Probleme mit ISP(Wilhelm.tel) und VPN

[Askat86]

Moin zusammen, meine Freundin hat ein Problem mit der VPN-Verbindung ihres Arbeitgebers, das sehr sicher irgendwie mit unserem ISP Wilhelm.tel zusammenhängt. Ich werde versuchen alle Details zu erläutern, fragt aber gerne wenn was fehlt.

Das größte Problem ist vermutlich die mangelnde Bereitschaft beider Parteien uns bei der Fehlersuche und Problemlösung zu helfen.

IST-Situation:

• Die initiale Verbindung mit dem VPN kann erfolgreich hergestellt werden
• Für 5-20 Minuten funktioniert die VPN Verbindung etwas langsam, aber relativ normal und man kann damit arbeiten
• Nach diesem Zeitraum wird die Verbindung extrem langsam, so dass man nicht mehr damit arbeiten kann
• Beendet man die VPN Verbindung und stellt sie erneut her, hat man wieder das Zeitfenster von 5-20 Minuten
• Außerdem gibt es des öfteren (3-6x pro Tag) eine kurze Unterbrechung oder Störung, die dafür sorgt das einer der auf dem Laptop laufenden Dienste seine Verbindung verliert und neu verbunden werden muss.

Bisherige Lösungsversuche meinerseits:

• Freigabe aller im Internet bekannten Ports für VPN Verbindungen
• Wechsel des DNS Providers in der Fritzbox (erst war Wilhelm.tel drin, anschließend Telekom, aktuell Google)
• Natürlich waren da auch Neustarts des Routers dabei

Bei meinen Recherchen habe ich diese Seite gefunden, die auf eine aktive Drosselung von verschiedenen Anbietern hinweist, darunter auch Wilhelm.tel:
https://vpntester.org/blog/internet-drosselung-bei-vodafon-kabel-fuer-vpn-services-umgehen/

Laut dieser Seite könnte ein anderes Verschlüsselungsprotokoll des VPN Abhilfe schaffen, da die moderneren seltener gedrosselt werden. Leider haben wir keine Kontrolle oder genauere Informationen über den VPN des Arbeitgebers und dieser kann und will dabei weder Auskunft geben, noch irgendwie helfen.

Wir haben auf dem Arbeitslaptop leider keinen Adminzugang, ansonsten könnte man eine VPN-Kette erzeugen und den Arbeits-VPN in einen besser verschlüsselten VPN verpacken.

Nun meine Frage: Fällt euch eine Lösung für dieses Problem ein? Im Optimalfall eine Konfiguration in der Fritzbox oder ein geheimer Satz durch den die Wilhelm.tel Mitarbeiter die Drosselung entfernen^^

Eine Alternative wäre einen Router hinter die Fritzbox hängen (wie zB die von ASUS) der selbstständig in ein VPN einwählt und den Arbeitslaptop immer darüber schleust. Dann hätten wir ohne Adminzugang auf dem Laptop den zweiten Tunnel. Dies würde aber den Kauf des Routers und die Miete eines ausreichend schnellen VPN Anbieters erfordern. Ich würde es gerne erst einmal ohne zusätzliche Kosten ausprobieren.

 

[Stock86]

Hast du deinen Laptop schon mal an einen ganz anderem Anschluss angeschlossen und VPN zur Firma aufgebaut? Funktioniert es da? Notfalls mit Hotspot vom Handy testen.

Was für einen Anschluss hast du bei Wilhelm.tel genau? Was für eine FritzBox nutzt du aktuell?

Hast du irgendwelche Infos zum genutzten VPN Client?


Die meisten Probleme im Homeoffice in Zusammenhang mit VPN kenne ich von DS Lite, bzw. IPv4/IPv6 Problemen. Aber da funktioniert dann meistens gar nichts.

 

[norKoeri]

eine Konfiguration in der Fritzbox

Vielleicht ein Fehler in der Hardware-Beschleunigung. Die könntest Du schnell über das neue automatische Ingress-Shaping testweise ausschalten.

 

[Askat86]

Hast du deinen Laptop schon mal an einen ganz anderem Anschluss angeschlossen und VPN zur Firma aufgebaut? Funktioniert es da? Notfalls mit Hotspot vom Handy testen.

