Dual-Stack Lite: VPN-Probleme via MTU-Wert lösen

Viele Kabel- und Internet-Anbieter setzten derzeit auf das Dual-Stack-Lite-System, um nicht mehr jedem Anwender eine eindeutige IPv4-Adresse zuordnen zu müssen. Mittels geteilten IPv4-Adressen und eindeutigen IPv6-Adressen ist die Nutzung des Internets quasi genauso möglich wie mit einer herkömmlichen eindeutigen IPv4-Adresse.

Etwas schwieriger ist das Unterfangen, wenn der Anwender auf speziellere Lösungen wie eine VPN-Verbindung zurückgreifen muss. VPN-Verbindungen werden genutzt um sichere Verbindungen zwischen zwei Punkten im Netzwerk zu erstellen. Häufigster Einsatzzweck ist das klassische Home Office mit einer sicheren Verbindung zum Arbeitgeber oder auch eine sichere Verbindung in ein Universitäts-Netzwerk, um auf interne Ressource zurückgreifen zu können.

Mittels teuren Business-Paketen können die Internetanbieter die Kunden, welche auf VPN-Verbindungen angewiesen sind, zusätzliche Gebühren abverlangen. In vielen Fällen reicht allerdings bereits die Reduzierung des MTU-Werts bei der VPN-Verbindung, um diese stabil zum Laufen zu bringen.
Der MTU-Wert (Maximum Transmission Unit) bestimmt, wie groß das genutzte Protokoll der Vermittlungsschicht inklusive des Sicherungsthreads ausfallen darf. Der Standardwert bei Ethernet-Verbindungen liegt bei 1.500, bei PPPoE-Verbindungen bei 1492.

Das Problem bei der Verwendung von IPv6-Adressen ist, dass die Header der Vermittlungsschicht 40 Bytes groß sind, durch das Dual-Stack-Lite-System die VPN-Verbindung allerdings von einer IPv4-Adresse mit nur 20 Bytes ausgeht. Dies führt dazu, dass 20 Bytes verloren gehen. Dies wiederum hat zur Folge, dass eine VPN-Verbindung in einigen Fällen zwar aufgebaut werden kann, Daten allerdings nicht komplett bei der Gegenstelle ankommen oder nicht interpretiert werden können.

Mittels der Begrenzung des MTU-Wertes auf einen manuell festgelegten Wert unterhalb des maximalen MTU-Wertes des eigenen Anschlusses lässt sich dieses Problem einfach umgehen.

Einen ersten Eindruck ob der MTU-Wert reduziert werden muss, gibt der TPC-Analyser der Website SpeedGuide.net.

• SpeedGuide.net

Sollte der MTU-Wert nicht für Breitband optimiert sein, hat sich bei uns ein MTU-Wert von 1.300 bis 1.432 als nutzbar herausgestellt. Mit einem MTU-Wert von 1.300 sollten auch Dual-Stack-Lite-Nutzer eine vernünftige VPN-Verbindung realisiert bekommen.

Bei der Verbindung via OpenVPN lässt sich der MTU-Wert mittels Befehl in der Konfigurationsdatei einfach selbst einstellen:

link-mtu 1300

Dies dürfte bei den meisten Anwendern das Problem einer nicht funktionierenden VPN-Verbindung beheben, ganz ohne teuren Business-Anschluss. Das Problem der nicht Erreichbarkeit von einzelnen Ports über die IPv4-Adresse wird mit dem MTU-Wert bei Dual-Stack-Lite-Anschlüssen allerdings nicht behoben.

(Bild: Zu kleiner MTU-Standardwert eines Dual-Stack-Lite-Anschlusses)