sirin schrieb:
Wollte jetzt auch keine Grundsatzdiskussion starten wer wie in welcher Form recht hat. Ich denke es handelt sich hierbei um ein klassisches Missverständnis. Die Frage ist nur wie geht man am besten vor ohne jetzt die Riesenarbeit mit dem Thema zu haben.
Um das "recht behalten" geht es mir nicht mal im Ansatz (von zwei unterschiedlichen Meinungen
muß immer eine falsch sein und ohne solche Gegensätze wäre jede Diskussion sinnlos, ich empfinde es nicht im Geringsten als "Makel", auch mal eine falsche Meinung zu vertreten, die wird dann eben revidiert) ... ich habe nur Probleme mit Leuten, die so absolut in der Lage sind, solche Threads genau so zu lesen und zu deuten, daß die eigene Weltsicht unmittelbar bestätigt wird und dabei alle Beiträge, die nicht zu diesem Weltbild passen, einfach ignorieren. Dabei fallen dann nämlich in aller Regel entscheidende Aspekte unter den Tisch und man rennt mit Vollgas in die falsche Richtung.
Wie Du es in 2 Minuten nach meinem Beitrag geschafft hast, die Irrelevanz bzw. den fehlenden Zusammenhang zwischen den Problemen zu diagnostizieren (selbst der heise.de-Beitrag war erst 10 Minuten alt, ich nehme mal zu Deinen Gunsten an, daß Du den schon gelesen hattest und auch das erste Verständnis des Gelesenen sich langsam zu manifestieren begann), geht (ging) mir in diesem Zusammenhang allerdings schon gegen den Strich, weil das eben reiner "Beißreflex" war und Du Dich nicht mal zu einer substantiierten Erklärung dieses Standpunkts herabgelassen hast.
Immerhin stimme ich den letzten Mutmaßungen weitgehend zu und es handelt sich bei den jüngsten Beiträgen (und auch bei Deiner nunmehr nicht mehr zu beanstandenden Zusammenfassung) offensichtlich um eine Kombination aus
zwei Faktoren, die zusammen
ein Problem mit dem VPN ergeben. Nur wenn die Faktoren "iOS 9"
und "Unitymedia" zusammentreffen, gibt es Probleme mit VPN-Gegenstellen (bei den hier versammelten Diskutanten). Andere haben zusätzliche Probleme mit dem VPN, die auch dann auftreten, wenn UM (mit einiger Wahrscheinlichkeit) gar nicht involviert ist (ich glaube jedenfalls nicht, daß die Cisco-Netzwerker - allgemein nicht unbedingt als unfähig verschrien, wenn es nicht gerade um Security und Backdoors in deren IOS geht - den Fehler über eine Unitymedia-Verbindung festgestellt haben) und das iOS von Apple stellt einen internen IPSec-Stack bereit, den nun einmal alle VPN-Implementierungen benutzen müssen, denn an die Systemebene des Netzwerks läßt Apple keine App heran. Wenn also dieser IPSec-Stack ein generelles Problem hat, betrifft das alle VPN-"Frontends", denn diese bilden nur eine eigene "Oberfläche" für die Konfiguration der für IKE/ISAKMP notwendigen Daten. Am Ende greift (vermutlich!) jede IPSec-"Verbindung" (mein Nachtrag in #40 erklärt die Gänsefüßchen) auf den Apple-eigenen Stack zurück.
Außerdem kann ich hinzufügen, dass die IP Adresse die man aus dem virtuellen Adresspool nach Verbindungsaufbau erhält sich ebenfalls nicht anpingen lässt. Und das finde ich seltsam.
Und schon die Beschreibung ist seltsam ... heißt das jetzt, daß auf dem iOS-Gerät selbst die "eigene" Adresse nicht angepingt werden kann oder kann von der pfSense aus diese Adresse nicht erreicht werden? Kommt die "Frage" (echo request) überhaupt an? Oder wird nur das "echo reply" vom iOS nicht richtig übertragen? Gibt es überhaupt ein gekapseltes Paket für diese Requests? Kommt das nicht an oder kann dieses nur nicht richtig dekodiert werden? Alles offene Fragen, die für jemanden mit ein wenig Netzwerk-Knowhow eigentlich problemlos zu beantworten sein sollten. Eine reine Feststellung "ping geht nicht" ist eben wenig hilfreich, wenn die möglichen Ursachen noch so vielfältig sind. Man kann ja durchaus "in der Mitte des Problems" mit einem Ping-Test beginnen ... der ist aber alles andere als "atomar" und wenn schon der nicht klappt, muß man eben tiefer graben.
Die Tests von Biker73 und salamihawk bestärken eben zusätzlich meine Meinung das Unitymedia irgendwas verwirft oder blockiert.
Das Statement von SLind in #12 ignorierst Du dabei dann aber mindestens in Teilen. Dieser Aussage zufolge ist mindestens iOS9 eine weitere Komponente in diesem Puzzle, denn einem IPSec-Paket sieht man nicht an, ob es von einer bestimmten OS-Version gesendet wurde oder nicht. Wenn also UM da irgendetwas verwirft oder blockiert, dann offenbar nur deshalb, weil die Pakete anders aufgebaut und/oder adressiert sind. Auch hier wieder die Frage, ob denn nun IPSec-NAT-T (
RFC 3947) benutzt wird oder nicht ... wenn beide Peers unterschiedliche Ideen in dieser Hinsicht haben, reden sie aneinander vorbei und eine "stabile Verbindung" gibt es bei IPSec eben gar nicht - insofern ist diese von Dir getroffene Aussage ohne nähere Beschreibung, was damit gemeint sein soll, auch ziemlich "wertlos" (extra in Gänsefüßchen gesetzt, damit Du das nicht persönlich nimmst). Ohne zusätzliche Maßnahmen ("dead peer detection" -
RFC 3706) kriegt man gar nicht mit, ob so eine Verbindung besteht, geschweige denn, daß sie "stabil" ist. Funktioniert DPD denn bei Deinen pfSense-Geräten tatsächlich weiterhin? Da das auf der IKE-Ebene läuft, würde es zumindest schon mal die (öffentliche) Übertragung von Paketen zwischen den Peers bestätigen.
Ich bleibe aber dabei, dass beim heise-Bericht ein ganz anderer Sachverhalt beschrieben wird.
Warum das nichts heißen muß, habe ich versucht oben darzulegen ... aber es kommt offenbar auch darauf an, unter welchem Aspekt man den heise.de-Beitrag liest.
Warum am Ende niemand in der Lage ist, diese ganzen hier geäußerten Vermutungen und Beobachtungen einfach mal mit Fakten in Form von substantiellen Tests und/oder Protokollen und/oder Mitschnitten zu untermauern, wird mir aber wohl trotzdem ein Rätsel bleiben, ebenso die Frage, warum man für eine Fehlersuche
sirin schrieb:
auch etwas der Mut am Gateway zu spielen während alle nicht iOS9 Benutzer problemlos arbeiten können.
irgendetwas für andere Benutzer ändern müßte. Ein wenig Netzwerk-Knowhow und sogar recht rudimentäre Kenntnisse sollten ja nun ausreichen, um eine systematische Suche zu starten ...
