Timeouts über Wireguard Tunnel

[lovechan]

Hallo zusammen,

ich habe ein VPN über Wireguard zwischen einem VPS und OPNsense.

Der VPS dient als "Exit Node" Richtung Internet für diverse Clients.
Die jeweiligen Clients werden mithilfe eine Regel auf der OPNsense durch den Tunnel geleitet.

Ich habe auf einem dieser Clients zwei Python Applikation laufen, die diverse API Calls machen. Eine davon rennt zu 99% der Lautzeit in einen TimeOut. Aber auch beim deployen ist es nicht möglich Python Libraries zu installieren (Timeout zu Pypi.org - ReadTimeOutError)
Bei der anderen funktionieren die API calls zu 75% (allerdings ein anderes Ziel)

So jetzt ist die große Frage, wie ich den Fehler finden kann - habe keine Idee mehr.

• Pings (zu pypi) laufen ohne Timeout durch.
• Surfen funktioniert ohne Probleme über den Tunnel.
• Manchmal (sehr sehr selten) funktioniert es.
• Die Anwendungen laufen beide ohne Timeouts direkt von dem VPS.

Hier ein tcpdump.

Vielleicht könnt ihr mir ja einen Tipp geben.

Vielen Dank.

 

[Bob.Dig]

Keep alive aktiv für die Tunnel?

 

[lovechan]

Ja, PersistentKeepalive steht auf 25 Sekunden.

 

[Donnidonis]

Ich hatte mal ein ähnliches Problem mit einem Mikrotik Router als VPN Router. Da lag es an der MTU. Aber egal wie ich die MTU eingestellt habe, es ging nicht. Abhilfe hat eine Firewall Regel geschafft:

/ip firewall mangle add out-interface=wireguard1 protocol=tcp tcp-flags=syn action=change-mss new-mss=1380 chain=forward tcp-mss=1381-65535

Vielleicht hatte ich nicht alle MTUs richtig gesetzt per Hand. Die Firewall passt so die Pakete selbst an, dann hat es funktioniert. Vielleicht gibt es bei OPNsense was Ähnliches.

Problem vorher war, dass einfach nicht alle Webseiten gingen beim Surfen. 98% gingen, 2% nicht.

 

[lovechan]

Von der MTU zeigte er sich relativ unbeeindruckt - damit habe ich schon vorher rumgespielt.
Nachdem ich aber eine MSS von 1300 (MTU default) auf dem jeweiligen LAN-Interface gesetzt habe, läuft es!

Vielen Dank!

 

[Bob.Dig]

MTU soll ja bei WG wohl bei 1420 liegen und bei der pfSense würde wohl MSS automatisch noch weiter abgesenkt werden.