Default Route ist eine unbeschränkte/ohne Ausgangsregeln
Internetverbindung nach draußen).

Dieses ganze System funktioniert soweit auch stabil und einwandfrei, zumindestens solange ich nicht in meinem Heimatnetztwerk bin, zudem der Server eine dauerhafte VPN Verbidung hält.


Erstmal, ich kann aus meinem Heimatnetztwerk die öffentliche IP Adesse aufrufen und komme auch einwandfrei und ohne Probleme auf die Webserver drauf die dort laufen.
Die Probleme fangen erst an wenn ich versuche über die Domain zuzugreifen mit der ich immer auf den Server auch von außen zugreife und diese Domain führt über den Cloudfare Tunnel.
Teilweise konnte es vor, dass ich gar keine Verbindung herstellen kann und die meiste Zeit ist die Verbindung einfach nur extrem lahm.Beispielsweise brauche ich um die Home Assitent Startseite zu laden (die wirklich nicht groß ist circa 3 min (über ein anderes Netztwerk ist sehe ich sie innerhalb von 1 Sekunde ).

Wichtig dabei ist, dass dieses Problem dauerhaft existiert und dieses Problem wirklich nur auftritt, wenn ich von meinem Heimatnetztwerk versuche eine Verbindung über den Cloudfare Tunnel zu meinem Server aufzubauen.Sobald ich mein Heimatmetztwerk verlasse kann ich sofort und schnell den Server und in diesem Fall Home Assitent ereichen.

Die VPN Verbindung stelle ich via dem VPNC Client unter Linux und mit ikev1 her.

Hat eventuell jemand einen Tipp / irgendeinen Anhaltspunkt woher dieses Verhalten kommt?

 

[blurrrr]

Hi,

so ganz klar ist das Konstrukt irgendwie noch nicht...

Ich habe meinen Server der öffentlich im Internet hängt

Wozu dann überhaupt den Cloudflare-Tunnel?

Dieser Server hat eine dauerhafte Tunnel Verbindung zu Cloudfare, damit ich die Dienste die auf ihm laufen per https ereichen kann.

Dann hängt er ja eigentlich doch nicht selbstständig öffentlich im Netz?

Dieser Server hält zusätzlich zu dem Cloudfare Tunel eine dauerhafte VPN Vebindung zu meiner Fritzbox die hier bei mir steht(der Server steht in einem anderen Netztwerk).

Wohin geht denn die Reise, wenn Du den Server über einen öffentlichen FQDN ansprichst (Linux: traceroute <fqdn> Windows: tracert <fqdn>)? Gehen die Pakete durch den VPN-Tunnel, oder doch - wie vorgesehen - direkt ins Internet zu Cloudflare und dort dann durch den Tunnel?

Irgendwas lokales in Richtung DNS ist nicht zufällig im Einsatz (wäre ggf. noch das Thema Split-DNS). Bei Problemen mit den Zugriffen... schon mal die Browser-Console geöffnet und dort mal unter Netzwerk nachgeschaut? Dort sollte sich dann auch einsehen lassen, was von wo bezogen wird.

 

[Justinh]

Wohin geht denn die Reise, wenn Du den Server über einen öffentlichen FQDN ansprichst (Linux: traceroute <fqdn> Windows: tracert <fqdn>)? Gehen die Pakete durch den VPN-Tunnel, oder doch - wie vorgesehen - direkt ins Internet zu Cloudflare und dort dann durch den Tunnel?

Hallo,
Ich habe mir mal die Traceroute angesehen und ich seh jetzt erstmal nicht aufälliges.Dass Packet scheint direckt durch Internet zu Claudfare zu gehen und von dort zum Server.

  1     3 ms     3 ms     5 ms  fritz.box [öffentliche IP meines Heimrouters]
  2    56 ms     8 ms    10 ms  2003:0:8704:5800::1
  3   197 ms   164 ms   179 ms  2003:3c0:1600:800a::1
  4   166 ms   166 ms   166 ms  2003:3c0:1600:800a::2
  5     *        *        *     Zeitüberschreitung der Anforderung.
  6   166 ms   168 ms   166 ms  ae-1.a08.asbnva02.us.bb.gin.ntt.net [2001:418:0:2000::2bb]
  7   171 ms   167 ms   167 ms  2001:418:0:5000::a9b
  8     *        *      169 ms  2400:cb00:352:3::(Claudfare Netztwerk)
  9   167 ms   167 ms   166 ms  [IPV& Adresse des Tunels der zum Server führt]

Ich habe dass ganze dann auch nochmal mit einem Traceert aus einem anderen Netztwerk heraus verglichen und sehe auch dort keine Aufälligkeiten:

