info
Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Groups keyboard shortcuts have been updated
Dismiss
See shortcuts
MSS-Clamping ja/nein
6 views
Skip to first unread message
Marco Moock
Sep 19, 2022, 3:29:45 PM9/19/22
to
Macht ihr MSS-Clamping und wenn ja warum?
Eigentlich ist es Blödsinn, denn an der MSS bei TCP hat nur der Absender
was festzulegen und nicht Router mittendrin. Wird aber oft gemacht,
weil es noch immer Firewalls gibt, die pauschal ICMP blockieren.
Es scheint bei einigen Webservern der Fall zu sein, dass die
ICMP-packet-too-big-Pakete von einer FW verworfen werden.
Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
Habt ihr da ähnlich Erfahrungen?
--
Gruß
Marco
Eigentlich ist es Blödsinn, denn an der MSS bei TCP hat nur der Absender
was festzulegen und nicht Router mittendrin. Wird aber oft gemacht,
weil es noch immer Firewalls gibt, die pauschal ICMP blockieren.
Es scheint bei einigen Webservern der Fall zu sein, dass die
ICMP-packet-too-big-Pakete von einer FW verworfen werden.
Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
Habt ihr da ähnlich Erfahrungen?
--
Gruß
Marco
Bonita Montero
Sep 19, 2022, 4:09:40 PM9/19/22
to
Am 19.09.2022 um 21:29 schrieb Marco Moock:
> Es scheint bei einigen Webservern der Fall zu sein, dass die
> ICMP-packet-too-big-Pakete von einer FW verworfen werden.
Naja, so ne Kinderkacke sollte recht selten sein.
> Es scheint bei einigen Webservern der Fall zu sein, dass die
> ICMP-packet-too-big-Pakete von einer FW verworfen werden.
Peter J. Holzer
Sep 20, 2022, 11:53:10 AM9/20/22
to
On 2022-09-19 19:29, Marco Moock <mo...@posteo.de> wrote:
> Macht ihr MSS-Clamping und wenn ja warum?
Derzeit nicht.
> Macht ihr MSS-Clamping und wenn ja warum?
> Eigentlich ist es Blödsinn, denn an der MSS bei TCP hat nur der Absender
> was festzulegen und nicht Router mittendrin.
> Wird aber oft gemacht, weil es noch immer Firewalls gibt, die pauschal
> ICMP blockieren.
> Es scheint bei einigen Webservern der Fall zu sein, dass die
> ICMP-packet-too-big-Pakete von einer FW verworfen werden.
> Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
eher weniger gerechnet (und sie sind mir bei meinem HE-Tunnel bisher
auch nicht aufgefallen), aber in dem Maße, wie sich IPv6 verbreitet,
steigt vermutlich auch die Zahl der Leute, die IPv6-Netzwerke
administieren, ohne zu wissen, was sie tun.
> Habt ihr da ähnlich Erfahrungen?
Tunnel - da war MSS-Clamping sehr hilfreich.
hp
Bonita Montero
Sep 20, 2022, 1:49:57 PM9/20/22
to
Am 20.09.2022 um 17:53 schrieb Peter J. Holzer:
> Wenn's aber der Router besser weiß ...
Das bringt dann im Endeffekt fast immer nur einen Performance-Vorteil.
> Wenn's aber der Router besser weiß ...
Anderweitig müsste ja die PMTU-Discovery greifen, die ja eine gewisse
Latenz hat. Das Dumme daran ist ja, dass die Pfade in dem Sinne nicht
aggregiert sind, sondern jeder angesprochene Host einzeln seinen PMTU
Cache Eintrag hat.
>> Wird aber oft gemacht, weil es noch immer Firewalls gibt, die pauschal
>> ICMP blockieren.
> Ja, das scheint nicht umzubringen zu sein.
Auch wenn die Leute wie ich nicht alle ICMP-Typen ausm Kopf kennen,
die wissen sicher fast alle, dass das ne wichtige Sache ist.
> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
> Tunnel - da war MSS-Clamping sehr hilfreich.
dann geht das auch ohne.
Marco Moock
Sep 20, 2022, 2:00:45 PM9/20/22
to
Am Dienstag, 20. September 2022, um 17:53:09 Uhr schrieb Peter J.
Holzer:
> On 2022-09-19 19:29, Marco Moock <mo...@posteo.de> wrote:
> > Macht ihr MSS-Clamping und wenn ja warum?
>
> Derzeit nicht.
>
>
> > Eigentlich ist es Blödsinn, denn an der MSS bei TCP hat nur der
> > Absender was festzulegen und nicht Router mittendrin.
>
> Wenn's aber der Router besser weiß ...
>
> > Wird aber oft gemacht, weil es noch immer Firewalls gibt, die
> > pauschal ICMP blockieren.
>
> Ja, das scheint nicht umzubringen zu sein.
>
> > Es scheint bei einigen Webservern der Fall zu sein, dass die
> > ICMP-packet-too-big-Pakete von einer FW verworfen werden.
> > Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
>
> Protokoll 41 ist IPv6 over IPv4, oder? Da hätte ich mit diesen
> Problemen eher weniger gerechnet (und sie sind mir bei meinem
> HE-Tunnel bisher auch nicht aufgefallen), aber in dem Maße, wie sich
> IPv6 verbreitet, steigt vermutlich auch die Zahl der Leute, die
> IPv6-Netzwerke administieren, ohne zu wissen, was sie tun.
