Ffdon - wie viele L2TP-Tunnels sind auf einem Server möglich


#1

Hallo,

ffdon hat seinen Umzug der Nodes in unser neues Netz angestossen.

Wir haben jetzt auf einem CX10 von Hetzner ca. 50 L2TP-Verbindungen ±2 .
Nun zeigt sich, dass einzelne Nodes, die neu hinzukommen, einen Tunnel aufbauen, dhcp und icmp (ping) durchleiten, jedoch die Clients nicht mit Traffic versorgen. Das bedeutet dass Webseitenaufbau nur ab und an aus dem Cache heraus möglich ist.

Wir vermuteten zuerst Probleme mit dem Provider, oder DSL-Modem vor Ort, beobachteten das Phaenomen leider auch an anderen Zugängen. An dem getesteten Zugang lag scheinbar auch kein MTU-Problem vor.

Konntet Ihr schon ähnliches beobachten?
Gibt es Limits im eigenen Server anzupassen?
Kann es ein Limit durch den Hoster sein? Der Traffic ist noch nicht aufgebraucht.

Grüße ffdon-mgk


#2

Habt ihr mal geschaut ob euch da NAT Tabellen übergelaufen sind?


#3

Ähm nein,

noch nie gehört, aber verständlich.
Ich werfe doch gleich mal DrGoogle an.

iptables -t nat -L

ein

iptables -t nat -L | wc -l

ergibt gerade 118 Zeilen für postrouting + prerouting

Das ist nicht soweit weg von:

ifconfig | grep l2tp | wc -l

mit im Moment 49 Nodes mit VPN-Anbindung

Nach einem

iptables -t nat -F PREROUTING
iptables -t nat -F POSTROUTING

sowie einem Reboot lande ich wieder bei 118

Randinfo:
nach einem Reboot des GW02 trat diese Symptomatik an einem weiteren Node auf.


#4

Die FritzBoxen 7270 und 7170 lassen kein L2TP durch. Typisches Symptom ist dann, dass nur noch sehr kleine Pakete durchgehen, also z. B. Pings. Das könnte es eventuell auch sein.

Einige mittelalte Modelle erfordern es, dass man den Teredo-Filter in den erweiterten Optionen der FritzBox abschaltet (Erweiterte Optionen aktivieren -> Internet -> Filter -> Registerkarte Listen -> Ganz runter blättern).


#5

Danke für die Erklärung.

Nutz Ihr hierfür eure Legacy-Domäne großflächig mit einer weiteren Mesh-BSSID weiter, oder stirbt fastd bei euch?

Grüße, ffdon-mgk


#6

Wir wollen es sterben lassen, haben aber erst vor wenigen Wochen das Problem mit den FritzBoxen entdeckt. Wir haben noch nicht entschieden, wie wir damit umgehen.