VPN/L2TP mit unifi - Abo zu langsam?

[Chaujeve29]

Hallo miteinander

Ich habe ein VPN in einem unifi Netzwerk eingerichtet und dies funktioniert eigentlich ganz gut. Nur ein User hat Probleme, sich damit zu verbinden.
Einen Adresskonflikt kann ich ausschliessen und die Rechner haben mittlerweile auch die Windows Updates drauf damit alles wieder läuft.

Alle anderen User können sich verbinden und der besagte Problem-User über seinen Handy Hotspot auch. Nur wenn er über sein Heim-WLan geht funzt es nicht. Neu hat er eine IB3 von Swisscom.

Kann es sein dass sein steinaltes Abo (vivo xs) zu lahm ist? Oder habt ihr noch andere Ideen?

Vielen Dank und Gruass
Armin

[Roger G.]

@Chaujeve29 Schick mir doch die Adresse oder genaueres des Kunden per PM, damit ich mal die Leitung anschauen kann. Ist ev. nicht das Abo (XS=20mbps), sondern, die Leitung oder inHouse Verkabelung.

[Tux0ne]

Der User kann in seiner Internet Büchse 3 mal die Firewall Einstellung von strikt zu standard umstellen. 
Falls das hilft, müsste man mal prüfen was da nicht in Ordnung ist.  Also ganz vieles aber jetzt mal bezogen auf dieses Thema 😅

[5018]

Was nicht in Ordnung ist? Da fallen mir spontan doch einige Dinge ein, die eher mit anderen Dingen zu tun haben …🙈 (ein Brett vor Kopf Smiley wäre auch notwendig)

[Tux0ne]

Aber zum Problem selber hast du keinen spontanen Einfall?

Schade, dann interessiert es mich nicht. 

[5018]

Es gibt mehr als 1.x Mio Internet-Boxen 2,3 und 4 mit der selben Firmware. Viele Menschen sind immer noch im Home-Office und bauen täglich x VPN-Verbindungen auf. Wenn es also ein grundsätzliches Problem geben würde, dass VPN-Verbindungen, z.B. Firewalleinstellungen, behindern oder verhindern würden, dann gäbe es wohl einen recht grossen Aufschrei.

Denke auch nicht, dass es an der Leitungs- oder Abogeschwindigkeit liegt. 

Der User sollte mal mehr Infos geben. 
Mit welchen Geräten versucht er das VPN zu nutzen, welche Software nutzt er dafür. Kommt eine Verbindung zustande und ist nur langsam oder kommt keine Verbindung  zustande. Was ist die Meldung von VPN-Programm und was weiss ich noch.

Ansonsten ist es einfach Glaskugel.

[kaetho]

---

@Chaujeve29  schrieb:

....
Alle anderen User können sich verbinden und der besagte Problem-User über seinen Handy Hotspot auch. Nur wenn er über sein Heim-WLan geht funzt es nicht. Neu hat er eine IB3 von Swisscom...

---

Also das klingt jetzt für mich aber schon erst Mal nach einem Adresskonflikt...

[Chaujeve29]

Danke für eure Antworten.

Am Anfang meiner Nachricht schreibe ich, dass ich einen Adresskonflikt ausschliessen kann! 
Andere WLan's mit Swisscom-Anschluss und dem gleichen IP-Adressraum (192.168.1.0) bereiten keine Probleme und er kann sich von dort aus auch problemlos verbinden!

Langsam ist die Verbindung auch nicht, den er hat Mühe sich mit dem VPN zu verbinden, was heisst dass keine Verbindung zustande kommt.

An der Software, bzw. Firewall kann es nicht liegen, da er mit dem Handy eine Verbindung herstellen kann. Ausserdem sind die Updates drauf, weshalb ich auch das Januar Update von Windows ausschliessen kann. Der User nutzt somit Win10 oder 11, einen extra VPN-Client habe ich nicht erwähnt.

Eigentlich stehen da schon ziemlich viele Informationen in der ersten Nachricht. 

Was ich nicht weiss, ob er sein Home-WLan als öffentlich oder privat deklariert hat. Vielleicht liegt es daran? 

Bitte nur noch konstruktive Antworten. Danke.

[Tux0ne]

Ich möchte auf die Marketingaussagen in diesem Thread, die auf mangelndes Verständnis von VPN im Allgemeinen und in der Umsetzung im speziellen, schliessen lässt, nicht eingehen, verweise aber nochmals auf meinen Hinweis, dass der User doch bei seinem Router in den Einstellungen den Firewall Level von Strikt auf Standard umstellen soll.

Methodenkompetenz... Dass ist ein einfacher Test um das mal auszuschliessen, bevor man sich um andere Dinge kümmern kann.

Sollte der User sein Gerät im Gast Netzwerk verbunden haben, wäre da sein IP Range 10.128.0.0/16. Also ein recht grosser aber auch ein ziemlich grosser Zufall würde das so überschneiden.

[Chaujeve29]

Das mit dem Gästenetzwerk habe ich bereits angesprochen, leider ist der User nicht bereit dies zu versuchen.....

Der User kann aus einem anderen WLan die Verbindung erfolgreich herstellen. Beide haben den gleichen Adressbereich 192.168.1.0, aber nicht die gleichen Router. Eines einen Centro Business und das andere neu eine IB3. Beim letzteren klappt die Verbindung nicht.

Auch das mit der Firewall habe ich mit dem User besprochen. Da er bereits mit dem Swisscom-Support telefonischen Kontakt hatte, gehe ich davon aus dass sie dem Beachtung geschenkt haben. 

Swisscom meint dass seine IP geblockt sei, was jedoch nicht der Fall ist.