Ja, Hurricane Electric, denn der Provider hier bietet auch in 2022 kein
IPv6 an, nichtmal ein Netz ist denen zugeteilt.
> > Habt ihr da ähnlich Erfahrungen?
>
> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
> Tunnel - da war MSS-Clamping sehr hilfreich.
War auch da PMTU-Discovery nicht möglich?
Holzer:
> On 2022-09-19 19:29, Marco Moock <mo...@posteo.de> wrote:
> > Macht ihr MSS-Clamping und wenn ja warum?
>
> Derzeit nicht.
>
>
> > Eigentlich ist es Blödsinn, denn an der MSS bei TCP hat nur der
> > Absender was festzulegen und nicht Router mittendrin.
>
> Wenn's aber der Router besser weiß ...
>
> > Wird aber oft gemacht, weil es noch immer Firewalls gibt, die
> > pauschal ICMP blockieren.
>
> Ja, das scheint nicht umzubringen zu sein.
>
> > Es scheint bei einigen Webservern der Fall zu sein, dass die
> > ICMP-packet-too-big-Pakete von einer FW verworfen werden.
> > Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
>
> Protokoll 41 ist IPv6 over IPv4, oder? Da hätte ich mit diesen
> Problemen eher weniger gerechnet (und sie sind mir bei meinem
> HE-Tunnel bisher auch nicht aufgefallen), aber in dem Maße, wie sich
> IPv6 verbreitet, steigt vermutlich auch die Zahl der Leute, die
> IPv6-Netzwerke administieren, ohne zu wissen, was sie tun.
IPv6 an, nichtmal ein Netz ist denen zugeteilt.
> > Habt ihr da ähnlich Erfahrungen?
>
> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
> Tunnel - da war MSS-Clamping sehr hilfreich.
Peter J. Holzer
Sep 20, 2022, 4:25:34 PM9/20/22
to
On 2022-09-20 17:50, Bonita Montero <Bonita....@gmail.com> wrote:
> Am 20.09.2022 um 17:53 schrieb Peter J. Holzer:
>> Wenn's aber der Router besser weiß ...
>
> Das bringt dann im Endeffekt fast immer nur einen Performance-Vorteil.
> Anderweitig müsste ja die PMTU-Discovery greifen,
PMTU-Discovery braucht ICMP (Type 3, Code 4). Wenn was blockiert wird,
> Am 20.09.2022 um 17:53 schrieb Peter J. Holzer:
>> Wenn's aber der Router besser weiß ...
>
> Das bringt dann im Endeffekt fast immer nur einen Performance-Vorteil.
> Anderweitig müsste ja die PMTU-Discovery greifen,
funktioniert sie nicht. Dann kommen Pakete einfach nicht an und weder
Sender noch Empfänger wissen warum.
>>> Wird aber oft gemacht, weil es noch immer Firewalls gibt, die pauschal
>>> ICMP blockieren.
>
>> Ja, das scheint nicht umzubringen zu sein.
>
> Ich denke das passiert sehr selten bzw. so blöd sind sicher nur wenige.
> Auch wenn die Leute wie ich nicht alle ICMP-Typen ausm Kopf kennen,
> die wissen sicher fast alle, dass das ne wichtige Sache ist.
>> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
>> Tunnel - da war MSS-Clamping sehr hilfreich.
>
> Wie gesagt: wenn alle Router mitspielen, was der Normalfall ist,
> dann geht das auch ohne.
hp
Peter J. Holzer
Sep 20, 2022, 4:29:27 PM9/20/22
to
On 2022-09-20 18:00, Marco Moock <mo...@posteo.de> wrote:
> Am Dienstag, 20. September 2022, um 17:53:09 Uhr schrieb Peter J.
> Holzer:
>> On 2022-09-19 19:29, Marco Moock <mo...@posteo.de> wrote:
>> > Es scheint bei einigen Webservern der Fall zu sein, dass die
>> > ICMP-packet-too-big-Pakete von einer FW verworfen werden.
>> > Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
>>
>> Protokoll 41 ist IPv6 over IPv4, oder? Da hätte ich mit diesen
>> Problemen eher weniger gerechnet (und sie sind mir bei meinem
>> HE-Tunnel bisher auch nicht aufgefallen), aber in dem Maße, wie sich
>> IPv6 verbreitet, steigt vermutlich auch die Zahl der Leute, die
>> IPv6-Netzwerke administieren, ohne zu wissen, was sie tun.
>
> Ja, Hurricane Electric, denn der Provider hier bietet auch in 2022 kein
> IPv6 an, nichtmal ein Netz ist denen zugeteilt.
Hast Du ein paar Beispiele?
> Am Dienstag, 20. September 2022, um 17:53:09 Uhr schrieb Peter J.
> Holzer:
>> On 2022-09-19 19:29, Marco Moock <mo...@posteo.de> wrote:
>> > Es scheint bei einigen Webservern der Fall zu sein, dass die
>> > ICMP-packet-too-big-Pakete von einer FW verworfen werden.
>> > Das fällt mir mit meinem Protokoll41-Tunnel besonders auf.
