Kabel Helpdesk Forum

Erfahrungsbericht Umstellung von AVM FB 6360 auf AVM FB 6490

Nachdem uns UM dazu überredet hatte, den Tarif zu aktualisieren (jetzt "Office Internet & Phone 150", vorher "Office Internet & Phone 100"), haben wir unlösbare Probleme im Zusammenhang mit der neuen Fritz!Box und unserer nachgeschalteten Technik.
Zunächst wurde uns beim Verkaufsgespräch versichert, dass sich Vor-Ort nichts ändern wird und dass wir unsere 5 statischen IPs behalten, so wie sie sind. Dies war wichtig, damit wir nicht alle nachgeschalteten Komponenten und die Gegenstellen (RZ, IPSEC, Firewalls, DNS, rDNS etc.) angepassen müssen. Dies und ein bischen mehr Upload-Rate, da war dann die Entscheidung zur Umstellung gefallen.

Der Sub-Sub-Techniker (beauftragter "Partner" von Mediacom) kam und wollte zu unserem Erstaunen die Fritz!Box tauschen. Wir ließen dies über uns ergehen, aber die Sorge größerer Veränderung bahnte sich an. Der Techniker fragte, ob wir die alten IP-Adressen behalten würden, wir sagten 'ja'. Nachdem die Box anscheinend erfolgreich provisioniert wurde verschwand er, mit dem Hinweis, wir sollten noch etwas warten, bis alles wieder funktioniert.
Zum Glück ließ er eine Visitenkarte da. Die Box war auch nach Stunden nicht über die gewohnte IP-Adresse erreichbar. Nach einem Anruf beim Techniker glichen wir die IP-Adressen ab und siehe da, neue IP-Adressen! Die erste Welle des Grolls kam nun hoch. Unzählige Anpassungsarbeiten stehen ja nun an..

Nachdem die IP-Adressen an den wichtigsten Stellen angepasst waren folgten erste Durchsatztests zwischen dieser Site und dem RZ in Düsseldorf. Der reguläre Download-Traffic blieb weit unter 100mbit und der IPSEC-Download-Traffic war praktisch nicht nutzbar. Letzterer war begleitet von regelmäßigen vollständigen Tunnelzusammenbrüchen und Reconnects.

Der direkte Betrieb mittels Notebook an der neuen Fritz!Box ("Consumer"-Rolle) war dagegen in Ordnung.

Nach einiger Zeit kamen wir auf die Idee den WAN-Port des IPSEC-Routers (LANCOM 1631E) nicht mehr mit 1.000Mbit/s, sondern nur noch mit 100Mbit/s an die Fritz!Box zu verbinden. Siehe da, eine wesentlich stabilere Verbindung, keine Abbrüche mehr bei IPSEC!

Leider herrscht immernoch eine schlechte Performance. Regulärer Download-Traffic bei etwa 80Mbit/s, IPSEC-Download-Traffic bei etwa 20Mbit/s. Gerade Letzteres ist nicht akzeptabel. Die Kappung auf 100Mbit am LAN-Anschluß macht zudem bei einem 150er Tarif nachvollziehbar keinen Sinn.

Nach vielen Tests (z.B. MTU-Analyse, RX-Drops-Fehlerstatistik am Switch, Wireshark etc.) liegt nun die Vermutung nahe, das die CPU der neuen Fritz!Box die Paketrate - insbesondere bei IPSEC - nicht bewältigen kann, schon garnicht im Gigabit-Modus. Bei einer Leerlauf-Last von ca. 72% (Was macht die Box da eigentlich die ganze Zeit? WLAN/NAS/Media ist aus..) scheint da auch nachvollziehbar nicht mehr viel Reserve für den IP-Stack zu sein. Beim IPSEC-Durchsatztest läuft die FB-CPU auf 99%. Die höhere Anzahl der verwendeten Kabelkanäle (jetzt 12x3, früher 4x4) trägt vermutlich zusätzlich zur CPU-Last bei.
Wir glauben zudem, dass hier möglicherweise auch eine grundsätzliche Unverträglichkeit zwischen AVM Fritz!Box 6490 und LANCOM 1631E im Gigabit-Modus der LAN-Ports vorliegt. Wir haben natürlich verschiedene Patch-Kabel getestet, ohne Erfolg.