Was für einen Anschluss hast du bei Wilhelm.tel genau? Was für eine FritzBox nutzt du aktuell?

Hast du irgendwelche Infos zum genutzten VPN Client?


Die meisten Probleme im Homeoffice in Zusammenhang mit VPN kenne ich von DS Lite, bzw. IPv4/IPv6 Problemen. Aber da funktioniert dann meistens gar nichts.

Danke für die ganzen Fragen, ich wusste ich hab einiges vergessen^^

Andere Verbindung / Hotspot:
Ja, wir haben es mit dem Handy meiner Freundin (D2) und meinem (O2) versucht. Beide erhalten hier im 3. Stock zuverlässig LTE. Bei beiden Geräten ist es großer Zufall, ob die VPN Verbindung läuft oder nicht. Es gab einen Tag da konnte sie mit meinem Handy 2-3 Stunden problemlos arbeiten. An einem anderen hatte sie dann häufigere Verbindungsabbrüche.

Anschluss bei Wilhelm.tel: 500/100 Mbit die auch zu 95-105% ankommen
Fritz Box: 7530 AX (von Wilhelm.tel) mit dem aktuellsten System von WT (ich kürz mal ab)

Infos zum VPN Client könnte ich eventuell noch rauskriegen. Aktuell liegt mir nichts gesichertes vor und meine Freundin ist von dem Thema sehr gestresst. Ich schaue aber was ich zumindest zum Client raus bekomme.

Wir haben eine einzigartige IPv4, da ich einen DynDNS für meinen kleinen Server betreibe. Das dürfte also keine Probleme bereiten.

@norKoeri Danke für den Hinweis. Das werde ich morgen (da hat meine Freundin wieder HO und das Gerät ist wieder im Haus) einmal einrichten. Ich sag dann Bescheid ob es etwas gebracht hat

 

[rosenholz]

Ich habe jahrelang mit VPN und Wilhelm.Tel problemlos remote gearbeitet. Meine Partnerin tut das auch weiterhin täglich. Auch war beim privaten Surfen oft ein kommerzieller VPN-Anbieter dazwischen ohne besondere Auswirkungen auf die Geschwindigkeit.
Bist Du wirklich sicher, dass Wilhelm.Tel hier drosselt?

 

[Helge01]

Andere Verbindung / Hotspot:
Ja, wir haben es mit dem Handy meiner Freundin (D2) und meinem (O2) versucht. Beide erhalten hier im 3. Stock zuverlässig LTE. Bei beiden Geräten ist es großer Zufall, ob die VPN Verbindung läuft oder nicht.

Allein das zeigt doch das es mit dem Wilhelm.Tel Anschluss eigentlich nichts zu tun hat.

 

[Rache Klos]

LTE hast du meist auch keine dedizierte IPv4 Adresse oder es wird sogar ein Tunnelprotokoll benutzt, so etwas macht gerade bei IPSec VPN durchaus Probleme (NAT Traversel). Andere Probleme treten auch auf, wenn die Paketgröße nicht passt und es zu einer Paketfragmentierung kommt. Normal sollte über PMTU die Gegenstellen ermitteln, welche Paketgröße genutzt werden kann, jedoch kann dies auch durch zu restriktiv konfigurierte Firewalls blockiert sein. Aber ohne zu wissen was für ein VPN genutzt wird, ist viel mehr als Kristallkugellabern auch nicht möglich. Letztendlich bringt es dir auch recht wenig, wenn man heraus bekommt dass es an der Gegenstelle liegt und der Client und dein Internet nicht das Problem ist.

 

[chrigu]

als erste Anlaufstelle sollte die IT des Arbeitgebers sein. hört sich schwer nach serverproblem an.
auch der satz "ich habe kein admin zugang" impliziert eine nachfrage.

was meinst du mit diesem satz "Im Optimalfall eine Konfiguration in der Fritzbox oder ein geheimer Satz durch den die Wilhelm.tel Mitarbeiter die Drosselung entfernen^^"
was genau willst du optimieren? wenn vpn steht, dann steht die verbindung. es gibt kein breiter oder grösser oder goldiger zum konfigurieren.
was genau willst du mit den W.tell mitarbeiter? bestechen? für nichts?