>>
>> Protokoll 41 ist IPv6 over IPv4, oder? Da hätte ich mit diesen
>> Problemen eher weniger gerechnet (und sie sind mir bei meinem
>> HE-Tunnel bisher auch nicht aufgefallen), aber in dem Maße, wie sich
>> IPv6 verbreitet, steigt vermutlich auch die Zahl der Leute, die
>> IPv6-Netzwerke administieren, ohne zu wissen, was sie tun.
>
> Ja, Hurricane Electric, denn der Provider hier bietet auch in 2022 kein
> IPv6 an, nichtmal ein Netz ist denen zugeteilt.
>> > Habt ihr da ähnlich Erfahrungen?
>>
>> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
>> Tunnel - da war MSS-Clamping sehr hilfreich.
>
> War auch da PMTU-Discovery nicht möglich?
>
wichtige darunter.
Bonita Montero
Sep 20, 2022, 5:52:05 PM9/20/22
to
Am 20.09.2022 um 22:25 schrieb Peter J. Holzer:
> On 2022-09-20 17:50, Bonita Montero <Bonita....@gmail.com> wrote:
>> Am 20.09.2022 um 17:53 schrieb Peter J. Holzer:
>>> Wenn's aber der Router besser weiß ...
>>
>> Das bringt dann im Endeffekt fast immer nur einen Performance-Vorteil.
>> Anderweitig müsste ja die PMTU-Discovery greifen,
>
> PMTU-Discovery braucht ICMP (Type 3, Code 4). Wenn was blockiert wird,
> funktioniert sie nicht. Dann kommen Pakete einfach nicht an und weder
> Sender noch Empfänger wissen warum.
Das passiert aber selten.
> On 2022-09-20 17:50, Bonita Montero <Bonita....@gmail.com> wrote:
>> Am 20.09.2022 um 17:53 schrieb Peter J. Holzer:
>>> Wenn's aber der Router besser weiß ...
>>
>> Das bringt dann im Endeffekt fast immer nur einen Performance-Vorteil.
>> Anderweitig müsste ja die PMTU-Discovery greifen,
>
> PMTU-Discovery braucht ICMP (Type 3, Code 4). Wenn was blockiert wird,
> funktioniert sie nicht. Dann kommen Pakete einfach nicht an und weder
> Sender noch Empfänger wissen warum.
>
>
>>>> Wird aber oft gemacht, weil es noch immer Firewalls gibt, die pauschal
>>>> ICMP blockieren.
>>
>>> Ja, das scheint nicht umzubringen zu sein.
>>
>> Ich denke das passiert sehr selten bzw. so blöd sind sicher nur wenige.
>> Auch wenn die Leute wie ich nicht alle ICMP-Typen ausm Kopf kennen,
>> die wissen sicher fast alle, dass das ne wichtige Sache ist.
>
> Das fliegende Spaghetti-Monster erhalte Dir Deinen Optimismus.
>>> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over IPv4
>>> Tunnel - da war MSS-Clamping sehr hilfreich.
>>
>> Wie gesagt: wenn alle Router mitspielen, was der Normalfall ist,
>> dann geht das auch ohne.
>
> Es geht aber eben um den Fall, in dem nicht alle Router mitspielen.
extrem selten passieren und bei IPv6 gibt'S ja keine Fragmentierung
auf dem Transport-Weg, dass das tödlich wäre.
Marco Moock
Sep 21, 2022, 2:55:19 AM9/21/22
to
Am Dienstag, 20. September 2022, um 22:29:26 Uhr schrieb Peter J.
Holzer:
> On 2022-09-20 18:00, Marco Moock <mo...@posteo.de> wrote:
> > Ja, Hurricane Electric, denn der Provider hier bietet auch in 2022
> > kein IPv6 an, nichtmal ein Netz ist denen zugeteilt.
>
> Hast Du ein paar Beispiele?
https://bgp.he.net/AS209400
> >> > Habt ihr da ähnlich Erfahrungen?
> >>
> >> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over
> >> IPv4 Tunnel - da war MSS-Clamping sehr hilfreich.
> >
> > War auch da PMTU-Discovery nicht möglich?
> >
>
> Bei einigen Webservern, ja. Nicht sehr viele, aber es waren ein paar
> wichtige darunter.
www.plusline.net war problematisch, Unterdomains von Yahoo auch.
Der Vorführeffekt zeigt aber gerade mal wieder seine Wirkung, ggf.
haben die das bemerkt und behoben (was ja prima wäre).
Holzer:
> On 2022-09-20 18:00, Marco Moock <mo...@posteo.de> wrote:
> > Ja, Hurricane Electric, denn der Provider hier bietet auch in 2022
> > kein IPv6 an, nichtmal ein Netz ist denen zugeteilt.
>
> Hast Du ein paar Beispiele?
> >> > Habt ihr da ähnlich Erfahrungen?
> >>
> >> Wir hatten vor ca. 8 Jahren mal ein paar Monate einen IPv4 over
> >> IPv4 Tunnel - da war MSS-Clamping sehr hilfreich.
> >
> > War auch da PMTU-Discovery nicht möglich?
> >
>
> Bei einigen Webservern, ja. Nicht sehr viele, aber es waren ein paar
> wichtige darunter.
Der Vorführeffekt zeigt aber gerade mal wieder seine Wirkung, ggf.
haben die das bemerkt und behoben (was ja prima wäre).