  1    12 ms    12 ms     6 ms  2a00:20:7019:527::c8
  2     *        *        *     Zeitüberschreitung der Anforderung.
  3     *        *        *     Zeitüberschreitung der Anforderung.
  4    59 ms    31 ms    28 ms  2a00:0:0:bd0a::6
  5     *       70 ms    41 ms  2a00:0:0:bd09::3
  6     *        *        *     Zeitüberschreitung der Anforderung.
  7    59 ms    41 ms    35 ms  2a00:0:0:bd08::1
  8     *        *        *     Zeitüberschreitung der Anforderung.
  9     *        *        *     Zeitüberschreitung der Anforderung.
 10    84 ms    43 ms    45 ms  2400:cb00:48:2::c629:f012[Cloudfare Netztwerk]
 11    87 ms    46 ms    38 ms  2400:cb00:48:3::[Cloudfare Netztwerk]
 12    41 ms    40 ms    35 ms  [IPV6 Adresse des Tunnels , der zum Server führt]

Bei Problemen mit den Zugriffen... schon mal die Browser-Console geöffnet und dort mal unter Netzwerk nachgeschaut? Dort sollte sich dann auch einsehen lassen, was von wo bezogen wird.

Ich warte gerade auf eine Nicht Ereichbarkeit. Sobald ich wieder in die Lage komme, dass der Server nicht ereichbar ist (aus meinem Heimnetztwerk) werde ich mir dass ganze mal ansehen.

Hi,

so ganz klar ist das Konstrukt irgendwie noch nicht...

Wozu dann überhaupt den Cloudflare-Tunnel?

Dann hängt er ja eigentlich doch nicht selbstständig öffentlich im Netz?

Doch der Server hängt selbstständig im Netzt aber der Cloudfare Tunnel sorgt für 2 Dinge:
1. Ich spare mir Portfreigaben auf dem Server, da der Tunnel ja von innen aufgebaut wird und nicht von außen wie es ja z.b der Fall wäre, wenn ich von außen direkt auf die IP des Servers gehen würde(per Domain Name oder Direkt)=> weniger offene Ports=> Sicherheitsaspekt
2. Damit ich die Dienste auf dem Server per Https ereichen kann, dass würde zwar auch anderes gehen, indem ich einfach bei meiner Domain als Weiterleitung die IP des Servers hinterlege und auf dem Server dann die entsprechenden Zertikate hinterlege, dass ganze aber nur mit Portfreigaben.
Zugegeben derzeit läuft nur Home Assitent ohne Portfreigabe, die anderen Dineste auf dem Server laufen zwar auch über den Cloudfare Tunnel aber ich leite auf dem Server mittels Reverse Proxy an die öffentliche Ipv4 des Servers mit entsprechendem Port weiter(alles erledigt vom Cloudfared Plugin in HomeAssitent).
Dafür muss ich noch eine Lösung finden, ich denke dass beste hier wären einfach mehrere Cloudfare Tunnels. Aber dass ist ja hier auch nicht dass Thema.

 

[blurrrr]

Zugegeben derzeit läuft nur Home Assitent ohne Portfreigabe, die anderen Dineste auf dem Server laufen zwar auch über den Cloudfare Tunnel aber ich leite auf dem Server mittels Reverse Proxy an die öffentliche Ipv4 des Servers mit entsprechendem Port weiter(alles erledigt vom Cloudfared Plugin in HomeAssitent).

Sorry, das was Du da schreibst, macht für mich so gar keinen Sinn, also vor allem dieser Teil:

ich leite auf dem Server mittels Reverse Proxy an die öffentliche Ipv4 des Servers mit entsprechendem Port weiter

Wenn wir von "Server" reden, sprechen wir doch über diesen "einen" auf dem u.a. auch HA läuft, oder nicht? Da läuft dann "auch" noch ein Reverse-Proxy? Falls ja - warum wird dann vom Server über den dortigen Reverse-Proxy "nochmal" weitergeleitet an irgendeine weitere öffentliche IP? Irgendwie steh ich da ein bisschen auf dem Schlauch... Für mich sah das Konstrukt bisher wie folgt aus:

Client <--Internet--> Cloudflare <--Tunnel--> HA

Vielleicht machen wir das mal anders: Was für ein Server ist es denn und was läuft darauf? Blech? VPS? Alle Dienste einfach lokal installiert, oder via Docker, oder ggf. virtualisiert? Wenn virtualisiert wird: Irgendwelche internen Netze oder zusätzliche öffentlichen IP-Adressen für die verschiedenen VMs?

Wichtig dabei ist, dass dieses Problem dauerhaft existiert und dieses Problem wirklich nur auftritt, wenn ich von meinem Heimatnetztwerk versuche eine Verbindung über den Cloudfare Tunnel zu meinem Server aufzubauen.

Ich warte gerade auf eine Nicht Ereichbarkeit. Sobald ich wieder in die Lage komme, dass der Server nicht ereichbar ist (aus meinem Heimnetztwerk) werde ich mir dass ganze mal ansehen.

Das hatte sich eigentlich so gelesen, als wäre es ein Dauerzustand... Also geht es manchmal auch einfach und das Problem ist dann doch eher temporärer Natur?