VPN a roaming O2, MTU

jcltm

Zdravím,
setkal jste se někdo s problémem s připojením k VPN ze sítě O2 v roamingu? Do letošní dovolené jsem nepozoroval problém, nicméně teď jsem v situaci kdy do teď funkční WireGuard i OpenVPN běží na LTE "nějak divně = něco funguje, něco ne", což si spojuji s problémem s MTU. Na hotelových wifi to jede jak má, v ČR to fungovalo bez problému i na LTE. Máte s tím někdo podobnou zkušenost nebo tip na co se zaměřit? Když si porovnávám chování hotelové wifi vs LTE v terminálu, zdá se mi, že mobilní síť na rozdíl od wifi nevrací při pokusu o ping s příliš velkým packetem zprávu ICMP: Packet too big. Podělalo O2 něco v konfiguraci nebo je problém u mě? U WG mám MTU všude na auto, změna na 1000 na obou stranách nepomohla.
Díky

themrkocour

jcltm

This!
Měl jsem teď naprosto stejný problém (O2, Roming) - musel jsem v zahraničí vypnout IPv4 WG tunel, který mi jinak běží neustále. Po návratu zpět zase bez problému. Neměl jsem jen čas se tomu věnovat a zachránila mě hotelová Wifi

Edit: cca 3 týdny zpět - Rakousko/Slovinsko/Chorvatsko

zajdee

Wireguard jsem u O2 v roamingu nepoužíval, ale na potenciální MTU problémy už jsem pár stížností slyšel (bylo to teda v opačném směru, roamer u nás hlásil problémy, když byl v síti O2 CZ). Bohužel bez řešení... :/
Jinak Packet Too Big by byla IPv6 ICMP zpráva, ale O2 IPv6 v roamingu blokuje, takže by možná spíš měl dojít IPv4 paket ICMP Fragmentation Required?

Tohle se obecně špatně ladí, člověk by musel tcpdumpem/Wiresharkem odchytit provoz na obou stranách. Možná O2 strana neposílá Wireguard serveru "Fragmentation Needed". Ale pokud nepomohla změna MTU na obou stranách... (Mimochodem, jestli je v tom wireguardu routovaná i IPv6, tak 1000 bude pod minimálním IPv6 MTU (1280) a těžko říct, jak se to pak bude chovat.)

jcltm

zajdee Tohle nerad slyším... IPv6 v těchto VPN nepoužívám, je to v4 only jak co do tunelů tak co do provozu v nich. Diagnostikovat se to bude špatně, Wireshark na mobilu nespustím a notebook s sebou nemám. Asi si budu muset dodělat OpenVPN po TCP, to by snad mohlo pomoci... Každopádně je to tedy zdá se evidentně zase bordel v síti O2.

pgb

Ahoj, - nemám s O2 zkušenosti. Na VF to ukazuje pomocí showip.net v případě roamingu Prahu a tunely fungují z koncového zařízení (tj mobil s nižším mtu). Pokud máš tunel navázaný z nějakého jiného zařízení než jen z "koncového" mobilu, tak změna mtu to nevyřeší - musíš tam mít "tcp change mss". Dá se nasadit po cestě..... Typicky když mám propojení dvou sítí - topologie SUBNET=>mk=>wg tunel=>mk=>SUBNET tak v tomhle setapu koncová zařízení nemají jak zjistit že tam je změna mtu a může nastat problém.

jcltm

pgb VPN navazuji normálně přímo z Android mobilu, ne ze zařízení za hotspotem. Doteď jsem na tenhle problém nenarazil, ty VPN takto používám dlouhé roky. Ale je pravda, že loni v létě ta SIM byla ještě u TMO...
IP adresu mám v roamingu normálně pražskou O2, ale je pravda že IPv6 opravdu v roamingu nefunguje...

zajdee

Oni vsichni tri nasi operatori tuneluji provoz domu, a po ceste je spousta "partneru" a "roaming exchangu", pokazit se muze leccos. U TM a VF mi IPv6 v roamingu funguje (a ta je na MTU problemy citliva hodne), takze ty roamingove propoje maji asi... lepe nakonfigurovane?

jcltm

zajdee Tak u O2 je tam zřejmě někde problém... No nic, uvidím zda to bude zpět v ČR fungovat. Pokud ano, upřímně nevím jak to dál řešit.

jcltm

themrkocour Boží, takže opravdu O2 patlalové... Bohužel jsem k nim padl z rámcovky od TMO, kde nebyl nikdy s ničím problém. Evidentně je nejvyšší čas se na rámcovku vykašlat a sehnat něco od TMO nebo VF...
Nejde to nikde v zahraničí, ani Německo, ani dále na sever. Evidentně něco řádně po...li v konfiguraci a ta absence IPv6 v roamingu je toho důkazem. Kromě toho že to jsou šmejdi jsou to ještě i amatéři.

zajdee

Zkusil bych to vyreklamovat, i kdyz bez packet capture to bude tezky boj.

Je to takova smutna ukazka, ze pro vetsinu se Internet smrskl na HTTPS, a tam to nejak beha. Mimochodem QUIC musi byt v roamingu taky peklo...

jcltm

zajdee Reklamace bude u rámcovky asi dost složitá, ne-li nemožná...