Marc Haber
Sep 21, 2022, 6:41:46 AM9/21/22
to
Nicht mehr bewusst. Könnte aber sein dass irgend ein Gerät im
Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
vielen Jahren weg.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
vielen Jahren weg.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Marco Moock
Sep 21, 2022, 7:09:31 AM9/21/22
to
Am Mittwoch, 21. September 2022, um 12:41:45 Uhr schrieb Marc Haber:
> Könnte aber sein dass irgend ein Gerät im
> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
> vielen Jahren weg.
Meist macht das der eigene (Plaste)-Router.
> Könnte aber sein dass irgend ein Gerät im
> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
> vielen Jahren weg.
Gerade mit IPv6 ist mir aber schon paar mal aufgefallen, dass es eben
noch immer schwarze PMTU-Löcher gibt/gab.
Bonita Montero
Sep 21, 2022, 7:32:07 AM9/21/22
to
Am 21.09.2022 um 13:09 schrieb Marco Moock:
> Am Mittwoch, 21. September 2022, um 12:41:45 Uhr schrieb Marc Haber:
>
>> Könnte aber sein dass irgend ein Gerät im
>> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
>> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
>> vielen Jahren weg.
>
> Meist macht das der eigene (Plaste)-Router.
Eigentlich nicht mehr, denn PPPoE ist History.
> Am Mittwoch, 21. September 2022, um 12:41:45 Uhr schrieb Marc Haber:
>
>> Könnte aber sein dass irgend ein Gerät im
>> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
>> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
>> vielen Jahren weg.
>
> Meist macht das der eigene (Plaste)-Router.
Heute wird's das wenn überhaupt an nem Tunnel
-Übergang in Sende-Richtung geben.
> Gerade mit IPv6 ist mir aber schon paar mal aufgefallen, dass es eben
> noch immer schwarze PMTU-Löcher gibt/gab.
>
die dümmer als Du sind.
Marc Haber
Sep 21, 2022, 8:49:57 AM9/21/22
to
Unsinn. Und Deine Beleidigungen kannst Du Dir irgendwohin stecken.
Marc Haber
Sep 21, 2022, 8:50:35 AM9/21/22
to
Plasterouter vorbeikommen.
Marco Moock
Sep 21, 2022, 9:08:21 AM9/21/22
to
Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
> Plasterouter vorbeikommen.
War jetzt eher auf normale Heimnutzer bezogen.
> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
> Plasterouter vorbeikommen.
AVM z.B. macht es:
https://en.avm.de/service/knowledge-base/dok/FRITZ-Box-5490/432_Adjusting-the-MTU-size-in-the-FRITZ-Box/
Arno Welzel
Sep 21, 2022, 11:48:50 AM9/21/22
to
Bonita Montero, 2022-09-21 13:32:
> Am 21.09.2022 um 13:09 schrieb Marco Moock:
>> Am Mittwoch, 21. September 2022, um 12:41:45 Uhr schrieb Marc Haber:
>>
>>> Könnte aber sein dass irgend ein Gerät im
>>> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
>>> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
>>> vielen Jahren weg.
>>
>> Meist macht das der eigene (Plaste)-Router.
>
> Eigentlich nicht mehr, denn PPPoE ist History.
Solange es noch (V)DSL gibt, nicht:
<https://telekomhilft.telekom.de/t5/Telefonie-Internet/PPPOE-Einwahl-ueber-einen-Router-herstellen/ta-p/3654990>
--
Arno Welzel
https://arnowelzel.de
> Am 21.09.2022 um 13:09 schrieb Marco Moock:
>> Am Mittwoch, 21. September 2022, um 12:41:45 Uhr schrieb Marc Haber:
>>
>>> Könnte aber sein dass irgend ein Gerät im
>>> Datenpfad sich da einmischt, das nicht unter meiner Kontrolle steht.
>>> Jedenfalls sind die Probleme mit ICMP-Schwarzloch-Firewalls seit
>>> vielen Jahren weg.
>>
>> Meist macht das der eigene (Plaste)-Router.
>
> Eigentlich nicht mehr, denn PPPoE ist History.
<https://telekomhilft.telekom.de/t5/Telefonie-Internet/PPPOE-Einwahl-ueber-einen-Router-herstellen/ta-p/3654990>
--
Arno Welzel
https://arnowelzel.de
Marc Haber
Sep 21, 2022, 1:48:20 PM9/21/22
to
Marco Moock <mo...@posteo.de> wrote:
>Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
>> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
>> Plasterouter vorbeikommen.
>
>War jetzt eher auf normale Heimnutzer bezogen.
Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
>Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
>> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
>> Plasterouter vorbeikommen.
>
>War jetzt eher auf normale Heimnutzer bezogen.
Marco Moock
Sep 21, 2022, 2:09:05 PM9/21/22
to
Am Mittwoch, 21. September 2022, um 19:48:18 Uhr schrieb Marc Haber:
> Marco Moock <mo...@posteo.de> wrote:
> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
> >
> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
> >> Plasterouter vorbeikommen.
> >
> >War jetzt eher auf normale Heimnutzer bezogen.
>
> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
> Marco Moock <mo...@posteo.de> wrote:
> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
> >
> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
> >> Plasterouter vorbeikommen.