Wir haben dann den LANCOM-Router in der gleichen Konfiguration (Außnahme IP-Adressen) zum Testen an einem anderen Standort (ebenfalls UM) ausprobiert und etwa 45Mbit/s IPSEC-Traffic an einem 70er Anschluß (v-max bei Normal-Traffic) erreichen können. Dort werkelt noch eine "alte" AVM Fritz!Box 6360.

In der ersten Woche haben wir zunächst auf den Techniker verzichtet, um interne Fehler ausschließen zu können. Am Montag wird er nochmal kommen und dann werden wir einem Sub-Sub Radio- u. Fernsehtechniker etwas von ICMP, MTU, RX-Drops, TCP-Retrans, CPU-Load etc. erzählen, mal schauen wie das wird.

Man kann nur noch hoffen, dass der Endgerätezwang hoffentlich bald vom Gesetzgeber verboten werden wird und gerade Business-Kunden hochwertige Endgerätetechnik, z.B. reine Modems ohne NAT/VoIP/WLAN, einsetzen dürfen. Dieser Trend zur "Eierlegendenwollmilchsau" im Routerbereich erhöht Fehlerquellen und Angriffsfläche zugleich. Dies ist unverantwortlich, insbesondere wenn dem Kunden dabei gleichzeitig die Kontroll- und Einflußmöglichkeit genommen wird (UM-Anpassungen/Abschottungen regulärer FritzOS-Firmware).

Wir werden insbesondere aus diesen Gründen auf unseren nachgeschalteten LANCOM-Router nicht verzichten.

An UM:

1.) Bei Tarif-Umstellungen ist der Kunde ehrlich über die zu erwartenden technischen Veränderungen zu informieren!

2.) Wir wollen es gerne nochmal mit einem reinen Kabelmodem testen (ohne VoIP, WLAN und NAT), oder eben zurück zur vorherigen Konfiguration (lieber stabile 100Mbit, als Probleme mit 150Mbit).



LSD1

Hallo!

Interessant! Ich habe auch von Internet & Phone 100 auf I&P 150 gewechselt. Ich "musste" die FB 6360 behalten, da es lt. Aussage der Hotline die 6490 erst ab dem 200 MBit-Tarif gibt. Ein paar Tage später hatte ich, wegen Performanceproblemen, einen Techniker an der Strippe - da habe ich gleich etwas weiter ausgequetscht, der sagte mir dass ich bloß froh sein soll keine 6490 zu haben, die gäbe es für den Tarif so oder so nicht und dass bei den 200Mbit-Tarifen wäre das größte Chaos, weil die Box einfach nicht richtig will und bei vielen auch der Datendurchsatz nur bei 60-80 Mbit/s liegt.

Ich habe eine statische IP und habe diese auch behalten.

Ist zwar keine schöne Info, aber vielleicht ein bisschen nützlich.

Gruß
Mike

_________________
b2b-staticip1_150000_10000_ipv4_sip_wifi-on.bin

Interessanter Hinweis.

Wir haben den Techniker-Termin auf Mittwoch verschoben. Sollte sich da dann abzeichnen, dass der nur "axelzuckend" danebensteht, werden wir versuchen den neuen Tarif zu stornieren und wieder die AVM FB 6360 für 100mbit/4x4 provisionieren zu lassen.

Es kann doch nicht sein, dass man dem Kunden Abschlußtechnik aufzwingt, welche bei vielleicht 6.000 pkts/s in die Knie geht. Das ist ein Schuß in Dasselbige. Was soll ich dann mit der Bandbreite?

