VPN-Verbindung wird neuerdings nicht mehr aufgebaut

[Eric]

Ich habe seit geraumer Zeit mehr und mehr Probleme mit meiner einstmals gut laufenden VPN-Verbindung. Ein Verbindungsaufbau kommt nur noch selten zu Stande, dann aber auch so, dass ein Arbeiten kaum möglich ist. Manchmal erreichen nicht mal die Hälfte der Ping Pakete ihr Ziel. Jetzt aber gelingt es mir neuerdings so gut wie gar nicht mehr eine Verbindung auf zu bauen.

Im Log steht dazu folgendes:

Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [da8e937880010000]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: received Vendor ID payload [RFC 3947]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: received Vendor ID payload [Dead Peer Detection]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [NCP Client]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [c61baca1f1a60cc11500000000000000]
Feb 10 12:48:27 intranator pluto[2356]: packet from 141.30.202.51:500: ignoring Vendor ID payload [FRAGMENTATION c0000000]
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: responding to Main Mode from unknown peer 141.30.202.51
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: NAT-Traversal: Result using RFC 3947: peer is NATed
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: ignoring informational payload, type IPSEC_INITIAL_CONTACT
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: Peer ID is ID_DER_ASN1_DN: 'C=DE, O=HYDRO-AIR, CN=EricT61p'
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: issuer cacert not found
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: X.509 certificate rejected
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51 #464: we have a cert and are sending it
Feb 10 12:48:27 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: sent MR3, ISAKMP SA established
Feb 10 12:48:37 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 12:48:41 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 12:48:46 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: discarding duplicate packet -- exhausted retransmission; already STATE_MAIN_R3
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPINFORM from 192.168.0.184
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPINFORM from 192.168.0.181
Feb 10 12:48:49 intranator dhcpd: DHCPINFORM from 192.168.0.181
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via eth0
Feb 10 12:48:49 intranator dhcpd: DHCPDISCOVER from e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPOFFER on 192.168.0.200 to e1:6c:d6:ae:52:90 via 192.168.0.170
Feb 10 12:48:49 intranator dhcpd: DHCPINFORM from 192.168.0.180
Feb 10 12:48:49 intranator dhcpd: DHCPINFORM from 192.168.0.180
Feb 10 12:48:50 intranator kernel: DENY IN=eth1 OUT= MAC=01:00:5e:00:00:01:00:1a:4f:76:4f:e6:08:00 SRC=192.168.0.249 DST=224.0.0.1 LEN=36 TOS=0x00 PREC=0x80 TTL=1 ID=3116 DF PROTO=2
Feb 10 12:48:52 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: next payload type of ISAKMP Hash Payload has an unknown value: 116
Feb 10 12:48:52 intranator pluto[2356]: "C6"[2] 141.30.202.51:4500 #464: malformed payload in packet
Feb 10 12:48:57 intranator lmtpunix[6259]: Delivered: <cmu-lmtpd-6259-1234266537-0@intranator.ha.intern> to mailbox: user.cyrus

Ich war immer der Meinung, dass es an der Verbindung liegt, da an Anderen Stellen oft Problemlos die VPN-Verbindung aufgebaut wird.
Doch wenn ich das nun zusätzlich noch über eine UMTS-Verbindung teste komme ich wieder an genau diesen Punkt. Von Vodafone ist mir zumindest nicht bekannt, dass VPN-Passthrough nicht unterstützt wird.

Für ihre Hilfe oder Denkanstöße wäre ich sehr dankbar.

MfG Eric

[Thomas Jarosch]

Hallo,

Ich war immer der Meinung, dass es an der Verbindung liegt, da an Anderen Stellen oft Problemlos die VPN-Verbindung aufgebaut wird.
Doch wenn ich das nun zusätzlich noch über eine UMTS-Verbindung teste komme ich wieder an genau diesen Punkt. Von Vodafone ist mir zumindest nicht bekannt, dass VPN-Passthrough nicht unterstützt wird.

Danke für den Logauszug. Von der Intranator Seite her sieht alles gut aus. Es gibt zwar 2x Retransmissions, aber bei einer UMTS Verbindung ist das zu erwarten. Ist in der Client-Logdatei etwas auffälliges zu sehen? Irgendwo müssen die Daten ja verloren gehen. Vielleicht blockiert eine Firewall auf dem Weg (am Client?) z.B. wichtige ICMP-Pakete.