> >
> >War jetzt eher auf normale Heimnutzer bezogen.
>
> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
Marc Haber
Sep 22, 2022, 3:45:39 AM9/22/22
to
Marco Moock <mo...@posteo.de> wrote:
>Am Mittwoch, 21. September 2022, um 19:48:18 Uhr schrieb Marc Haber:
>
>> Marco Moock <mo...@posteo.de> wrote:
>> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
>> >
>> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
>> >> Plasterouter vorbeikommen.
>> >
>> >War jetzt eher auf normale Heimnutzer bezogen.
>>
>> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
>
>Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
Mein IPv6 kommt da höchstens verschlüsselt in UDP-Paketen vorbei,
>Am Mittwoch, 21. September 2022, um 19:48:18 Uhr schrieb Marc Haber:
>
>> Marco Moock <mo...@posteo.de> wrote:
>> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc Haber:
>> >
>> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an dem
>> >> Plasterouter vorbeikommen.
>> >
>> >War jetzt eher auf normale Heimnutzer bezogen.
>>
>> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
>
>Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
selbst wenn sie MSS Clamping machen würde, sie könnte es für TCP über
IPv6 nicht.
Marco Moock
Sep 22, 2022, 4:10:10 AM9/22/22
to
Am Donnerstag, 22. September 2022, um 09:45:38 Uhr schrieb Marc Haber:
> Marco Moock <mo...@posteo.de> wrote:
> >Am Mittwoch, 21. September 2022, um 19:48:18 Uhr schrieb Marc Haber:
> >
> >> Marco Moock <mo...@posteo.de> wrote:
> >> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc
> >> >Haber:
> >> >
> >> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an
> >> >> dem Plasterouter vorbeikommen.
> >> >
> >> >War jetzt eher auf normale Heimnutzer bezogen.
> >>
> >> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
> >
> >Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>
> Mein IPv6 kommt da höchstens verschlüsselt in UDP-Paketen vorbei,
> selbst wenn sie MSS Clamping machen würde, sie könnte es für TCP über
> IPv6 nicht.
Wieso denn verschlüsselt?
> Marco Moock <mo...@posteo.de> wrote:
> >Am Mittwoch, 21. September 2022, um 19:48:18 Uhr schrieb Marc Haber:
> >
> >> Marco Moock <mo...@posteo.de> wrote:
> >> >Am Mittwoch, 21. September 2022, um 14:50:34 Uhr schrieb Marc
> >> >Haber:
> >> >
> >> >> Mindestens mein IPv6 geht hier raus ohne dass TCP-Segmente an
> >> >> dem Plasterouter vorbeikommen.
> >> >
> >> >War jetzt eher auf normale Heimnutzer bezogen.
> >>
> >> Mein DSL-Anschluss terminiert auf einer Fritzbox 7412.
> >
> >Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>
> Mein IPv6 kommt da höchstens verschlüsselt in UDP-Paketen vorbei,
> selbst wenn sie MSS Clamping machen würde, sie könnte es für TCP über
> IPv6 nicht.
Baust du einen Tunnel auf?
Marc Haber
Sep 22, 2022, 4:42:20 AM9/22/22
to
Bonita Montero
Sep 22, 2022, 6:04:10 AM9/22/22
to
Am 21.09.2022 um 20:09 schrieb Marco Moock:
> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
Eigentlich ist das schwer möglich, denn das ist ja transparent bzw.
> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
man kann ja nicht unterscheiden ob der eigene Router der Gegenseite
ein kleineres Limit für die Segment-Größe verklickert oder ob die
Gegenseite von sich aus kleinere Segmente verschickt.
Marc Haber
Sep 22, 2022, 11:55:16 AM9/22/22
to
trivial.
Bonita Montero
Sep 22, 2022, 12:16:13 PM9/22/22
to
Am 22.09.2022 um 17:55 schrieb Marc Haber:
> Bonita Montero <Bonita....@gmail.com> wrote:
>> Am 21.09.2022 um 20:09 schrieb Marco Moock:
>>
>>> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>>
>> Eigentlich ist das schwer möglich, denn das ist ja transparent bzw.
>> man kann ja nicht unterscheiden ob der eigene Router der Gegenseite
>> ein kleineres Limit für die Segment-Größe verklickert oder ob die
>> Gegenseite von sich aus kleinere Segmente verschickt.
>
> Auf beiden Seiten tcpdump machen und die Pakete vergleichen ist
> trivial.
>
Wenn ich nicht beide Seiten kontrolliere und die Gegenseite irgend-
> Bonita Montero <Bonita....@gmail.com> wrote:
>> Am 21.09.2022 um 20:09 schrieb Marco Moock:
>>
>>> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>>
>> Eigentlich ist das schwer möglich, denn das ist ja transparent bzw.
>> man kann ja nicht unterscheiden ob der eigene Router der Gegenseite
>> ein kleineres Limit für die Segment-Größe verklickert oder ob die
>> Gegenseite von sich aus kleinere Segmente verschickt.
>
> Auf beiden Seiten tcpdump machen und die Pakete vergleichen ist
> trivial.
>
ein Rechner im Netz ist, dann weiß ich nicht ob ich aus eigenen
Zügen kleinere Segemente zurückkriege, oder ob irgend ein Router
bzw. Gateway daraufhingewirkt hat indem die Gegenseite via MSS
-Clamping dazu gezwungen wurde.