Bei IPSEC verdoppelt sich die Paketrate mal eben, wenn der Router mit den üblichen 1500er MTU beschickt wird (Fragmentierung). Dies liegt daran, dass der notwendige Overhead von IPSEC die mögliche Nutzlast um 100 Bytes reduziert (d.h. MTU 1400) und somit die 1500 Bytes auf zwei Pakete verteilt werden müssen.
Man muss also nicht nur die Last der maximalen Bandbreite bei einer klassischen MTU von 1500 sehen, sondern auch Reserven haben mit einer wesentlich höheren Paketzahl fertig zu werden. Wo diese Reserven bei einer Grundlast der FB 6490 von 72% dann sein sollen, erschließt sich mir nicht.

Auch die Lancom Router kommen bei IPSEC an ihre Grenzen, nur liegen die um einiges höher.

Bei einem 150er Anschluß schätze ich die zu verarbeitende Paketzahl bei IPSEC mit Fragmentierung auf etwa 22.000 pkts/s. Bei einer normalen Verbindung, also einer MTU von 1500, wären das etwas über 12.000 pkts/s.

Ich möchte allerdings auch immer noch nicht ausschließen, dass die LAN-Ports der neuen FB endgeräteabhängig nicht richtig mitspielen. Möglicherweise ist der Treiber so schlecht, dass es bei bestimmten verbraucherseitigen Endgeräten zu einer Vielzahl von Wiederholungen kommt, welche sich an der FB-CPU natürlich ebenfalls als (extrem) erhöhte Paketzahl bemerkbar machen.

Wir werden heute nochmal einen Switch zwischen FB und Lancom klemmen und den Traffic dazwischen analysieren.

Ich habe eigentlich keine Zeit dafür, Unitmedia!


LSD1

Hallo LSD1,

es macht keinen Sinn an dieser Stelle UM in irgendeiner Weise wiederholt direkt "anzusprechen".

Hier wird nie irgendeine Stellungnahme oder Antwort seitens Unitymedia erscheinen.
Da müsstest Du Dich offizieller Kanäle bedienen.

Du befindest Dich in einem rein privaten Forum ohne jegliche Beziehung zu Unitymedia.

Wenn Dir User und Member mit Rat und Tat zur Seite stehen können,
werden sie das natürlich gerne tun.

Danke für den Hinweis! Ich erwarte hier keine direkte Hilfe von offiziellen UM-Mitarbeitern, auch wenn es vielleicht so schien.

Ich gehe jedoch davon aus, dass hier mehr UM-Mitarbeiter mitlesen, als man vielleicht denkt.

Ich würde das an deren Stelle jedenfalls tun...

So, der Techniker war gerade da.


Nach unserer Schilderung der Lage, ergeben sich folgende Fakten:

a) Solange die Fritz!Box mit einem normalen Endgerät (PC, Laptop) im erwarteten Rahmen funktioniert, ist es kein Problem des Mediacom-Technikers mehr.

b) Es liegt eine Störung bei einem der eigentlich 4 Upload-Kanäle vor. Dies steht aber wohl nicht im Zusammenhang mit unserem Problem.

c) Die CPU-Anzeige, welche im Leerlauf 72% zeigt, arbeitet angeblich nicht korrekt. Es soll mehr Leistung zur Verfügung stehen, als hier angenommen.


Die Sache geht nun zum UM-Business-Team. Dort wird geprüft, ob nun

a) das Gerät (FB6490) getauscht wird,

b) ein gänzlich anderes Gerät (Modell) geliefert wird,

c) das alte Gerät (FB6360) mit dem neuen Tarif wiederverwendet wird,

d) das alte Gerät (FB6360) mit dem vorherigen Tarif wiederverwendet wird.


Wenn es also kein Leistungsproblem der Fritz!Box 6490 ist, bleibt nur noch eine Unverträglichkeit der LAN-Ports mit unserem nachgeschalteten LANCOM1631E. Wir wollen jetzt allerdings nicht unbedingt unsere Technik wegen eines Tarifwechsels ändern.