 

[Askat86]

Das Problem ist, dass die IT des Arbeitgebers jede Beteiligung an den Problemen von sich weist und auf keine Anfrage (nicht einmal welche Ports für ihren VPN verwendet werden) reagiert. Ihre Begründung liegt darin, dass es das Problem nur bei WT Kunden gibt. (Aktuell sind wenigstens 3 betroffen)
Teilweise wissen sie auch einige Sachen nicht, weil das Interne Netzwerk von Firma A verwaltet wird und meine Freundin aber auf den Systemen von Firma B arbeitet, die im gleichen Haus sitzen und die Leitungen von A mitbenutzen.

@chrigu lies dir am besten mal die verlinkte Seite durch. Nur weil eine VPN Verbindung hergestellt wurde, heißt das leider noch nicht, dass der ISP anschließend nicht störend eingreift. Alles was ich von WT will, ist, dass das nicht gemacht wird. (Ob es gemacht wird kann ich mit unseren bisherigen Infos leider weder bestätigen noch ausschließen)

Bist Du wirklich sicher, dass Wilhelm.Tel hier drosselt?

Nein :/
Das ist aber so ziemlich das einzige worauf wir noch einigermaßen Einfluss haben. Wenn ich 1-2 gute Ideen hätte woran es liegen könnte, dann würde ich mich bis zum technischen Support in der Hotline durchstellen lassen und das mit denen besprechen. Wenn die das dann ausschließen können, ist die Sache vermutlich verloren, aber der aktuelle Zustand ist halt echt mies. Daher hatte ich auf Ideen hier aus dem Forum gehofft.

 

[rosenholz]

Warum fragst Du nicht im technischen Forum von Wilhelm.Tel? Die haben Admins und ausgebildete Techniker die regelmäßig Fragen dort beantworten. Da wird Dir bei Deinem spezifischen Problem sicher kompetenter als hier geholfen werden können.
https://board.wtnet.de/

 

[Askat86]

@rosenholz Danke, das habe ich auf der Seite übersehen.

 

[Stock86]

Das Problem ist, dass die IT des Arbeitgebers jede Beteiligung an den Problemen von sich weist

Ist zwar blöd, aber das kann ich ein Stück weit nachvollziehen. Als 2020 plötzlich alle ins Homeoffice sind, wurden wir mit tausenden Anfragen überschüttet, weil diverse Mitarbeiter ihr Netz zu Hause nicht kennen, WLAN keinen Empfang hat, die Vodafone Station super bescheiden ist, DS Lite Probleme macht und und und.

Mit ner handvoll Leute in der IT Abteilung konnten wir uns nicht um 600 private Anschlüsse kümmern, weil wir deren spezifischen Umgebungen ja überhaupt nicht kennen und beurteilen können.

Aber trotzdem haben wir natürlich allgemeine Infos gegeben. Also genutztes Protokoll, Verschlüsselung, Ports, etc. So viel Unterstützung sollte dann schon kommen.

 

[Raijin]

Bisherige Lösungsversuche meinerseits:

• Freigabe aller im Internet bekannten Ports für VPN Verbindungen
• Wechsel des DNS Providers in der Fritzbox (erst war Wilhelm.tel drin, anschließend Telekom, aktuell Google)
• Natürlich waren da auch Neustarts des Routers dabei

Was wie wo gibst du an Ports frei?!? Eine ausgehende VPN-Verbindung benötigt keinerlei Freigaben oder sonstiges im Router. Normalerweise ist ausgehend alles freigeschaltet und wäre es nicht so bzw. der Ziel-Port des VPNs geblockt, käme gar keine VPN-Verbindung zustande. Alles was dann durch das VPN geht, spielt im Router sowieso keine Rolle mehr, weil diese Verbindungen innerhalb des VPN-Tunnels gekapselt werden.
VPN ist ungefähr so als wenn du einen Gartenschlauch (=VPN-Tunnel) aus dem Fenster (=Router) hängen lässt. Aus Sicht des Fensters ist das nur ein Schlauch (=Ziel-Port des VPN) und ob in dem Schlauch nu Wasser fließt (=zB eMail) oder Kaffee (=SAP) oder Kakao (=Dateitransfer) interessiert das Fenster wenig.

