Juniper SRX300 mit Telekom VDSL — Webseiten nicht erreichbar durch falsche MTU/MSS

Nach meinem Artikel zur Einrichtung eines Telekom VDSL-Anschlusses am Juniper SRX habe ich mir einen SRX300 zu Testzwecken geliehen. Nach einer schnellen Konfiguration unterlief mir ein Fehler, der mich Tage später auf eine harte Geduldsprobe stellte.

Das Problem

Einige Webseiten waren schlicht nicht erreichbar. Der TLS-Handshake im Browser dauerte ewig oder schlug komplett fehl. Browserwechsel von Firefox auf Chromium und zurück brachte nichts. Sogar Internet Explorer auf Windows — nichts.

Konkret betroffen: 1password.com, netflix.com, sonicwall.com, gitlab.com.

Da ich eine zweite Leitung über Unitymedia hatte, habe ich kurzerhand die Route gewechselt — und tatsächlich, die Seiten luden sofort. Also lag es an der Telekom-Verbindung, oder doch an meiner Konfiguration?

Die Ursache: MTU und MSS

Parallele Recherche brachte MTU (Maximum Transmission Unit) und MSS (Maximum Segment Size) ins Spiel.

MTU definiert die maximale Paketgröße für die Kommunikation. MSS gibt an, wie viel Platz für Nutzdaten im TCP/IP-Paket bleibt.

Die Berechnung für PPPoE über VDSL:

Standard Ethernet MTU:  1500 Byte
- PPPoE-Header:            6 Byte
- PPP-Protokoll-ID:        2 Byte
= PPPoE MTU:            1492 Byte

PPPoE MTU:              1492 Byte
- IP-Header:              20 Byte
- TCP-Header:             20 Byte
= MSS:                  1452 Byte

Kurzform: MTU = 1492, MSS = 1452. Wer das nicht explizit konfiguriert, riskiert dass große Pakete — wie z.B. TLS-Handshakes mit großen Zertifikaten — fragmentiert oder verworfen werden. Genau das passiert bei bestimmten Servern die PMTUD (Path MTU Discovery) nicht korrekt unterstützen.

Die Lösung

configure
set security flow tcp-mss all-tcp mss 1452
commit check
commit and-quit

Danach noch verifizieren:

interfaces {
    pp0 {
        unit 0 {
            family inet {
                mtu 1492;
                negotiate-address;
            }
        }
    }
}
security {
    flow {
        tcp-mss {
            all-tcp {
                mss 1452;
            }
        }
    }
}

Nach dem Laden der Konfiguration waren alle Webseiten wieder erreichbar. Hätte ich meinen eigenen Artikel sorgfältig gelesen, wäre dieser Fehler nicht passiert — aber vielleicht hilft er jetzt jemand anderem mit dem gleichen Problem.

Fazit

Wenn über einen PPPoE-Anschluss bestimmte Webseiten nicht erreichbar sind und ein Verbindungswechsel das Problem behebt, ist die MTU/MSS-Konfiguration der erste Verdächtige. Die tcp-mss-Einstellung auf dem SRX ist dabei der entscheidende Hebel.

Das Problem

Die Ursache: MTU und MSS

Die Lösung

Fazit

Quellen