Speedstick LTE V (Huawei E 3372) regelmäßiger disconnect

[xtrimo]

Guten Morgen,

ich suche aktuell verzweifelt nach einer Erklärung. Folgender Anwendungsfall und folgendes Problem.

Aufbau:
Ich betreibe eine TP-Link Archer C7 mit OpenWRT und Speedstick LTE V als Bezugspunkt um ein externes Netzwerk aus der Ferne warten zu können.
Der TP-Link Router stellt per NCM protokoll mit Hilfe des Speedsticks eine internet Verbindung her. Im Speedstick befindet sich eine SIM Karte von Aldi-Talk mit Datentarif für 30 Tage.
Die Verbindung baut sich beim Starten des Routers problemlos auf. Danach initiiert der Router als Client eine dauerhafte VPN Verbindung zu meinem Netzwerk, sodass ich aus meinem Netzwerk alle Gerät hinter dem TP-Link erreichen kann.
Das funktioniert wie gesagt alles sehr gut, aber als mir aufgefallen war das regelmäßig die Verbindung abbricht habe ich mit Hilfe von einem Script versucht genau festzustellen wieso, leider ohne Erfolg. Das Script überwacht per Ping zu (8.8.8.8)
die connection.

Problem:

Es ist relativ eindeutig, alle Verbindungsabbrüche sind genau nach 7:14 Stunden lediglich im Sekundenbereich weicht es minimal ab, dass kann aber auch am script liegen.
Hat jemand dafür eine Erklärung ? Aktuell weiß ich noch nicht ob nur ein Reboot hilft um einen neue Verbindung zu erzeugen oder ob ich theoretisch auch nur das Interface Neustarten könnte.
Im Syslog findet man aber keinen Fehler der den Abbruch erklären könnte.

Hier mal die letzen Abbrüche:

Spoiler: Log

Mon Mar 9 00:44:55 CET 2020 - Reboot
7:14:44Uptime
Mon Mar 9 07:59:39 CET 2020 - Reboot
7:14:48 Uptime
Mon Mar 9 15:14:27 CET 2020 - Reboot
7:14:47 Uptime
Mon Mar 9 22:29:14 CET 2020 - Reboot
7:14:45 Uptime
Tue Mar 10 05:43:59 CET 2020 - Reboot

Auszug aus Syslog:

Spoiler: Syslog

Mon Mar 9 22:31:11 2020 daemon.info dnsmasq[2206]: using nameserver 62.109.121.17#53
Mon Mar 9 22:31:11 2020 daemon.notice netifd: Network device 'vpn-heimnetzwer' link is up
Mon Mar 9 22:31:11 2020 daemon.info dnsmasq[2206]: using nameserver 62.109.121.18#53
Mon Mar 9 22:31:11 2020 daemon.notice netifd: heimnetzwerk (2866): VPNC started in foreground...
Mon Mar 9 22:35:16 2020 mail.info sSMTP[3057]: Creating SSL connection to host
Mon Mar 9 22:35:17 2020 mail.info sSMTP[3057]: SSL connection using TLS_CHACHA20_POLY1305_SHA256
Mon Mar 9 22:35:20 2020 mail.info sSMTP[3057]: Sent mail for [email protected] (221 2.0.0 closing connection k126sm1104612wme.4 - gsmtp) uid
Mon Mar 9 22:58:50 2020 daemon.info smsd[2197]: 2020-03-09 22:58:50,5, GSM1: Switched modem to use verbose result codes
Tue Mar 10 01:09:14 2020 daemon.info smsd[2197]: 2020-03-10 01:09:14,5, GSM1: Switched modem to use verbose result codes
Tue Mar 10 05:43:59 2020 mail.err sSMTP[10084]: Unable to locate smtp.gmail.com
Tue Mar 10 05:43:59 2020 mail.err sSMTP[10084]: Cannot open smtp.gmail.com:587
Tue Mar 10 05:43:59 2020 daemon.info procd: - shutdown -
Tue Mar 10 05:43:59 2020 authpriv.info dropbear[1447]: Early exit: Terminated by signal
Tue Mar 10 05:44:09 2020 user.notice dnsmasq: DNS rebinding protection is active, will discard upstream RFC1918 responses!
Tue Mar 10 05:44:09 2020 user.notice dnsmasq: Allowing 127.0.0.0/8 responses
Tue Mar 10 05:44:09 2020 daemon.err procd: unable to find /sbin/ujail: No such file or directory (-1)
Tue Mar 10 05:44:10 2020 daemon.info dnsmasq[1414]: started, version 2.80 cachesize 150
Tue Mar 10 05:44:10 2020 daemon.info dnsmasq[1414]: DNS service limited to local subnets
Tue Mar 10 05:44:10 2020 daemon.info dnsmasq[1414]: compile time options: IPv6 GNU-getopt no-DBus no-i18n no-IDN DHCP no-DHCPv6 no-Lua TFT
Tue Mar 10 05:44:10 2020 daemon.info dnsmasq[1414]: using local addresses only for domain test

