Vigor 166 | als Router, keine Verbindung zu einigen Webseiten

[suber]

Grüss euch, noch mal ein kleines Problem mit dem DrayTek Vigor 166.
Über diesen bekomme ich zu manchen Internetseiten keine Verbindung. Findet er eichfach nicht wie als wenn der DNS das verbieten würde.
Seiten wie:
duckduckgo.com
skype.com
... weiss nicht welche noch, youtube.com geht zB. und google.com auch.

Ein Mysterium und vielleicht hat einer eine Idee.
So wohl mit meiner Fritzbox wie auch mit meinem mobilen Tethering über USB hab ich Zugriff auf alle Webseiten trotz meinem Sec DNS.
Egal wo ich den 166 anschliesse kann ich duckduckgo.com nicht aufrufen und es muss ja am Gerät liegen. Habe dort kein DNS eingestellt die habe ich nur auf meinen Endgeräten.

Ich suche schon den ganzen Tag und suche auch weiter bis ich was finde, ist aber echt strange, keine Idee was das ist. Es sollte doch normal gehen.

 

[Barungar]

Aus der Ferne ist das schwierig zu diagnostizieren. duckduckgo.com das nicht funktioniert ist z.B. IPv4-only... YouTube und Google sind Dual-Stack; also IPv4 und IPv6. Vielleicht liegt da Dein Problem... beim IPv4?!

 

[suber]

Aus der Ferne ist das schwierig zu diagnostizieren. duckduckgo.com das nicht funktioniert ist z.B. IPv4-only... YouTube und Google sind Dual-Stack; also IPv4 und IPv6. Vielleicht liegt da Dein Problem... beim IPv4?!

Danke werde es mal probieren hab v6 nämlich im 166 ausgestellt so wie auf all meinen Geräten.
Den Ansatz versuch ich mal. : )

Dazu muss ich erwähnen, das ich in der Fritzbox auch v6 aus habe und es die ganze Zeit lief.

 

[blurrrr]

Bzgl. IPv6 kannste ja mal hier schauen: https://www.heimnetz.de/anleitungen/router/avm-fritzbox/fritzbox-ipv6-pfsense/

Ist das soweit eingerichtet, schauste mal mit einem Traceroute nach:

IPv4: tracert 8.8.8.8
IPv6: tracert 2001:4860:4860::8888

Live-Log der Firewall dabei im Auge behalten

 

[suber]

Bzgl. IPv6 kannste ja mal hier schauen: https://www.heimnetz.de/anleitungen/router/avm-fritzbox/fritzbox-ipv6-pfsense/

Ist das soweit eingerichtet, schauste mal mit einem Traceroute nach:

IPv4: tracert 8.8.8.8
IPv6: tracert 2001:4860:4860::8888

Live-Log der Firewall dabei im Auge behalten

Hab ich ja noch nicht an der pfSense dran, muss da erst alle Vorkehrungen treffen und mich zum Thema Sicherheit einlesen.
Welche Ports auf zu usw. Aber ich notiere es mir falls das Problem als Modem Bridge auch noch auftritt.

Im Moment habe ich ihn noch als Router und irgendwie will ich das jetzt lösen, da ich mit dem verbinden der Sense noch etwas warten will, will aber den Router schon mal nutzen.

 

[the other]

Moinsen,
Was ist denn am vigor (der ja aktuell als Router dient) als DNS Server eingestellt?
Es gibt doch sicherlich die Option, einen DNS per IP dort anzulegen. Das mal gemacht und erneut probiert?

PS. Das aktivieren von v6 wird dir da nicht helfen, da ja v4 only bei zb duckduckgo....

 

[suber]

Moinsen,
Was ist denn am vigor (der ja aktuell als Router dient) als DNS Server eingestellt?
Es gibt doch sicherlich die Option, einen DNS per IP dort anzulegen. Das mal gemacht und erneut probiert?

PS. Das aktivieren von v6 wird dir da nicht helfen, da ja v4 only bei zb duckduckgo....

Im DNS Cache zeigt er mir auch duckduckgo nur als ipv4 an. Brave Search zB bekommt ne ip6.
Also da hast du scheinbar Recht.

Im 166 selber habe ich keinen DNS angestellt. Logisch geht das dann über den ISP meines Providers.
Und da geht duckdockgo immer bis jetzt.
Aber ja ich stell einfach mal einen DNS ein. Nur komisch das es nicht einfach so geht skype und duck sind ja nicht geblacklistet oder so.