Es wurde auch nochmal die freie Wahl der Abschlußgeräte besprochen. Der Techniker machte hier zurecht nocheinmal deutlich, dass beim Kabelsystem, wo der gesamte Traffic des Clusters an jedem Abschlußgerät anliegt, ein berechtigtes Sicherheitsinteresse des Kabelbetreibers vorliegt, nur eigene Geräte zuzulassen. Ungeprüfte Fremdgeräte könnten den nicht für einen selbst bestimmten Traffic abfangen und widerrechtlich auswerten, vielleicht sogar verändern. Dies wäre ganz nicht im Interesse der Kunden. Insofern muss ich meinen emotionsgeladenen Rant im ersten Beitrag wohl relativieren!

LSD1

Soso, es geht nicht nur uns so:

http://www.unitymediakabelbwforum.de/vi ... 90&t=31042

Im Prinzip haben wir das gleiche Problem. Bei Anschluß eines anderen Routers (hier Lancom 1631E) gibt's extreme Verluste im Gigabit-Modus, welcher unser IPSEC bis zur Unbenutzbarkeit verstümmelt (mit Reconnects).

Einzig der 100-mbit-Modus der Fritz!Box-LAN-Ports lindert die Probleme, beseitigt sie jedoch nicht gänzlich, da IPSEC deutlich zu langsam ist.

LSD1

UM hat sich seit dem letzten Technikereinsatz vom letzten Mittwoch nicht wieder bei uns gemeldet. Wir haben weiter recherchiert und dabei die Möglichkeit entdeckt, den Bridge-Modus für bestimmte Ports aktivieren zu können. Dies haben wir für LAN2 getan.

Dort angeschlossene Geräte bekommen nun eine öffentliche IP-Adresse von UM per DHCP konfiguriert, welche allerdings vom zugeteilten statischen IP-Netz abweicht. Sie funktioniert, bietet aber mit direkt angeschlossenem Laptop anscheinend geringeren Durchsatz (etwa 2/3 der 150Mbit/s). Der IPSEC-Durchsatz dagegen hat sich aber praktisch verdoppelt! Wir können jetzt gut 45Mbit/s IPSEC machen (vorher ca. 22,5Mbit/s). Dies entspricht exakt dem Niveau der AVM Fritz!Box 6360 und dies ist nachvollziehbar: Diese arbeitete vor dem Wechsel ebenfalls im Bridge-Modus, allerdings von Anfang an (z.B. kein WLAN, kennt man ja). Damit wäre der IPSEC-Durchsatzunterschied der beiden Boxen aufgeklärt!

Was nun noch übrig bleibt, ist der grundsätzliche Verlußt von 1/3 des möglichen Durchsatzes im Vergleich zu einem direkt angeschlossenen Laptop. Oder vielleicht besser gesagt: Die scheinbare Drosselung auf ca. 85-95Mbit/s (schwankend). Wenn man so drüber nachdenkt, ist es das gleiche Bild, wie beim vorherigen Tarif (100Mbit/s) mit der AVM Fritz!Box 6360, nur war es da nie aufgefallen, wegen der Nähe zur Nennbandbreite. Hätten wir diesen Verlußt nicht, wäre sicher auch der (empfindlichere) IPSEC-Traffic nicht so stark gegenüber der Klartextbandbreite reduziert.

Auch müssen wir noch schauen, ob die statischen IP-Adressen über den Bridge-Modus noch erreichbar sind oder ob wir über den Lancom-Router nun beide Wege abbilden müssen (Dual-Uplink, -routed- für Server-Dienste und -bridged- für IPSEC).