 

[Micha0815]

Ohne Benennung/Erläuterung der VPN-Verbindung (Protokolle/Setting/Hardware usw.) dürfte

Danach initiiert der Router als Client eine dauerhafte VPN Verbindung zu meinem Netzwerk

doch eher nichtssagend sein.
Dunkel entsinne ich mich in Verbindung mit Fritz!Boxen (ikev1-Protokoll) von einem 8h-Problem hier im Forum gelesen zu haben.
LG

 

[xtrimo]

Ich kann das gerne genauer benennen, aber das ist eigentlich uninteressant den es bricht die LTE/Internetverbindung ab und als Konsequenz wird die VPN Verbindung natürlich auch getrennt.
Aber es geht ja darum warum nach 7:14 immer die Internetverbindung abbricht.

Zum VPN - VPNC auf dem TP-Link Router stellt per IPsec eine Verbindung zu einer Fritzbox her.

 

[Micha0815]

aber das ist eigentlich uninteressant den es bricht die LTE/Internetverbindung ab und als Konsequenz wird die VPN Verbindung natürlich auch getrennt

Die Wirkungskette könnte auch genau umgekehrt sein in der Abfolge?
VPN-Verbindung "stockt" ... kein Datenfluss ... Mobilfunkprovider trennt die Verbindung und dann müsste der TP-Link von sichaus die Verbindung als Initiator neu aufbauen.
LG

 

[xtrimo]

Ok, naja ich kann es nochmal laufen lassen ohne VPN um das auszuschließen, aber der Internetverkehr von dem TP-Link läuft eigentlich nicht über den VPN Tunnel.
Das habe ich so konfiguriert. Und mein Script pingt den google server vom TP-Link die ganze Zeit an ("ping -w 4 8.8.8.8 > /dev/null") und wenn bei 5 ping versuchen der packet loss 100% ist wird der Router neugestartet.

 

[xtrimo]

@Micha0815 - ich hätte es nicht geglaubt, aber du könntest wirklich recht haben mit dem VPN. An anderer Stelle hier im Forum wurde vor Jahren diskutiert das es eine VPN Lifetime von 8 Stunden gibt bzw. 7:12 (https://www.ip-phone-forum.de/threa...-lifetime-expired-nach-1-stunde.262169/page-4) das war sicherlich der Punkt an den du dich erinnern konntest.
In meiner Fritzbox taucht im log auch folgendes auf.

VPN-Verbindung zu TPLINK wurde getrennt. Ursache: 1 Lifetime expired

Trotzdem verstehe ich nicht wieso im selben Atemzug gleich die komplette Internetverbindung abbricht. Kannst du mir das irgendwie erklären ?

 

[Micha0815]

Wieso weiss ich nicht, da ich die Kombination TP-Link+E3372-h nicht hinreichend gut kenne. Hier in der Ferne arbeitet ein E3372-s als Tethering-Device an einer FB7390 zur heimschen FB7590 via VPN seit rd. 49h ohne Unterbrechung.
und dies mit einer 100MB-Sim von 1und1, die mittlerweile runtergetaktet ist.

