VPN Forticlient trennt Verbindung

[marlix]

Danke, stimmt... wer lesen kann, ist klar im Vorteil 😆 .

 

[Bannister0946]

Guten Morgen zusammen,

ich muss das Thema leider noch mal aufgreifen, da mir das massiv auf die Nerven geht und ich weder von AVM noch von meinem Arbeitgeber wirkliche Unterstützung bekomme.
Arbeitgeber sagt: muss an Ihrem Equipment liegen, AVM sagt: An uns liegt es nicht.

Kurz zusammengefasst, da schon wieder einige Monate vergangen sind:

Meine Frau und ich sitzen 1x die Woche zusammen im HO.

• Sie arbeitet mit einem HP Notebook und VPN Cisco Connect
• Ich arbeite mit einem Dell Notebook und VPN FortiClient

Nun ist es so, dass es es am Tag mehrfach zu Ausfällen der VPN Verbindung kommt.
Eigentlich dann, wenn Sie oder ich mich mit dem eigenen Notebook / iPhone in der Wohnung bewege.

Im Einsatz haben wir die Fritzbox 6660 Cable sowie den Fritz Repeater 3000, welcher via LAN Brücke verbunden ist.

Was haben wir bereits probiert:

• Notebooks nur via LAN angeschlossen
• Repeater ausgeschaltet
• WLAN nur 2,4 GHz / nur 5 GHz
• WLAN Autokanal abgeschaltet

Da wir die Probleme aber auch über LAN haben, können wir das Problem eigentlich nicht im WLAN haben.
Fritzbox und Repeater wurden auf Kulanz seitens AVM bereits ausgetauscht - Problem bleibt.


Nun bin ich (nach wie vor) ratlos und weiß nicht, wie ich das Problem weiter analysieren kann.
Jemand noch weitere Ideen?

 

[riversource]

Ich habe nicht mehr die ganze Historie im Kopf, aber hast du deine Internet-Verbindung schon auf Paketverluste geprüft? Lass man einen langfristigen mtr oder Pingplotter in Richtung des VPN Servers laufen. Pingplotter kann auch UDP Pakete testen, glaube ich. Das könnte entscheidend sein, ich hab schon öfter gelesen, dass Kabelinternet Probleme bei UDP Verbindungen hat.

 

[Bannister0946]

wie genau stelle ich dies an? habe ich bislang noch nie gemacht.
Muss es der VPN Server sein oder reicht auch google.de?
Dann würde ich pingplotter von einem "neutralen" Gerät aus laufen lassen?

Ergänzung (11. Oktober 2023)

Weiß nicht ob ich es richtig gemacht habe, aber ich habe mal als Ziel google.de getestet.
Ein Paketlost von 40% bei Hop 4 ist ja schon mal nicht so dolle, richtig?

Allerdings habe ich aktuell DENNOCH keine VPN Ausfall.

 

[riversource]

Paketverluste in der Mitte eines Traces sind völlig normal und kein Grund zur Sorge. Das ist einfach ICMP Rate Limiting. Wenn der letzte Hop ok ist, sind die Verluste in der Mitte egal.

Vielleicht sieht man was in einem Trace zu google, aber wenn das Problem auf dem letzten Teilstück zum VPN Server auftritt, dann sieht man es nicht. Deshalb ist ein Plot zum tatsächlichen Ziel immer aussagekräftiger.

 

[Bannister0946]

okay, dann lass ich das auf meinem Dell Notebook laufen.
Muss ich in dem Programm etwas besonderes einstellen oder nur das Ziel und feuer frei?

 

[Recruit]

Als es per LAN probiert wurde, war aber das W-Lan nicht aktuell verbunden, oder?

LG

 

[Bannister0946]

Nein. WLAN war getrennt

 

[h00bi]

Eigentlich dann, wenn Sie oder ich mich mit dem eigenen Notebook / iPhone in der Wohnung bewege.

Notebooks nur via LAN angeschlossen

Irgendwie ist das für mich noch nicht so ganz rund.
Passieren die Abbrüche aktuell auch, wenn ihr per nur per LAN verbunden seid und an Ort und Stelle bleibt?

Meine Frau und ich sitzen 1x die Woche zusammen im HO.

Ist jeder von euch nur 1x pro Woche im HO oder jeder mehrfach aber nur 1x gleichzeitig?
Tritt das Problem auch an Tagen auf, wo nur einer von euch im HO ist und derjenige ausschließlich per LAN verbunden ist und sich nicht durchs Haus bewegt?

 

[Bannister0946]

Passieren die Abbrüche aktuell auch, wenn ihr per nur per LAN verbunden seid und an Ort und Stelle bleibt?

Ja

Ist jeder von euch nur 1x pro Woche im HO oder jeder mehrfach aber nur 1x gleichzeitig?

nur 1x gleichzeitig

Tritt das Problem auch an Tagen auf, wo nur einer von euch im HO ist und derjenige ausschließlich per LAN verbunden ist und sich nicht durchs Haus bewegt?

nein

 

[h00bi]

Dann pack doch mal eins der beiden Arbeits-Notebooks testweise ins LAN-Gastnetz auf Port4.
Musst du ggf. vorher in der Fritzbox aktivieren.
Dann sehen sich die Notebooks nicht mehr und es kann keine Beeinflussung geben.

