[VF West] Merkwürdige UDP-Filterung durch Unitymedia / Vodafone

[Leseratte10]

Hallo zusammen,

ich wohne im VF-West-Gebiet (ehemals Unitymedia) und habe dort einen Businessanschluss mit einer 6591. Auf diesem Anschluss habe ich am Samstag ein äußerst kurioses Problem festgestellt, und bisher waren weder die Mitglieder des unitymediaforum.de, noch die Unitymedia-Business-Hotline, noch der Vodafone-Business-2nd-Level-Support, noch der von Vodafone geschickte Techniker in der Lage, das Problem zu beheben, oder zumindest überhaupt mal festzustellen woran das liegt.

Also habe ich mich mal hier im Vodafone-Forum angemeldet und poste meine Frage hier auch nochmal - in der Hoffnung, dass sich vielleicht ein paar Leute mit anderen Anschlüssen (Fritzbox vs. nicht-Fritzbox, NRW vs. nicht NRW, Business vs. Privat, etc.) finden, die die Situation mal nachstellen können.

Es geht um folgendes: Auf meiner Fritzbox ist ein UDP-Port freigegeben bzw. weitergeleitet auf einen Rechner hinter der Fritzbox. Auf diesem Rechner lauscht auch ein Programm auf diesem Port.
Von einem Server im Internet aus sende ich nun ein UDP-Paket an meinen Anschluss, mit folgendem relativ einfachen Befehl:

Code: Alles auswählen

cat datei.bin > /dev/udp/1.2.3.4/5678

Wobei ich natürlich 1.2.3.4 durch die öffentliche IPv4 der Fritzbox und 5678 durch den weitergeleiteten Port ersetze.
Im Anhang dieses Posts befindet sich eine ZIP-Datei. Innerhalb dieser ZIP-Datei befinden sich zwei Dateien, einmal die test-working.bin und einmal die test-fail.bin.

Das Kuriose: Sende ich mit dem oben genannten Befehl die "test-working.bin" an meinen Anschluss, so kommt diese problemlos an, völlig zuverlässig. Ich sehe sie im empfangenden Programm, und in einem Netzwerkdump.
Sende ich die "test-fail.bin" - die exakt gleich lang ist wie die andere Datei und sich nur in einem einzigen Byte unterscheidet - kommt leider NICHTS an meinem Rechner an (weder im Programm noch in Wireshark noch sonstwo), und die Fritzbox sendet 30 Sekunden später "ICMP ip reassembly time exceeded" an den Absender zurück.

Irgendwo muss es also entweder im Netz von Unitymedia, oder in der Fritzbox selbst, ein merkwürdiges Problem geben, was dafür sorgt, dass genau dieses Paket (bzw. ein Teilfragment) gefiltert wird.

Hänge ich meinen Rechner an einen Telekom-DSL-Anschluss, kommen beide Pakete an. Ebenso im O2-Handynetz (über Smartphone-Hotspot). An meinem Unitymedia-Anschluss kommt nur das eine Paket an.

Das hier wäre das entsprechende Thema im Unitymedia-Forum, wo leider auch noch keine Lösung gefunden wurde: https://www.unitymediaforum.de/threads/39732/
Ich habe jetzt die Hoffnung dass vielleicht jemand aus diesem Forum noch eine Idee hat, oder den Testfall mit den Dateien im Anhang mal an anderen Anschlusstypen testen kann, um der Ursache besser auf die Spur zu kommen.
Im Unitymedia-Forum hat bereits ein anderer Nutzer dieses Problem mit exakt diesen Dateien nachstellen können, es liegt also höchstwahrscheinlich nicht an meiner lokalen Konfiguration. Ich vermute da eher was Vodafone-internes.

Aber was? Und wie kriegt man Vodafone dazu, das zu analysieren und zu reparieren?

Viele Grüße,
Leseratte10

[robert_s]

ich wohne im VF-West-Gebiet (ehemals Unitymedia) und habe dort einen Businessanschluss mit einer 6591.

Da ist sicher noch die Firmware 7.13 drauf? Dann versuch mal, auf http://fritz.box/support.lua zu gehen und dort alle Haken bzgl. Paketbeschleunigung wegzumachen und "Übernehmen" zu klicken. Dann nochmal testen, ob das Problem noch besteht.

[Leseratte10]

Ja, da ist noch die 7.13 drauf. Deaktivieren der Paketbeschleunigung hat aber leider nicht geholfen.