LSD1

Wir glauben den Grund für den (TCP-)Durchsatzverlusst in Verbindung mit der LANCOM 1631E erkannt zu haben:

Laut dem Gerätestatus des LANCOM-Routers wird zwischen dem LAN-Port der AVM Fritz!Box (z.B. 6360 und 6490) und dem WAN-Port des LANCOM eine L2-Flußsteuerung ausgehandelt. Dies ist für die TCP-eigene Flußsteuerung ein großes Problem. Hier kann man das nachlesen:

http://virtualthreads.blogspot.de/2006/ ... ntrol.html

Kurz gesagt: Durch die aktive L2-Flußsteuerung wird die TCP-Flußsteuerung so lange über Überlastprobleme im Dunkeln gehalten, bis es zur Eskalation (Buffer Overlows/Packet Drops) kommt. Widersinnigerweise beschleunigt TCP den Durchsatz bei tatsächlichen Überlastproblemen, da ja scheinbar keine Probleme bestehen und forciert so den finalen Abbruch des Packet Flows.

Wir haben bei LANCOM ein Ticket eröffnet, da wir keine Einstellung zur Flußsteuerung beim Router finden können.

LSD1

Auch sehr interessant dazu:

https://help.ubuntu.com/community/Ubunt ... lowControl

Siehe unten auf der Seite, "Benchmarks".

Gerade bei Gigabit-Links ist L2-Flow Control wohl echtes Gift!


LSD1

Wir hatten am Wochenende bei LANCOM, als auch AVM, ein Ticket zum Thema L2-Flußkontrolle bei TCP geöffnet. Noch keine Antwort bisher.

Uns erreichte am Donnerstag die August-Rechnung, mit bösem Erwachen. Wir sollten nun über EUR 200,- bezahlen. Keine Spur mehr von dem vereinbarten Sonderkonditionen, zum gleichen Preis auf den neuen mittleren Tarif umgestellt zu werden. Die Rechnung wies einen Neuanschluß (EUR 79,90 Aktivierung), eine nunmehr höhere Grundgebühr (+ EUR 10,00) und einen vierfachen Preis für die zusätzlichen 4 statischen IPs (EUR 39,60 statt EUR 9,90) auf. Gerade letzteren Punkt hatten wir im ersten Verkaufsgespräch besonders hervorgehoben (mit Hinweis auf die UM-Website). Es wurde versichert das alles so bleiben würde. Das hat wohl nicht geklappt. Diese Vereinbarung wurde so nicht in den Computer eingetragen, teilte man uns am Donnerstag mit.

Es steht nun ein monatlicher Mehrpreis von EUR 47,43 zur Debatte.

Die nette Dame der kaufm. Hotline sagte am Donnerstag, dass bis auf die Aktivierungsgebühr alles in Ordnung sei. Die zusätzlichen IPs kosten nunmal EUR 39,60. Sie bot uns nun an, auf den "alten" 150er Tarif umzusteigen, wo die zusätzlichen IPs nur EUR 9,90 kosteten. Dort jedoch lag die Grundgebühr um EUR 23,80 höher.

Ich hatte das ursprüngliche Lockangebot jedoch als E-Mail vorliegen und konnte den Namen der Person nennen. EUR 70,97 für das neue Paket (vorher EUR 71,16), nicht mehr. Leider konnte sie diese Konditionen nicht buchen und schlug vor, die alte Fritz!Box wieder anzuschließen und den Tarifwechsel zu stornieren, inkl. Gutschriften. JA, bitte!

Spätestens am nächsten Morgen (Freitag) sollte die Box neu provisioniert sein. Dies klappte aber nicht. UM hat es den ganzen Tag über nicht geschafft, die Sache wieder in Ordnung zu bringen. Nach mehrmaligem Anrufen stellte sich heraus, dass UM wohl Probleme hatte, die Konfigurationsdatei einzuspielen. Wir sollten zudem auch nochmal die Seriennummer und MAC-Adresse bestätigen.