[hed]

---

@Chaujeve29  schrieb:

Das mit dem Gästenetzwerk habe ich bereits angesprochen, leider ist der User nicht bereit dies zu versuchen.....

---

@Chaujeve29 

Wenn der User tatsächlich an einer Unterstützung interessiert ist oder der Leidensdruck genug hoch ist, so wird er sicher bereit sein, es ist ja nur für einen temporären Test. Und wenn er weiterhin bockig tut, so würde ich ihn nicht weiter unterstützen. Troubleshooting ist ein Geben und ein Nehmen wo beide (Kunde und Supporter) am gleichen Strang ziehen müssen.

[Chaujeve29]

Genau so sehe ich das auch....
Wollte mich deshalb absichern.

Danke

[Tux0ne]

---

@Chaujeve29  schrieb:

Auch das mit der Firewall habe ich mit dem User besprochen. Da er bereits mit dem Swisscom-Support telefonischen Kontakt hatte, gehe ich davon aus dass sie dem Beachtung geschenkt.

---

Davon würde ich nicht ausgehen. 

Es gibt auch nich andere Konstellationen die problematisch sind. Wenn der User zB noch einen Internet Booster nutzt (ein LTE Boonding zusammen mit dem Klingeldraht), kann das auch schon denn ke stören. 
Dazu kann man mal den Booster deaktivieren und allenfalls danach das Gerät welches das VPN nutzen soll, im Webinterface des Routers von der Nutzung des Boosters deaktivieren. 

[Chaujeve29]

Danke für den Input. Das werde ich einmal im Auge behalten.

Swisscom meint, dass CGNAT aktiviert sei und das auch zu Problemen führen könne.

Fact ist, dass der User etwas eigensinnig ist und meine Anweisungen nur zum Teil befolgt. 

Ich habe mindestens noch 3 andere User welche sich mit Swisscom ohne Probleme zum VPN verbinden können. Bei einem weiss ich sicher, dass er den gleichen privaten Adressraum benutzt. Und von diesem WLan kann sich der "Problemuser" auch ohne Probleme verbinden.

Deshalb gehe ich davon aus, dass der Fehler in seiner Windows-Firewall oder der Firewall seines Swisscom-Routers zu suchen ist.
Darum hab ich ihn als erstes gebeten ein Gäste-WLan einzurichten, was er nicht tun will. Schliesslich verbinde er sich per Kabel und sein WLan habe nix zu tun damit. Dass beide Verbindungsarten durch den gleichen Router führen sieht er nicht ein.
Ob er sein Netzwerk Zuhause privat oder öffentlich konfiguriert hat, will er mir auch nicht sagen. So komme ich nicht weiter.....

Er wird heute vom Swisscom Support telefonisch kontaktiert. Mal sehen, vielleicht folgt er deren Anweisungen?

Vielen Dank nochmals für eure Hilfe.

[hed]

@Chaujeve29 

Falls es ein Anschluss mit CGNAT ist, kann Swisscom das auf einen "normalen" Anschluss ändern. Leider wissen nicht alle 1.-Level-Supporter was CGNAT ist. In diesem Fall musst du hartnäckig bleiben und verlangen, dass der Fall zum 2.Level-Support eskaliert wird.

[kaetho]

Spielt CGNAT hier überhaupt eine Rolle? Es geht ja nicht darum, dass der "zickige" User ein VPN auf seinen Router einrichten soll, sondern er muss sich bei einem anderen VPN einklinken können. Da braucht es einen User, eine Domain und einen Preshared Key; nichts, das beim Client mit CGNAT nicht gehen würde. Mit dem Handy gehts ja auch, und die sind meines Wissens übers Handynetz immer hinter einer geteilten IP im Netz unterwegs.

Oder liege ich da komplett falsch?

[hed]

@kaetho 

Ich bin auch der Meinung, dass hier CGNAT keine Rolle spielen sollte, aber zu 100% ausschliessen würde ich es dennoch nicht. Daher mein Tip im Sinne des Ausschlussverfahrens, CGNAT zu eliminieren. Der Aufwand ist nicht gross und man sieht sehr schnell das Resultat.

[Chaujeve29]

Heute hat mich der User informiert, dass er eine neue IP-Adresse erhalten habe und seit dem läuft's....

Angeblich sei am Ort, welchen er versucht zu erreichen (Modem oder unifi-Firewall mit VPN-Server) seine dynamische IP Zuhause geblockt worden, da er zu oft versucht habe eine Verbindung aufzubauen. Ich habe aber gar nix geblockt und mich würde interessieren, ob dies ohne mein Zutun passieren könnte? Wenn dies der Fall wäre, habe ich vielleicht bald wieder Probleme, sobald seine dynamische Adresse ändert.

Natürlich weiss ich nicht genau, wie der Supporter das erklärt hat, denn ich höre immer nur das was mir der User weitergibt..

[hed · Accepted solution]

Gut möglich, dass der VPN-Server oder die Firewall in der Firma des Users den Zugang aus Sicherheitsgründen geblockt hat, weil es zuviele Verbindungsversuche in einer bestimmten Zeit gab.  Das müsste aber die IT-Abteilung der Firma beantworten können wenn sie die Logfiles auswerten. 

Weiter stellt sich die Frage, weshalb es zu viele Verbindunsgversuche vom Client des Users beim VPN-Server gab.  Um das alles abzuklären kommt der User nicht darum herum, die IT-Abteilung der Firma wo er sich per VPN verbinden will  mit einzubeziehen.

[Chaujeve29]

Mit der neuen IP hat's einige Tage funktioniert. Nun läuft es wieder nicht.

Kann mir nicht vorstellen dass nur die IP Adresse vom Problemuser automatisch gesperrt wird und alle anderen User laufen ohne Probleme.....