[robert_s]

Ja, da ist noch die 7.13 drauf. Deaktivieren der Paketbeschleunigung hat aber leider nicht geholfen.

Hmm, schade. Hast Du das Problem auch, wenn Du lokal aus Deinem LAN das Paket an die öffentliche IP-Adresse der Fritz!Box schickst?

Wenn die Pakete nur 4 Bytes kürzer wären, wäre das Problem freilich auch weg Warum ausgerechnet 1476 Bytes und nicht 1472? Oder sind die 1476 nur der konstruierte minimale Test-Case?

[Leseratte10]

1476 ist der Minimal-Testcase. Das eigentliche Paket, mit dem mir der Fehler letzte Woche aufgefallen ist hat ca 3500 Byte. Da waren aber private Daten drin die ich so nicht veröffentlichen wollte als Testcase, also habe ich die Datei genommen, so lange am Ende gekürzt bis der Fehler weg war (und dann wieder ein Byte dran), und dann von vorne aus alles was ging noch durch Nullbytes ersetzt (außer dem Header), und übrig blieb dann erstaunlicherweise nur noch das eine Byte. Dann habe ich das spaßeshalber mal geändert, und dann ging es wieder ...

Wenn ich das Paket aus dem internen Netzwerk an die öffentliche IP der Fritzbox schicke kommt es problemlos an. Noch ein Indiz dafür, dass es am Netz und nicht an der Fritzbox liegt.

[robert_s]

Wenn ich das Paket aus dem internen Netzwerk an die öffentliche IP der Fritzbox schicke kommt es problemlos an. Noch ein Indiz dafür, dass es am Netz und nicht an der Fritzbox liegt.

Hmm, hast Du mal unterschiedliche Ziel-Portnummern probiert bzw. welche hast Du verwendet? Vielleicht hat da ja irgendein Paketfilter, der z.B. vor Portscannern schützen soll, einen "false positive"...

[Leseratte10]

Verschiedene Ports habe ich schon getestet. Sowohl welche unter 1024 als auch welche über 1024.
Im nicht-Testcase-Fall (also in der eigentlichen Anwendung) wird das Paket auch als Antwort auf eine Anfrage an den Server erst gesendet, geht also eh jedes Mal an einen anderen Port (der, der halt zufällig für die Anfrage genutzt wird). Und nie hat es funktioniert.

[Leseratte10]

Das Paket von meinem Anschluss aus an den Server zu senden funktioniert übrigens, also scheint nur der Empfang betroffen zu sein.

[Leseratte10]

Nochmal ein Update zum Thema:

Vor zwei Wochen hat mich der 2nd-Level-Techniker angerufen und behauptet, an meinem Anschluss gäbe es eine Schräglage und die könnte solche Paketverluste verursachen. Glaube ich zwar nicht, aber er meinte dann in 2-3 Tagen würde sich das einer anschauen und sich dann nochmal melden. Ist natürlich bis Heute nicht passiert - habe jetzt nochmal ne Mail geschickt.

Gibt's hier noch ein paar Leute im VF-West-Bereich die mir den Gefallen tun könnten und das an ihrem Anschluss testen (und Rückmeldung geben), um herauszufinden, woran das jetzt genau liegt?
Im Unitymedia-Forum hat jemand berichtet, dass die Pakete bei ihm alle ankommen, allerdings war das auch ein anderes Bundesland, anderes Endgerät, und mit Bridgemodus.

Zum Nachstellen einfach auf einer Linux-Maschine am eigenen Anschluss folgende Befehle ausführen:

Code: Alles auswählen

( echo get-ap=test.bin; sleep 1 ) | ncat -u 95.217.77.151 27900 | xxd
( echo get-ap=test2.bin; sleep 1 ) | ncat -u 95.217.77.151 27900 | xxd

An einem Telekom-DSL-Anschluss zeigen beide Befehle einen Hexdump der vom Server gesendeten Datei.
An meinem Unitymedia-Anschluss funktioniert nur die test2.bin, der andere Befehl (mit test.bin) gibt gar nichts aus (weil nichts ankommt).

[robert_s]

An meinem Unitymedia-Anschluss funktioniert nur die test2.bin, der andere Befehl (mit test.bin) gibt gar nichts aus (weil nichts ankommt).

Ok, das kann ich bei Vodafone Kabel nachvollziehen und Dir schon mal sagen, dass es nicht an Vodafone Kabel liegt (und entsprechend wohl auch nicht an Unitymedia), sondern an der Fritz!Box. Also ist Vodafone da der falsche Ansprechpartner, das muss AVM fixen.