LG

 

[xtrimo]

Ok, das kann ich auch noch testen. Der Stick ist ja Technisch der selbe, nur nutze ich ihn nicht als Tethering-Device sondern als "Modem" sprich mein Stick ist Non-HILink und deiner läuft mit HILink.
Und wie hast du die Fritzboxen verbunden ? Mit freetz und openvpn oder Wie ?

Denn ich hab einfach einen VPN Nutzerangelegt und dann per VPNC verbunden.

Vielleicht sollte ich auch mal "Eine VPN-Konfiguration aus einer vorhandenen VPN-Einstellungsdatei importieren" probieren evtl. hat man da mehr Möglichkeiten.
Wobei ich aktuell nicht genau weiß wo ich eine vorhandene Konfig her bekomme

 

[Micha0815]

Ich habe die FB7390 als Client eines Firmen-VPN eingerichtet.
Abschnitt aus der 7390

vpncfg {
        vpncfg_version = 1;
        connections {
                enabled = yes;
                editable = yes;
                conn_type = conntype_out;
                name = "bekannt.spdns.de";
                boxuser_id = 0;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = no;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "bekannt.spdns.de";
                keepalive_ip = 192.168.178.1;
                localid {
                        key_id = "$$$$geheim";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "$$$$geheim";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                xauth {
                        valid = yes;
                        username = "$$$$geheim";
                        passwd = "$$$$geheim";
                }
                use_cfgmode = yes;
                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
                accesslist = "permit ip any 192.168.178.0 255.255.255.0";
                app_id = 0;
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

und die FB in der heimischen 7590 als user auftaucht.
LG
P.S.: Ich sehe gerade, dass zuhause um ca. 14:00Uhr die DSL-Verbindung seitens 1und1 kurz neu verbunden wurde, was ich nichtmal bemerkt habe.
Auf der 7590 zuhause arbeitet eine ältere 7.11er FW und hier 6.80, da ich die Kombination halt seit langem als stabil kenne und auf Kurz-Reisen nur schnell die 7390 einpacke nebst 3372. Tethern kann ich je nach Netz mit dem Smartphone oder Stick.

 

[xtrimo]

Können wir auf das Thema VPN nochmal kurz eingehen.
Ich habe ja folgendes "Links" 7490 DSL eigene öffentliche IP - "Rechts" TP-Link + Speedstick allgemeine öffentliche Adresse ( kein Dyndns und Portfreigaben möglich)

Mein Ziel ist eine VPN Verbindung zwischen Links und Rechts wodurch ich von Links -> Geräte im Rechten Netzwerk warten kann. Der Internetverkehr von Rechts soll aber nicht über den VPN Tunnel laufen.

Aktuelle konfiguration:

Links -> Fernzugang für einen Benutzer einrichten -> Nutzer angelegt | Rechts -> VPNC installiert -> Zugangsdaten und Dyndns von Rechts eingetragen -> Verbindung baut sich automatisch auf trennt sich aber wegen der Lifetime nach 7:12 Stunden

-> Stand jetzt kann ich Geräte von Rechts mit Links warten aber nur wenn ich SSH Port Forwarding mache über den TP-Link Rechts
-> Verbindung bricht halt nach 7:12 ab


Deshalb meine Frage habe ich evtl. den falschen Konfigurationsansatz gewählt ?
Es gibt ja folgende Optionen in der Fritzbox

Bitte wählen Sie die Art der VPN-Verbindung, die erstellt werden soll:
1. Fernzugang für einen Benutzer einrichten
2. Ihr Heimnetz mit einem anderen FRITZ!Box-Netzwerk verbinden (LAN-LAN-Kopplung)
3. Diese FRITZ!Box mit einem Firmen-VPN verbinden
4 Eine VPN-Konfiguration aus einer vorhandenen VPN-Einstellungsdatei importieren

Problem dabei aus meiner Sicht bei Option 2-3 will er von der Gegenstelle eine IP oder einen Dyndns in den Einstellungen, den ich eben nicht habe.