EDIT:
Wenn ich meinen DNS über Tor Route ist es übrigens das selbe Problem. Als wenn die Box das selber blockiert.

 

[the other]

Moinsen,
Steht in den Protokollen bzw logs dazu etwas?
Liegt der Fehler "nur" darin, dass im Browser die Seite nicht aufgebaut wird (Fehlermeldung? )?
Was ergibt zb ein nslookup <seite xy> ? Oder ein Ping?
Dann habe ich noch dies gefunden
https://faq.draytek.com.au/2019/08/20/unable-to-access-some-web-sites/

Wird im erwähnten web.syslog etwas ausgegeben?
Was ist wenn am Router einfach (versuchsweise) ein üblicher DNS Dienst angegeben wird (Google dns)?
Sind im Router ggf irgendwelche blacklists aktiv (ggf default ohne aktives Zutun)?

 

[suber]

Dann habe ich noch dies gefunden
https://faq.draytek.com.au/2019/08/20/unable-to-access-some-web-sites/

Du bist genial, das ist es gewesen. Habs auf 1300 gesetzt und zack gehts.
Sehr schön, gut zu wissen. Würde dir jetzt ein Bier ausgeben wenn du hier wärst.

 

[blurrrr]

Sorry, aber 1300 finde ich schon dezent merkwürdig, wobei es vermutlich eh nur zur Sicherstellung der Funktionalität dient... Was die MTU ist, kannst Du hier nachlesen. Ich würde Dir aber anraten, dass Du mal ein paar Tests nach der optimalen MTU durchführst. Ich finde es aber auf jeden Fall äusserst befremdlich, dass hier angeblich "manche" Seiten nicht funktionieren sollen aufgrund "Deiner" MTU, aber nujut...

Bzgl. der MTU wäre es am sinnvollsten, wenn Du einfach mal schaust, was Dein Provider da gern hätte bzw kannste es auch einfach mal auf den vorherigen Stand setzen und dann mal schauen, ab welcher Größe die Pakete fragmentiert werden müssten, z.B. via:

ping -f duckduckgo.com -l 1500

Da wird es sicherlich Probleme geben, von daher testest Du Dich einfach mal vorsichtig ran. Einmal 1500, einmal 1300, dann mal 1400, usw. - so kannst Du Dich dann langsam Deinem gewünschten Wert annähern.

 

[suber]

Sorry, aber 1300 finde ich schon dezent merkwürdig, wobei es vermutlich eh nur zur Sicherstellung der Funktionalität dient... Was die MTU ist, kannst Du hier nachlesen. Ich würde Dir aber anraten, dass Du mal ein paar Tests nach der optimalen MTU durchführst. Ich finde es aber auf jeden Fall äusserst befremdlich, dass hier angeblich "manche" Seiten nicht funktionieren sollen aufgrund "Deiner" MTU, aber nujut...

Bzgl. der MTU wäre es am sinnvollsten, wenn Du einfach mal schaust, was Dein Provider da gern hätte bzw kannste es auch einfach mal auf den vorherigen Stand setzen und dann mal schauen, ab welcher Größe die Pakete fragmentiert werden müssten, z.B. via:

ping -f duckduckgo.com -l 1500

Da wird es sicherlich Probleme geben, von daher testest Du Dich einfach mal vorsichtig ran. Einmal 1500, einmal 1300, dann mal 1400, usw. - so kannst Du Dich dann langsam Deinem gewünschten Wert annähern.

Ja am Ende ist es absolut merkwürdig. Kenne mich leider zu wenig damit aus.
Welche Config habe ich im Router eingestellt?:
Eigentlich nur die PPPoE/PPPoA Providerdaten eingetragen. IPv4 only (aber war ja auch mit IPv6 so)
Kein DNS konfiguriert, alles über DHCP.

So weit ich das mit der MTU verstanden habe ist das ja auch sicherheitsrelevant.
Es war aber so wie ich es gesagt habe, skype.com und duckcukgo.com gingen nicht. (mehr seiten hatte ich nicht gefunden die ich regelmässig nutze) und danach ging es plötzlich und ich hatte nur die MTU geändert.

Werde mich mal hoch testen wann das kippt.
EDIT: ggf, ruf ich den Support mal an von DrayTek die Tage.

 

[suber]

Weiss nicht was ihr braucht und gerne mal von der Configuration sehen wollt um das zu erforschen?

