IPSec over L2TP via UMTS scheitert

[diaboliksymphony]

Hallo!

Ich arbeite für einen Mobilfunk- und Festnetzprovider. Im Rahmen meiner Arbeit habe ich nun schon zum dritten oder vierten Mal folgendes Problem auf den Tisch bekommen, welches ich einfach nicht zu lösen weiß.

Ein Kunde hat ein NetBook der neueren Generation. Hersteller egal. Betriebssystem ist XP SP3 mit den aktuellen Patches.

Nun möchte sich der Kunde mit diesem NetBook in sein VPN einwählen, welches wir für ihn betreiben. Wir bieten hier eine Lösung mittels IPSec-Tunnel over L2TP (mit MaschinenZertifkat). Das funktioniert seit Jahren super. Nun kommt aber UMTS immer mehr in Mode und da setzt mein Problem ein/an.

So lange der Kunde sich mit seinem NetBook via DSL einwählt, funktioniert das einwandfrei. Tut er das aber auf dem selben NetBook via UMTS, kommt der IPSec-Tunnel nicht zustande. Im Oakley.log sieht man dann direkt beim ersten zu sendenden Paket die Fehlermeldung "WSASendTo error 10004".

Nun habe ich mich schon mal ein bißchen belesen. 10004 = WSACancelBlockingCall. Was ich wiederum so interpretiere, dass die Methode WSASendTo hier keine Datenpakete (Blocks) erstellen oder senden darf. Mir ist nur nicht klar warum. Was kann hier das Zünglein an der Waage sein?

Die Firewall ist aus. Der Virenscanner ist aus. In der Firewall sind, obwohl sie aus ist, die Ports 500 und 4500 UDP freigegeben. Unser VPN-Einwahl-System ist via Ping über die UMTS-Verbindung erreichbar. Ein Wireshark-Trace zeigt, dass die Pakete den TCP/IP-Stack auf jeden Fall passieren, denn sonst könnte ich sie ja dort nicht "sehen", oder? Es kommt aber nicht einmal eine ICMP-Fehlermeldung oder ähnliches herein, was ich so deute, dass die Pakete den Rechner nicht verlassen. An unserem UMTS-APN kann es auch nicht liegen, denn mit der selben UMTS-Karte und dem selben UMTS-Stick funktioniert die Einwahl auf einem handelsüblichen NoteBook. Nur bei NetBooks scheint es irgendwo zu klemmen. Aber wo?

Hat irgendwer eine Idee, wo's klemmen könnte? Hat irgendwer eventuell sogar schon die gleiche Erfahrung gemacht und eine Lösung parat? Ich lege mir hier die Karten und wüßte auch nicht, wie man das ganze noch weiter eingrenzen könnte. Tiefer als Oakley.log und WireShark-Trace kann man doch schon nicht mehr gehen...

Hilfe!!!

Bearbeitet 8. September 2010 von diaboliksymphony

[RipperFox]

Ich glaube die Fehlermeldung ist relativ generisch und hilft nicht viel..

Schau mal hier nach Lösungsansätzen: www.spenneberg.com :: Kein Tunnel von XP zu FreeSwan unter Linux

Grüße

Ripper

[ardcore]

Oakley.log löschen. Trace anwerfen. Verbindungsaufbau initiieren.

Anschliessend das Log und den Trace vollständig hier posten.

Mit Bruchstücken ist es immer schwer sich ein Bild zu machen.

[Crash2001]

@diaboliksymphony:

Eventuell sind die entsprechenden Ports einfach vom Mobilfunkprovider aus blockiert. Ich habe schon mehrfach gehört, dass bei einigen Anbietern Ports geblockt werden. Ob diese darunter fallen, weiss ich jedoch nicht.

Oder könnte das Problem evtl die Nutzung einer IP-Adresse aus dem 10.0.0.0/8-Bereich sein, wie dies in UMTS-Netzen Standard ist?

Mit deinem wenigen Input kann man eigentlich nicht viel mehr als raten bisher.