 

[Bannister0946]

das ist keine schlechte Idee!
Ist das Gastnetz denn genau so vollwertig wie das normale oder gibt es hier Einschränkungen?

 

[h00bi]

Das Gastznetz ist nicht vollwertig, aber für den Einsatzzweck ausreichend.

Im Gastnetzwerk ist üblicherweise Client Isolation an, also die Gäste können nicht untereinander sondern nur mit dem Router/Gateway kommunizieren.
Zudem kann man keine Port Weiterleitungen ins Gastnetz einrichten.
Beide Einschränkungen spielen zumindest für den FortiClient keine Rolle.
Beim Cisco weiß ichs nicht sicher, sollte aber ebenfalls kein Problem sein.

 

[Bannister0946]

werde ich testen

 

[Bannister0946]

Guten Morgen zusammen,

vor kurzem hatte ich von einem Problem berichtet, das mein FortiClient die VPN Verbindung zu meinem Arbeitgeber mehrfach am Tag sporadisch trennt. Nach einer Recherche der Logs in der Situation hat sich ergeben, dass es eine Einstellung im FortiClient gibt, welcher eine Verbindung über UDP bevorzugen soll (statt TCP).
Das hat die "Trennung" enorm minimiert.

Dennoch kommt es noch zu weiteren Trennung. Heute morgen war wieder so ein Fall.
Die Logs dazu habe ich mir ebenfalls gezogen, doch kann ich dazu nicht wirklich eine Lösung im Internet finden.

14.12.2023 06:55:07    error    sslvpn    error: poll_send_ssl ->SSL_get_error(): 5, try:1
14.12.2023 06:55:07    error    sslvpn    error: poll_send_ssl -> WSAGetLastError():2747, try:1
14.12.2023 06:55:07    error    sslvpn    error: poll_send_ssl ->data size: 247, try:1
14.12.2023 06:55:07    error    sslvpn    [handle_driver_read_event]: error: poll_send

Jemand eine Idee, was ich hier noch machen kann?

 

[User7777]

Hast du mehr Infos?

Welches OS?
Welcher FortiGate Client?
LAN oder WLAN? evtl. mal gegentesten.

Evtl. mal ipv6 und energiespar optionen deaktivieren im Netzwerkadapter hat bei einem meiner Kunden geholfen.

mfg

 

[Bannister0946]

Natürlich!

Windows 11 Prof. 23H2
FortiClient 7.0.10.0538
Verbindung per WLAN (Fritzbox steht direkt hinter mir)
IPv6 ist bereits deaktiviert

 

[Raijin]

Arbeitgeber sagt: muss an Ihrem Equipment liegen, AVM sagt: An uns liegt es nicht.

Um ein für alle Mal deine Internetverbindung, deinen Router und dein Netzwerk als Ursache auszuschließen, solltest du die VPN-Verbindung mal von einem anderen Anschluss aus testen - beispielsweise bei einem Arbeitskollegen, der diese Probleme nicht hat. Läuft es dort mit deinem Laptop einwandfrei, liegt die Ursache zu 99% tatsächlich in deiner Bude (Router/WLAN/LAN) oder bei deinem Provider. Hast du auch bei deinem Kollegen weiterhin dieselben Probleme, liegt es an deinem Laptop und die IT der Firma ist zu 100% dafür verantwortlich, dieses Problem zu lösen, sei es durch eine Neuinstallation oder gar ein neues Gerät.

Bevor das nicht 100%ig sichergestellt ist, sind weitere Diagnoseversuche wenig sinnvoll, weil man maximal ins Blaue schießen kann und damit womöglich in die völlig falsche Richtung ballert.

Fritzbox und Repeater wurden auf Kulanz seitens AVM bereits ausgetauscht - Problem bleibt.

Es besteht natürlich die Möglichkeit, dass das ein grundsätzliches Problem mit den Modellen ist und ein Tausch folglich sinnfrei wäre. Besser wäre eher ein Versuch mit einem anderen Router, zB einem Speedport, o.ä. Wenn es damit plötzlich funktioniert, könnte AVM sich nicht mehr so leicht rausreden. Bleibt das Problem, liegt's an der Internetleitung oder eben an deinem Endgerät.

WSAGetLastError():2747

Dies bezieht sich auf den Winsocket-Fehler 10055 (=Hex 2747). Hier kannst du die allgemeine Fehlerbeschreibung dazu nachlesen. Zwar wird dort auch eine Lösung angegeben, aber ich möchte darauf hinweisen, dass Eingriffe in die Registry eines Firmengeräts nur durch die IT zu erfolgen haben, weil Frickeleien in der Registry durchaus auch negative Konsequenzen haben können, die du nicht ohne Absprache mit der IT verantworten möchtest.
Denn: Das sind generische Fehler, die unter Umständen einfach nur Folgefehler oder Seiteneffekte darstellen.

An dieser Stelle sollte die IT ein Support-Ticket bei Fortinet erstellen und ein umfassendes Log anfügen, wenn sie sich selbst nicht dazu in der Lage sehen, das Problem zu identifizieren bzw. zu lösen.