Das heißt, dass du maximal den Ziel-Port der VPN-Verbindung im Router ausgehend freigeben musst, wenn der Ziel-Port des VPNs überhaupt geblockt wird. Das würdest du merken, wenn der VPN-Client direkt beim Verbindungsaufbau mit einer Meldung "VPN-Server antwortet nicht" scheitert. Deswegen solltest du bitte alle ominösen Freischaltungen, die du jetzt eingebaut hast - ich fürchte irgendwelche Portweiterleitungen - wieder entfernen!


Der DNS spielt hierbei auch keine Rolle, weil beim Verbindungsaufbau einmalig die Ziel-Domain der VPN-Verbindung aufgelöst und anschließend der VPN-Tunnel mit der dahinterliegenden IP-Adresse aufgebaut wird. Sofern also beim Standard-DNS von Wilhelm.tel bereits eine VPN-Verbindung zustande gekommen ist, ist auch der Wilhelm.tel DNS für das VPN vollkommen ausreichend. Wenn die Firma einen eigenen DNS hat, um beispielsweise den FileServer bei der IT per Namen zu erreichen, würde dieser DNS über den VPN-Client eingestellt werden. Auch beim DNS solltest du daher alle unnötigen Änderungen wieder zurückdrehen. Das heißt also Laptop bekommt seinen DNS via DHCP vom Router (standardmäßig wird der Router selbst als DNS an die lokalen Geräte verteilt) und der Router selbst bekommt seinen DNS üblicherweise vom Provider.

Das Problem ist, dass die IT des Arbeitgebers jede Beteiligung an den Problemen von sich weist und auf keine Anfrage (nicht einmal welche Ports für ihren VPN verwendet werden) reagiert. Ihre Begründung liegt darin, dass es das Problem nur bei WT Kunden gibt. (Aktuell sind wenigstens 3 betroffen)

Ganz so einfach geht das aber auch nicht. Es ist zwar richtig, dass die Firmen-IT nicht jedes Problem im privaten Netzwerk der Mitarbeiter lösen kann, aber hier scheint es ja ein grundsätzliches Problem mit einem Provider zu sein. Im Zweifelsfalle kann es sogar darauf hinauslaufen, dass die Firma einen separaten Internetzugang zur Verfügung stellt, je nachdem welche Relevanz Home Office im Allgemeinen und die jeweiligen Angestellten im Speziellen haben. Im Zweifelsfalle müssen solche Probleme eskaliert werden und über den Vorgesetzten zur IT getragen werden. Spätestens dann, wenn der Boss die IT anweist, sich um das Problem zu kümmern, können sie ihren Hals nicht mehr aus der Schlinge ziehen

 

[cristalice]

@Askat86 gibt es hier etwas neues? Bist du weiter gekommen? Ich habe das gleiche Problem und im WT Forum nichts aktuelles zu VPN gefunden.
Danke

 

[Askat86]

@cristalice Hey, leider kann ich dir nichts hilfreiches Berichten.

Die Probleme sind von einem Tag auf den anderen sehr viel weniger geworden und inzwischen fast ganz verschwunden. Jetzt sind es noch 1-2 Verbindungsabbrüche pro Tag, aber sonst funktioniert es wieder, so wie ganz am Anfang.

Ich hatte daher nicht den Bedarf noch weiter nach einer Lösung zu suchen.

Über die Hotline hatte ich ja keine Hilfe bekommen, aber vielleicht können dir die Techniker im wt Forum zumindest eine Hilfestellung geben, welche Änderungen hilfreich sein könnten.

 

[cristalice]

Laut Wilhelm Tel liegt das Problem bei der Fritz Box. Bei uns ist das eine 7530 AX. Die Lösung ist das Gastnetz zu verwenden - warum auch immer.. aber damit gibt es jetzt keine Probleme mehr. Hoffe das hilft noch jemandem.

 

[Stock86]

Erschließt sich mir zwar nicht so richtig, warum das die Lösung sein soll, aber Hauptsache es funktioniert.