Herzliche Grüsse,
Thomas Jarosch

[Eric]

Vielen Dan nochmals, leider lag der Fehler wohl an mir.

Ich muss Entwarnung geben. Scheinbar war der Router falsch konfiguriert. Der Router kam nciht damit klar, das ich die VPN-Ports auf meinen Rechner umleiten ließ. Ohne Port Forwarding lief wieder alles.
Zwar erklärt das noch nicht, wieso ich über UMTS zwar zu den Lancom Geräten eine Verbindung aufbauen kann und zum Intranator nicht, aber so lässt sich wenigstens wieder arbeiten. Ich schau eben nochmal in das Log-File der UMTS Verbindung.



MfG Eric

[Eric]

Der erste Log-Auszug war noch bei der hier vorliegenden Standleitung.

Hier nun der Auszug für die UMTS-Verbindung:
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [da8e937880010000]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [RFC 3947]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [Dead Peer Detection]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [NCP Client]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [c61baca1f1a60cc11500000000000000]
Feb 10 17:28:11 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [FRAGMENTATION c0000000]
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: responding to Main Mode from unknown peer 90.186.11.21
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:11 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: NAT-Traversal: Result using RFC 3947: peer is NATed
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: ignoring informational payload, type IPSEC_INITIAL_CONTACT
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: Peer ID is ID_DER_ASN1_DN: 'C=DE, O=HYDRO-AIR, CN=EricT61p'
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: issuer cacert not found
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: X.509 certificate rejected
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21 #505: we have a cert and are sending it
Feb 10 17:28:12 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: sent MR3, ISAKMP SA established
Feb 10 17:28:21 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 17:28:25 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 17:28:30 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: discarding duplicate packet -- exhausted retransmission; already STATE_MAIN_R3
Feb 10 17:28:36 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: next payload type of ISAKMP Hash Payload has an unknown value: 219
Feb 10 17:28:36 intranator pluto[2356]: "C13"[8] 90.186.11.21:4500 #505: malformed payload in packet
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [da8e937880010000]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [RFC 3947]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: received Vendor ID payload [Dead Peer Detection]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [NCP Client]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [c61baca1f1a60cc11500000000000000]
Feb 10 17:28:42 intranator pluto[2356]: packet from 90.186.11.21:500: ignoring Vendor ID payload [FRAGMENTATION c0000000]
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: responding to Main Mode from unknown peer 90.186.11.21
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1024] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (256), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_SHA, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Oakley Transform [OAKLEY_AES_CBC (192), OAKLEY_MD5, OAKLEY_GROUP_MODP1536] refused due to strict flag
Feb 10 17:28:42 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: NAT-Traversal: Result using RFC 3947: peer is NATed
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: ignoring informational payload, type IPSEC_INITIAL_CONTACT
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: Peer ID is ID_DER_ASN1_DN: 'C=DE, O=HYDRO-AIR, CN=EricT61p'
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: issuer cacert not found
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: X.509 certificate rejected
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21 #506: we have a cert and are sending it
Feb 10 17:28:43 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: sent MR3, ISAKMP SA established
Feb 10 17:28:52 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 17:28:56 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: retransmitting in response to duplicate packet; already STATE_MAIN_R3
Feb 10 17:28:57 intranator lmtpunix[16340]: Delivered: <cmu-lmtpd-16340-1234283337-0@intranator.ha.intern> to mailbox: user.cyrus
Feb 10 17:29:01 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: discarding duplicate packet -- exhausted retransmission; already STATE_MAIN_R3
Feb 10 17:29:08 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: next payload type of ISAKMP Hash Payload has an unknown value: 196
Feb 10 17:29:08 intranator pluto[2356]: "C13"[9] 90.186.11.21:4500 #506: malformed payload in packet


Hier der Auszug vom NCP-Client:

10.02.2009 17:28:40IPSec: Start building connection
10.02.2009 17:28:40Ike: Outgoing connect request MAIN mode - gateway=80.152.197.157 : HYDRO-AIR
10.02.2009 17:28:40Ike: XMIT_MSG1_MAIN - HYDRO-AIR
10.02.2009 17:28:40Ike: RECV_MSG2_MAIN - HYDRO-AIR
10.02.2009 17:28:40Ike: IKE phase I: Setting LifeTime to 28800 seconds
10.02.2009 17:28:40Ike: IkeSa negotiated with the following properties -
10.02.2009 17:28:40 Authentication=RSA_SIGNATURES,Encryption=AES,Hash= SHA,DHGroup=5,KeyLen=128
10.02.2009 17:28:40Ike: HYDRO-AIR ->Support for NAT-T version - 9
10.02.2009 17:28:40Ike: XMIT_MSG3_MAIN - HYDRO-AIR
10.02.2009 17:28:40IPSec: Final Tunnel EndPoint is:080.152.197.157
10.02.2009 17:28:40Ike: RECV_MSG4_MAIN - HYDRO-AIR
10.02.2009 17:28:40Ike: Turning on NATD mode - HYDRO-AIR - 1
10.02.2009 17:28:40Ike: XMIT_MSG5_MAIN - HYDRO-AIR
10.02.2009 17:28:41Ike: XMIT_MSG5_MAIN_RESUME - HYDRO-AIR
10.02.2009 17:29:05ERROR - 4023: IKE(phase1):Lost contact to Gateway (No Response) in state <Wait for Message 6> - HYDRO-AIR.
10.02.2009 17:29:05Ike: phase1:name(HYDRO-AIR) - error - retry timeout - max retries
10.02.2009 17:29:05IPSec: AUTOMEDIA DETECT - Tried all avaliable media types
10.02.2009 17:29:05IPSec: Disconnected from HYDRO-AIR on channel 1.

Die Windows Firewall ist dabei aus.
Zum Einsatz kommt hier nen Windows Mobile Gerät mit Win Mobile 6.1 als UMTS Modem.

Ich wüsste nicht, was noch zwischen den Partnern hängen könnte um die Verbindung zu unterbrechen.

Die Lancom Geräte, bei denen die Verbindung zu Stande kommt, arbeiten im Gegensatz zum Intranator mit PreShared Key, haben aber sonst ebenfalls einen T-DSL Business Anschluss mit statischer IP.

MfG Eric

[Gerd von Egidy]

Hallo,

den Meldungen des Intranators kann man entnehmen, daß der Intranator das letzte Paket der Phase 1 zwar versendet, es aber bei dem Client nicht ankommt.

Ich glaube nicht, daß es etwas mit PSK oder Zertifikaten zu tun hat, da ja nicht die Authentifizierung das Problem ist, sondern der Versand der Pakete.

Ich könnte mir vorstellen, daß z.B. die MTU bei Ihrer Internetverbindung falsch eingestellt ist. Sie können ja mal versuchen, die MTU im Intranator auf einen extrem niedrigen Wert (z.B. 1200) zu stellen (Menü Netzwerk > Provider > Profile : Einstellungen). Klappt es dann?

Herzliche Grüße,

v. Egidy

[Eric]

Kann das Problem auch auf Seiten von Vodafone liegen?

Zwei VPN Verbindungen stehen bereits mit dem Intranator 24/7 wirklich zuverlässig. Allerdings auch wieder zu zwei Lancom Routern.

MTU umstellen mache ich sobald als möglich, im Moment macht unser Server unerwartet Probleme.

MfG Eric

[bjoerns]

Hallo,

dann geben Sie bescheid sobald Sie die MTU umgestellt haben.

MFG Björn

[Eric]

Nochmals vielen Dank.

Habe den MTU-Wert auf 1300 gesetzt, was vorerst zu funktionieren scheint.
Da es mir in dem Bereich an Erfahrung fehlt, würde mir ihre Meinung zu dieser Einstellung was Sicherheit geben.

Thx Eric

[Gerd von Egidy]

Hallo,

die MTU runterzudrehen ist eigentlich nur eine Notlösung. Aber daß es etwas hilft bedeutet, daß irgendein Gerät zwischen dem Client und dem Intranator sich nicht an die IP-Standards hält.

Das Problem ist, daß Pakete, die zu groß für die Leitung sind, nicht mit der dafür vorgesehenen Fehlermeldung (ICMP destination unreachable: fragmentation required) beantwortet werden. Oder diese Meldung wird erzeugt, kann aber beim Absender nicht empfangen werden. Die Ursache sind typischerweise falsch konfigurierte Router oder Firewalls.

Ist vor dem Intranator noch ein Router oder eine Firewall?

Herzliche Grüße,

v. Egidy