Wobei ich mich frag ob das MSS-Clamping für die Gegenseite denn
verbindlich ist oder ob ich selbst, wenn die Gegenseite sich denn
nicht dran hält, beliebige Segment-Größen annehmen muss. Im Prinzip
solle das ja drin sein, denn meine lokale Begrenzung ist ja nicht
das Segment, sondern das Fenster.
Marc Haber
Sep 23, 2022, 3:23:10 AM9/23/22
to
Bonita Montero <Bonita....@gmail.com> wrote:
>Am 22.09.2022 um 17:55 schrieb Marc Haber:
>> Bonita Montero <Bonita....@gmail.com> wrote:
>>> Am 21.09.2022 um 20:09 schrieb Marco Moock:
>>>
>>>> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>>>
>>> Eigentlich ist das schwer möglich, denn das ist ja transparent bzw.
>>> man kann ja nicht unterscheiden ob der eigene Router der Gegenseite
>>> ein kleineres Limit für die Segment-Größe verklickert oder ob die
>>> Gegenseite von sich aus kleinere Segmente verschickt.
>>
>> Auf beiden Seiten tcpdump machen und die Pakete vergleichen ist
>> trivial.
>>
>
>Wenn ich nicht beide Seiten kontrolliere und die Gegenseite irgend-
>ein Rechner im Netz ist, dann weiß ich nicht ob ich aus eigenen
>Zügen kleinere Segemente zurückkriege, oder ob irgend ein Router
>bzw. Gateway daraufhingewirkt hat indem die Gegenseite via MSS
>-Clamping dazu gezwungen wurde.
Wenn du gucken möchtest ob DEIN Router MSS-Clamping macht, reicht ein
>Am 22.09.2022 um 17:55 schrieb Marc Haber:
>> Bonita Montero <Bonita....@gmail.com> wrote:
>>> Am 21.09.2022 um 20:09 schrieb Marco Moock:
>>>
>>>> Dann kannst du ja mal prüfen, ob die MSS-Clamping macht.
>>>
>>> Eigentlich ist das schwer möglich, denn das ist ja transparent bzw.
>>> man kann ja nicht unterscheiden ob der eigene Router der Gegenseite
>>> ein kleineres Limit für die Segment-Größe verklickert oder ob die
>>> Gegenseite von sich aus kleinere Segmente verschickt.
>>
>> Auf beiden Seiten tcpdump machen und die Pakete vergleichen ist
>> trivial.
>>
>
>Wenn ich nicht beide Seiten kontrolliere und die Gegenseite irgend-
>ein Rechner im Netz ist, dann weiß ich nicht ob ich aus eigenen
>Zügen kleinere Segemente zurückkriege, oder ob irgend ein Router
>bzw. Gateway daraufhingewirkt hat indem die Gegenseite via MSS
>-Clamping dazu gezwungen wurde.
Trace eines beliebigen TCP-Verbindungsaufbaus auf beiden Seiten.
Notfalls klickt man sich halt eine Hetzner-VM für zehn Cent und wirft
sie danach wieder weg.
>Wobei ich mich frag ob das MSS-Clamping für die Gegenseite denn
>verbindlich ist
der MSS-Option gesetzten Wertes ein SHOULD oder ein MUST ist. Die
Gegenseite kann nichtmal unterscheiden, ob der übermittelte Wert jetzt
vom Gegner oder von einem Router auf dem Weg gesetzt wurde.
Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
wenn im Verbindungsaufbau keine MSS-Option drin war? So weit wird ein
Router wohl nicht ins Paket eingreifen wollen.
Grüße
Marc
Marco Moock
Sep 23, 2022, 4:21:53 AM9/23/22
to
Am Freitag, 23. September 2022, um 09:23:06 Uhr schrieb Marc Haber:
> Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
> wenn im Verbindungsaufbau keine MSS-Option drin war? So weit wird ein
> Router wohl nicht ins Paket eingreifen wollen.
Wie kann man sowas erzeugen?
> Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
> wenn im Verbindungsaufbau keine MSS-Option drin war? So weit wird ein
> Router wohl nicht ins Paket eingreifen wollen.
Dann würde ich das mal testen.
Bonita Montero
Sep 23, 2022, 5:58:29 AM9/23/22
to
Am 23.09.2022 um 09:23 schrieb Marc Haber:
> Du darfst gerne selbst im TCP-RFC nachlesen ob das Einhalten des
> in der MSS-Option gesetzten Wertes ein SHOULD oder ein MUST ist.
Das war ja nicht mein Ding, sondern ob das denn überhaupt ein Problem
> Du darfst gerne selbst im TCP-RFC nachlesen ob das Einhalten des
> in der MSS-Option gesetzten Wertes ein SHOULD oder ein MUST ist.
verusacht wenn sich die Gegenseite nicht dran hält und größere Segmente
verschickt.
Ich meine die Sache funktioniert doch auf Betriebssystem-Seite so, dass
immer entsprechend genug Speicher da ist damit der NIC Pakete beliebiger
Größe per DMA schreiben kann. Man kann ja nicht sagen: für Verbindung X
halte ich jetzt nur soundsoviel Speicher vor weil man ja nicht weiß ob
das nächste Paket eben für Verbindung X ist.