 

[blurrrr]

Die MTU hat erstmal nichts mit "Sicherheit" zu tun, vereinfacht ist es nur die Angabe in Bezug auf die maximale Paketgröße. Das ist halt so, als wenn Du sagen würdest: Meine Haustür ist das maximum und die ist halt nunmal nur 2m hoch. Alles darüber hinaus, werde ich weder annehmen, noch rausschicken, es sei denn - man zerstückelt die Pakete (Fragmentierung).

Denke auch nicht, dass der Support von Draytek weiterhelfen kann/wird, da frag mal lieber Deinen ISP

 

[blurrrr]

Kleine Info am Rande: Wenn die MTU vorher auf 1500 stand und die Pakete fragmentiert werden mussten, wurden sie unter IPv4 halt fragmentiert, unter IPv6 ist das allerdings nicht erlaubt. Das kann dann halt dazu führen, dass Hosts (gehen wir mal von sauberem DNS und Routing aus), welche Dein Client nun gerne via IPv6 angesprochen hätte, nicht angesprochen werden können, da die Pakete fragmentiert werden müssten. Ein "do not fragment" findest Du übrigens auch in den o.g. Befehlen mit dem Parameter "-f", damit Du als Ausgabe ggf. auch ein "müsste fragmentiert werden" bekommst.

 

[the other]

Moinsen,
ich find es auch etwas "merkwürdig". Unter der Fritzbox schien ja alles zu funktionieren ohne MTU Reduzierung...und als ich die Info von Draytek Australia gefunden habe dachte ich auch erstmal...WTF?
Vorenthalten wollte ich den link aber trotzdem nicht.

 

[ted777]

> Kenne mich leider zu wenig damit aus.
Durch den PPPoE Overhead kommt es bei der Encapsulierung von IP Frames zu einem Mismatch der MTU. Der Frame passt salopp und laienhaft gesagt nicht mehr in einen PPPoE Frame und wir verworfen.
Näheres zu den technischen Details findest du HIER.
Böser Buhmann ist der Vigor, denn der sollte die Port MTU bei PPPoE entsprechend auf eine MTU von 1492 anpassen. Das kann ein Firmware Bug sein und ggf. solltest du die aktuelle Fimrware flashen wenn nicht schon geschehen.
Dazu muss man aber auch sagen das die Vigor 16x Produkte im engeren Sinne keine Router sind sondern primär als reine Modems Verwendung finden. Also für Endgeräte wie Firewalls oder Router gedacht sind die als WAN Port nur RJ-45 Ethernet und kein internes xDSL Modem haben. Die Routing Option ist also eher eine Nebenbeifunktion bei den 16x so das der Vigor im Draytek Portfolio keine besonderns intelligente Hardware Wahl ist wenn man primär einen funktionstüchtigen Router sucht!

 

[suber]

> Kenne mich leider zu wenig damit aus.
Durch den PPPoE Overhead kommt es bei der Encapsulierung von IP Frames zu einem Mismatch der MTU. Der Frame passt salopp und laienhaft gesagt nicht mehr in einen PPPoE Frame und wir verworfen.
Näheres zu den technischen Details findest du HIER.
Böser Buhmann ist der Vigor, denn der sollte die Port MTU bei PPPoE entsprechend auf eine MTU von 1492 anpassen. Das kann ein Firmware Bug sein und ggf. solltest du die aktuelle Fimrware flashen wenn nicht schon geschehen.
Dazu muss man aber auch sagen das die Vigor 16x Produkte im engeren Sinne keine Router sind sondern primär als reine Modems Verwendung finden. Also für Endgeräte wie Firewalls oder Router gedacht sind die als WAN Port nur RJ-45 Ethernet und kein internes xDSL Modem haben. Die Routing Option ist also eher eine Nebenbeifunktion bei den 16x so das der Vigor im Draytek Portfolio keine besonderns intelligente Hardware Wahl ist wenn man primär einen funktionstüchtigen Router sucht!

Ja ich hab schon die Neuste Firmware drauf geflasht. Danach war es immer noch so.
bzw. standart mässig war es ja auf 1500 MTU gestellt. Hab dann auf 1300 gestellt und noch nicht weiter getestet, also mich hoch auf die 1492 zB. werde ich aber noch machen.

EDIT: Ok hab es gerade probiert mit 1492 MTU funktoniert auch wunderbar. Das PDF war sehr aufschlussreich. : )