Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03216.jsonl.gz/1670

Dieser Beitrag ist die Fortsetzung von Beitrag Nr. 9:
https://community.upc.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151345#M3219
Anders sieht es bei UDP-“Verbindungen” aus: Grosse UDP-Pakete (> 1472 Byte Nutzdaten) müssen auch bei einem korrekt konfigurierten Internetanschluss (MTU 1500 Byte oder grösser) in mehrere IPv4-Pakete fragmentiert werden.
https://de.wikipedia.org/wiki/User_Datagram_Protocol
Auch schlechte oder falsch konfigurierte, direkt auf IPv4 basierende VPN-Dienste, wie zum Beispiel ein mit ESP realisierter VPN-Tunnel, können Quelle von fragmentierten IPv4-Paketen sein.
https://de.wikipedia.org/wiki/IPsec#Encapsulating_Security_Payload_(ESP)
Beim ISP (oder irgendwo im Internet) können Netzwerkkomponenten installiert sein, welche die Übertragung von fragmentierten IPv4-Pakete drosseln oder gar komplett blockieren.
Siehe dazu das Kapitel 1.1 “Problem Description” vom RFC 7383:
https://tools.ietf.org/html/rfc7383#section-1.1
und die Angaben im Kapitel “MTU Discovery” unter:
https://www.msxfaq.de/netzwerk/grundlagen/mtu.htm
Als Beispiel einer Drosselung der Übertragung von fragmentierten IPv4-Pakete sei die Connect Box von UPC/Cablecom zu erwähnen:
https://community.upc.ch/t5/Internet-mit-Modem/ConnectBox-Maximal-15Mbit-s-UDP-Durchsatz/m-p/119400#M6938
Fragmentierte IPv4-Pakete werden zum Beispiel von der Firewall der Connect Box und der Giga Connect Box komplett blockiert, wenn die Option “Blockierung von fragmentierten IP-Paketen” aktiviert ist.
https://community.upc.ch/t5/Connect-Box/Connect-Box-installiert-VPN-zur-Firma-funktioniert/td-p/123465
Deshalb sollte das Versenden von fragmentierten IPv4-Pakete möglichst vermieden werden:
- UDP nur für die Realisierung von VPN-Tunneln und zeitkritische Anwendungen wie Sprachtelefonie, Videokonferenz, Gaming, Zeitsynchronisation (NTP) einsetzen.
Sprachtelefonie und Zeitsynchronisation (NTP) nutzen generell kleine UDP-Datenpakete, sollten demnach nicht anfällig für fragmentierte IPv4-Pakete sein.
Bei Videokonferenzen und Gaming sollte mit Wireshark kontrolliert werden, ob die UDP-Datenpakete gross sind und deshalb die IPv4-Pakete fragmentiert werden müssen. Für den Wireshark-Einsatz siehe letzter Abschnitt von Beitrag Nr. 3 unter:
https://community.upc.ch/t5/Connect-Box/Gigaconnect-Aussetzer/m-p/152213#M3445
- VPN-Server und VPN-Client sollte die Fragmentierung der im VPN-Tunnel zu übertragenden Nutzdaten ermöglichen, so dass keine fragmentierten IP-Pakete wegen dem VPN-Tunnel versendet werden müssen. Zum Beispiel für einen mit IKEv2/IPSec realisierten VPN-Tunnel mit:
a) Automatische IKEv2-Fragmentierung gemäss RFC 7383
https://tools.ietf.org/html/rfc7383
b) Reduzierter MTU für den VPN-Tunnel => MTU-Reduktion der Nutzdaten in der VPN-Software.
Die MTU-Reduktion für den VPN-Tunnel ist erforderlich, da der MTU des VPN-Tunnels wegen dem Verschlüsselungsanteil deutlich kleiner als 1500 Byte ist. Siehe dazu Beitrag Nr. 59:
https://community.upc.ch/t5/Connect-Box/Giga-Connect-Box/m-p/153647#M3686
Der MTU des VPN-Tunnels sollte mit Ping-Messungen durch den VPN-Tunnel mit gesetztem "don’t fragment (DF) bit“ gemessen werden. Siehe dazu Beitrag Nr. 9.
https://community.upc.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151345#M3219
- DNS-Server von UPC Cablecom nutzen. Diese DNS-Server gestatten über EDNS eine maximale DNS-Nachrichten-Länge von 512 Bytes. Somit werden bei der Nutzung dieser DNS-Server keine fragmentierten IP-Pakete für die Übertragung der DNS-Nachrichten versendet.
https://de.wikipedia.org/wiki/Extended_DNS