Das so empfangene Paket wird dann an IP und von da an TCP weitergereicht
und steht weiterhin an der selben Stelle im RAM. Von da aus wird es in
einen Empfangspuffer oder direkt in den lesenden Prozess kopiert. Auf
jeden Fall gibt es keinen logischen Grund, weswegen irgendwo in dieser
Verarbeitungs-Kette ein fester Buffer stehen sollte der solch übergroße
Pakete ausschließt. Von daher solte so ein "Fehler" an der Stelle Folgen
-los beiben.
> Die Gegenseite kann nichtmal unterscheiden, ob der übermittelte Wert
> jetzt vom Gegner oder von einem Router auf dem Weg gesetzt wurde.
> Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
> wenn im Verbindungsaufbau keine MSS-Option drin war? So weit wird ein
> Router wohl nicht ins Paket eingreifen wollen.
niedrigere MSS zu erzwingen hat und tut das ggf.
Marc Haber
Sep 24, 2022, 5:06:02 AM9/24/22
to
Bonita Montero <Bonita....@gmail.com> wrote:
>Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
>niedrigere MSS zu erzwingen hat und tut das ggf.
Du scheinst nicht zu wissen wie MSS Clamping funktioniert. Damit ist
>Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
>niedrigere MSS zu erzwingen hat und tut das ggf.
diese Diskussion mit Dir für mich zuende.
Bonita Montero
Sep 24, 2022, 5:24:39 AM9/24/22
to
Am 24.09.2022 um 11:06 schrieb Marc Haber:
> Bonita Montero <Bonita....@gmail.com> wrote:
>> Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
>> niedrigere MSS zu erzwingen hat und tut das ggf.
>
> Du scheinst nicht zu wissen wie MSS Clamping funktioniert.
> Damit ist diese Diskussion mit Dir für mich zuende.
Wenn der clampende Router eine MSS sieht die die eigene Seite erzwingen
> Bonita Montero <Bonita....@gmail.com> wrote:
>> Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
>> niedrigere MSS zu erzwingen hat und tut das ggf.
>
> Du scheinst nicht zu wissen wie MSS Clamping funktioniert.
> Damit ist diese Diskussion mit Dir für mich zuende.
will dann schaut er nach ob er eine noch kleinere erzwingen will. Wenn
Ja, dann verändert er diese Information, wenn Nein, dann lässt der die
ungefiltert durch ? Was soll bitte daran falsch sein, Du Trottel ?
Marco Moock
Sep 24, 2022, 5:26:26 AM9/24/22
to
Am 24.09.2022 um 11:06:00 Uhr schrieb Marc Haber:
> Bonita Montero <Bonita....@gmail.com> wrote:
> >Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
> >niedrigere MSS zu erzwingen hat und tut das ggf.
>
> Du scheinst nicht zu wissen wie MSS Clamping funktioniert. Damit ist
> diese Diskussion mit Dir für mich zuende.
Weißt du, wie die Router das genau implementieren und ob die die
> Bonita Montero <Bonita....@gmail.com> wrote:
> >Das ist ja wohl trivial: der "Clamper" schaut einfach, ob er eine
> >niedrigere MSS zu erzwingen hat und tut das ggf.
>
> Du scheinst nicht zu wissen wie MSS Clamping funktioniert. Damit ist
> diese Diskussion mit Dir für mich zuende.
Prüfung machen, ob ihre gewollte MSS kleiner ist?
Bonita Montero
Sep 24, 2022, 5:28:10 AM9/24/22
to
Peter J. Holzer
Sep 24, 2022, 8:29:24 AM9/24/22
to
On 2022-09-23 07:23, Marc Haber <mh+usene...@zugschl.us> wrote:
> Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
> wenn im Verbindungsaufbau keine MSS-Option drin war?
Auf die Schnelle habe ich nicht herausgefunden, wie ich unter Linux
> Frage an kompetente Diskussionspartner: Wie funktioniert MSS-Clamping
> wenn im Verbindungsaufbau keine MSS-Option drin war?
Syn-Pakete ohne diese Option erzeuge. Die scheint immer gesetzt zu sein.
Daher kann ich das nicht testen.
> So weit wird ein Router wohl nicht ins Paket eingreifen wollen.
ein 2 Bytes überschreibt oder 4 Bytes einfügt, macht keinen großen
Unterschied.
hp
Marco Moock
Sep 24, 2022, 9:34:41 AM9/24/22
to
Am 24.09.2022 um 14:29:21 Uhr schrieb Peter J. Holzer:
> Die scheint immer gesetzt zu sein.
> Daher kann ich das nicht testen.
In irgendeinem RFC (ich finde es gerade nicht) ist m.W. auch
> Die scheint immer gesetzt zu sein.
> Daher kann ich das nicht testen.
festgelegt, dass der Absender einer TCP-Verbindung MSS anhand der MTU
setzen muss bzw. niemals größer sein darf, als die lokale MTU es
zulässt.
Bonita Montero
Sep 24, 2022, 10:04:00 AM9/24/22
to
Marco Moock
Sep 26, 2022, 3:08:32 PM9/26/22
to
Am 20.09.2022 um 22:29:26 Uhr schrieb Peter J. Holzer:
> Bei einigen Webservern, ja. Nicht sehr viele, aber es waren ein paar
> wichtige darunter.