Also Notfallplan wollte man uns dann eine neue Kundennummer geben, mit neuer Konfiguration. Inzwischen, die Box einfach mal neu gestartet, kam aber zumindest eine Internet-Verbindung (mit zufälliger IP-Adresse) zustande und wir konnten spontan mit einer SIPGATE-VoIP-Nummer aushelfen, damit UM sich das mit dem Notfallplan fürs Wochenende sparen kann.

Am Montag wurde die 6360 dann teilweise (!) neu provisioniert. Vorheriger IP-Satz, aber keine Telefonie. Früher standen die VoIP-Anmeldedaten einmal im Kundencenter, mittlerweile wohl nicht mehr. Ein Mitarbeiter der Businesshotline konnte die Anmeldedaten nach langem Wühlen ermitteln und gab sie per Telefon durch.

Inzwischen haben wir übrigens wieder den gewohnten IPSEC-Durchsatz von 45-50 Mbit/s.

Wir werden weiter dran bleiben, den Aspekt von TCP-Durchsatzschwäche bei aktivierter L2-Flußsteuerung zu klären. UDP läuft dagegen übrigens auffällig auf Nennbandbreite.

Pro Tipp: Niemals, aber auch niemals, auf Telefonanrufe zu Tarifänderungen reagieren, einfach auflegen! Wenn es was Neues gibt, besser selbst da anrufen und verhandeln, Zusagen nur nach schriftlicher Bestätigung aller Leistungsmerkmale!


LSD1

AVM hat geantwortet.

Hier zunächst unsere Anfrage:


Hier deren Antwort vom gestrigen Tag:


Ob dieser Sachverhalt nun auch an die Entwicklung weitergereicht wurde, ist uns nicht bekannt.

LANCOM hat noch nicht geantwortet.

Unitymedia hat noch nicht geantwortet.

"Service-Wüste Deutschland", mehr kann man dazu nicht mehr sagen.


LSD1

Inzwischen haben wir selbst die Funktion zur Beeinflussung der L2-Flusskontrolle beim LANCOM-Router gefunden:

LCOS-Menübaum
-Schnittstellen
--Ethernet-Ports
---WAN
----Flusssteuerung

Der "LCOS-Menübaum" faßt nochmals alle Einstellungen des regulären Web-Konfigurationsmenüs zusammen, hat aber im Detail offensichtlich hier und da mehr Optionen.

Wenn eine Seite kein L2-FlowControl macht, kommt diese nicht zustande.

Leider können wir mit dieser neuen Einstellung keinen realistischen Test (Gigabit-Link und 150Mbit/s-Tarif) machen, da unser Tarif ja bereits wieder heruntergestuft wurde und wir unglücklicherweise derzeit hohes Ingress haben (nutzbarer Durchsatz max. etwa 60Mbit/s unter optimalen Bedingungen, wie z.B. Laptop direkt an FB, ohne L2-Flußsteuerung). Wir haben daher eine relativ starke Streuung der Ergebnisse bei speedtest.net u. speedtest-1.unitymedia.net.

Interessanterweise nutzt die 6360 derzeit nur 4x3 (4 Downlink, 3 Uplink; früher einmal 4x4) Trägerfrequenzen und vielleicht waren es mit der 6490 auch gänzlich andere (freiere) Trägerfrequenzen? Wir hatten das jetzt leider nicht dokumentiert...

Trotz der noch bestehenden Widrigkeiten haben wir wieder hohes IPSEC-Durchsatzniveau und dies ist für uns das Wichtigste.


LSD1

Vielen Dank für diesen Beitrag.

Die IPSEC-Probleme haben mich schon zur Verzweiflung getrieben.
An sowas denkt doch keiner.

Nun habe ich den LANCOM-Switch-Port auf feste 100MBit, Vollduplex gestellt und siehe da, der Tunnel bleibt bestehen.
Komischerweise hat nur das einstellen der Fritzbox auf 100MBit nicht geholfen.
Alles andere, wie evtl. Geschwindigkeitseinbußen interessieren mich erst einmal nicht.


Danke, das Wochenende ist gerettet.

Gruss
Thomas