Deshalb wäre es super wenn du mich da nochmal ausführlich aufklären könntest @Micha0815 denn du hast ja scheinbar eine ähnliche Konfiguration.

Viele Grüße und danke


PS.: Hab mir deine Nachrichten nochmal druchgelesen versteh ich das richtig. - Du hast in dem Server "7590 wie ich Option 1 gewählt und im Client "7390" Option 3 bzw. 4

 

[Micha0815]

Ich habe die FB7390+E3372 -vgl. #9- nach dieser Anleitung https://avm.de/service/fritzbox/fri...331_FRITZ-Box-mit-einem-Firmen-VPN-verbinden/ eingerichtet.
Auf der Server-FB 7590 taucht die FB7390 als User auf bzw. wird als selbiger eingerichtet. Da die Einrichtung schon lange her ist (auf einer 7490 vor Jahren), weiss ich nichtmehr, ob "handgeschnitzt"+Import oder via GUI.
Ich sehe hier auf der 7390 auch z.T. lifetime expired, nur bleibt der Stick verbunden bzw. verbindet sich wieder von selbst. (aktuell ca. 22h). Das Problem dürfte sein, dass ich aktiv hinter der 7390 "sitze" und genügend Aktivität durch den Tunnel sende. -Hier zwar langsam aber regelmässig den kompletten I-Netverkehr- Genau dies möchtest Du nicht. Ob das alleinige Dauergepinge aus Mobilfunkprovidersicht "Traffic" darstellt? k.A. Wenn würde ich einen Service wählen, wo Deine "7490-Links" den VPN-User auch "ernst" nimmt. Ich habe dies bei einer LAN2LAN-7490 mit Mobilfunk auf den Kanaren über kreuzweise LAN/IP-Phone-Registrierung in den Boxen realisiert neben einem Sipgate-Account. Das kostet zwar "Traffic" auf Mobilfunkseite, allerdings berechnet der dortige Provider anscheinend nur den DL, weshalb sich aus der Ferne recht komfortabel ein wenig Smarthome (DECT200) betreiben lässt. Ich verstehe nicht wirklich, weshalb Du nur von 7490-links auf Clients hinter dem TP-rechts zugreifen möchtest, sonstige und/oder diesselben Clients dann hinter dem TP-rechts den VPN-Tunnel nicht nutzen sollen fürs I-Net?
Ich kenne zwar nicht Deinen "Aldi-Tarif" insbesonders die Fast-Traffic-Rate dabei (OT: Da gab es iirc mal Day-Flats, die i.d.S. eine Monatsflat darstellten zu einem vertetbaren Preis) die Angst machen könnten, den UL des heimschen DSL-Anschlusses in die Breduille zu bringen.
Wie gesagt kenne ich den TP-Link zu wenig, um Dir einen zielführenden Tipp geben zu können, der zum Einen den VPN-Tunnel konstant am "Leben" hält und/oder eine konstante Mobilfunkverbindung/-einwahl garantiert.
Ich habe dazu auf den Kanaren einen DECT200 auf einmal/Woche (Sonntag-Nacht der Push-Mail) auf 15Min Pause/Cooldown/Reboot geproggt, da ich Nachbarn nicht ständig belästigen möchte mit ...kannste mal...
LG
P.S.: Ich würde das Ping-Script nicht auf 8.8.8.8 richten, sondern auf die 7490-links (dyndns) und auch etwas mehr Zeit (2-3Minuten) einplanen, bevor ein reboot greift. Der E3372 braucht ggfs. schonmal etwas Zeit, bis er sich u.U. wieder "berappelt neuzuverbinden". Gerade der Wechsel von 4G auf 3G/2G, was der Mobilfunkprovider durchaus mal ungewünscht auf dem Plan hat (u.U. eine SMS), könnte so ein Fall sein. Vielleicht hat sonst ein Experte hier noch andere/bessere Ideen.