Ich habe wohl ein paar gefunden:
www.isc.org
www.cyrusimap.org
Teste mal bitte, ob da bei euch MTU mit IPv6 funktioniert (natürlich
ohne MSS-Clamping).
> Bei einigen Webservern, ja. Nicht sehr viele, aber es waren ein paar
> wichtige darunter.
Ich habe wohl ein paar gefunden:
www.isc.org
www.cyrusimap.org
Teste mal bitte, ob da bei euch MTU mit IPv6 funktioniert (natürlich
ohne MSS-Clamping).
Peter J. Holzer
Sep 26, 2022, 7:15:02 PM9/26/22
to
On 2022-09-26 19:08, Marco Moock <mo...@posteo.de> wrote:
> Ich habe wohl ein paar gefunden:
> www.isc.org
> www.cyrusimap.org
>
> Teste mal bitte, ob da bei euch MTU mit IPv6 funktioniert (natürlich
> ohne MSS-Clamping).
Funktionieren bei mir. Und soweit ich sehe, habe ich nichts spezielles
> Ich habe wohl ein paar gefunden:
> www.isc.org
> www.cyrusimap.org
>
> Teste mal bitte, ob da bei euch MTU mit IPv6 funktioniert (natürlich
> ohne MSS-Clamping).
konfiguriert:
auto he-ipv6
iface he-ipv6 inet6 v4tunnel
address 2001:470:6e:xxxx::2/64
endpoint 216.66.86.122
local yyy.yyy.yyy.yyy
ttl 255
gateway 2001:470:6e:xxxx::1
pre-up ip6tables-restore < /etc/network/ip6tables
(/etc/network/ip6tables enthät nur ein paar Standard-Regeln: Alles von
drinnen darf raus, von draußen darf nur RELATED,ESTABLISHED rein.)
Marco Moock
Sep 27, 2022, 1:29:07 AM9/27/22
to
Am 27.09.2022 um 01:15:01 Uhr schrieb Peter J. Holzer:
> Funktionieren bei mir. Und soweit ich sehe, habe ich nichts spezielles
> konfiguriert:
Bei mir nicht, es gibt einen Fallback auf IPv4.
> Funktionieren bei mir. Und soweit ich sehe, habe ich nichts spezielles
> konfiguriert:
Wird bei dir IPv6 auch für die Verbindung genutzt?
Bonita Montero
Sep 27, 2022, 8:09:27 AM9/27/22
to
Am 24.09.2022 um 14:29 schrieb Peter J. Holzer:
> Auf die Schnelle habe ich nicht herausgefunden, wie ich unter Linux
> Syn-Pakete ohne diese Option erzeuge. Die scheint immer gesetzt zu sein.
> Daher kann ich das nicht testen.
Ist ja auch das Sinnvollste, diese Option auf Verdacht schon mal
> Auf die Schnelle habe ich nicht herausgefunden, wie ich unter Linux
> Syn-Pakete ohne diese Option erzeuge. Die scheint immer gesetzt zu sein.
> Daher kann ich das nicht testen.
mitzuschicken um zu verhindern, dass ggf. die PMTU-Discovery greift.
Die hat ja auch eine kleine Latenz und verlangsamt das erstmalige
Schicken von Daten, also im Endeffekt den Verbindungaufbau.
Peter J. Holzer
Sep 28, 2022, 2:09:34 PM9/28/22
to
Wenn ich www.isc.org im Browser öffne, gibt es so viel Traffic zu so
vielen verschiedenen IP-Adressen (teilweise IPv6, teilweise IPv4), dass
ich nicht die Geduld habe, jede Connection zu analysieren um zu schauen,
ob da vielleicht irgendeine davon hakt.
Optisch fällt mir jedenfalls nichts auf. Und das Gemeine bei
PMTU-Discovery-Failures ist ja, dass sie meistens nicht sofort beim
Verbindungsaufbau auftreten (wo der Browser dann auf die nächste
IP-Adresse ausweichen könnte), sondern erst irgendwann später (wenn der
Server das erste Paket schicken möchte, das zu groß ist).
hp
Marco Moock
Sep 28, 2022, 2:33:31 PM9/28/22
to
Am 28.09.2022 um 20:09:33 Uhr schrieb Peter J. Holzer:
> Optisch fällt mir jedenfalls nichts auf. Und das Gemeine bei
> PMTU-Discovery-Failures ist ja, dass sie meistens nicht sofort beim
> Verbindungsaufbau auftreten (wo der Browser dann auf die nächste
> IP-Adresse ausweichen könnte), sondern erst irgendwann später (wenn
> der Server das erste Paket schicken möchte, das zu groß ist).
Meist gibt es beim TLS Timeouts.
> Optisch fällt mir jedenfalls nichts auf. Und das Gemeine bei
> PMTU-Discovery-Failures ist ja, dass sie meistens nicht sofort beim
> Verbindungsaufbau auftreten (wo der Browser dann auf die nächste
> IP-Adresse ausweichen könnte), sondern erst irgendwann später (wenn
> der Server das erste Paket schicken möchte, das zu groß ist).
Mit wget geht es bei mir, im Browser kommt der Fallback früher.
Ich verstehe bis heute nicht, warum Firewall-Admins teilweise so nen
Bockmist konfigurieren.
0 new messages