Deutsche Glasfaser ipv4 CGNAT unzureichend

Zitat von pufferueberlauf

Na ja, was zaehlt ist weniger was Opnsense als aktive Verbindungen zaehlt, sondern was der AFTR der DG da macht... und wenn die sehr lange TimeOuts hat dann mag das relevante Limit erreicht sein, selbst wenn der eigene NAT router noch Luft nach oben andeutet.

Wie gesagt, die UDP NAT Timeouts bei der DG sind sehr kurz, deutlich unter 30 Sekunden. Mit 30 Sekunden Keep Alive in VoIP Clients verliert man regelmäßig die Port-Zuordnung und eingehende Anrufe kommen nicht an. Mit 20 Sekunden geht es sicher, vielleicht auch mit 25, das hab ich nicht getestet.

Zitat von dkoopmans77

hier z.b.

Das ist zum einen TCP, und auch der Thread führte am Ende nicht zu dem Ergebnis, dass das Port-Limit was mit dem Problem zu tun hat.

Zitat von dkoopmans77

Du kannst die games nicht zwingen v6 zu verwenden, wenn die destination eine v4 adresse ist, dann kannst Du mit v6 da auch nichts machen.

Die Spiele, die du genannt hast, bieten aber IPv6 Zugänge an. Da ist dann die Frage: Warum werden die nicht genutzt?

Mmmh, der OP scheint world of tanks zu spielen, ich bekomme da fuer dl-wot-gc.wargaming.net immer eine IPv4 Adresse, egal ob ich IPv4 oder IPv6 DNS Server frage.

Wo guckst du denn nach?

Non-authoritative answer:
dl-wot-gc.wargaming.net canonical name = cl-ac7e0adb.gcdn.co.
Name:   cl-ac7e0adb.gcdn.co
Address: 92.223.40.62
Name:   cl-ac7e0adb.gcdn.co
Address: 2a03:90c0:491:2801::62

Bei Google, so wie world of tank das empfiehlt (zumindest hat das meine kurze Recherche ergeben, ich spiele das Spiel selber nicht).

user@123-123456 ~ % dig @2001:4860:4860::8888 dl-wot-gc.wargaming.net   

; <<>> DiG 9.10.6 <<>> @2001:4860:4860::8888 dl-wot-gc.wargaming.net
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17546
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;dl-wot-gc.wargaming.net.	IN	A

;; ANSWER SECTION:
dl-wot-gc.wargaming.net. 78	IN	CNAME	cl-ac7e0adb.gcdn.co.
cl-ac7e0adb.gcdn.co.	20	IN	A	92.223.40.62

;; Query time: 21 msec
;; SERVER: 2001:4860:4860::8888#53(2001:4860:4860::8888)
;; WHEN: Mon Oct 13 21:42:42 CEST 2025
;; MSG SIZE  rcvd: 101

Hmm..

dig @2001:4860:4860::8888 dl-wot-gc.wargaming.net AAAA

; <<>> DiG 9.18.39-0ubuntu0.24.04.1-Ubuntu <<>> @2001:4860:4860::8888 dl-wot-gc.wargaming.net AAAA
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10696
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;dl-wot-gc.wargaming.net.       IN      AAAA

;; ANSWER SECTION:
dl-wot-gc.wargaming.net. 364    IN      CNAME   cl-ac7e0adb.gcdn.co.
cl-ac7e0adb.gcdn.co.    20      IN      AAAA    2a03:90c0:9997::9997

;; Query time: 7 msec
;; SERVER: 2001:4860:4860::8888#53(2001:4860:4860::8888) (UDP)
;; WHEN: Mon Oct 13 21:55:44 CEST 2025
;; MSG SIZE  rcvd: 113

Merci, Entschuldige die Demonstion meiner dig Inkompetenz... (ueblicherweise starte ich mit "man dig" aber diesmal war ich mir zu sicher...)

Ich nutze auch gerne dig. Aber nslookup ist, auch wenn uralt, doch etwas knackiger.

Auf dem Router? Kannst du das eingrenzen und Clients zuordnen?

Moment, das 1000 Port Limit macht nur Sinn pro Protokoll. Also 1000 für TCP und 1000 für UDP. ICMP nutzt gar keine Portnummern.

Ich würde das Setting für den Idle Timeout mal anpassen.

300 offene Verbindungen sind schon recht viel.

Zitat von dkoopmans77

Die Aussage war 1000 pro Kunde.

Aber das macht doch gar keinen Sinn. Man hat 65000 Ports jeweils bei TCP und UDP, wobei TCP üblicherweise deutlich intensiver genutzt werden dürfte.

Zitat von dkoopmans77

Und 1000 bei UDP wäre noch in weiter ferne, bis mein Spiel dagegen läuft.

Und genau deshalb hab ich von Anfang an ein Port Limit Problem für unwahrscheinlich gehalten.

Zitat von frank_m

Aber das macht doch gar keinen Sinn. Man hat 65000 Ports jeweils bei TCP und UDP, wobei TCP üblicherweise deutlich intensiver genutzt werden dürfte.

So geht das aber nicht: erstens hat man ausgehend in der Regel (kann man konfiguieren) nur die High-Ports ab 32768 verfügbar, also nur 32768 Ports, außerdem sind die pro IP-Adresse. Da hat ein CGNAT- oder oder AFTR-Server dann auch nur 32000 bis 65000 Ports pro eigener IP-Adresse verfügbar, nicht 65000 je genatteter Adresse. Insofern ist eine Beschränkung pro Kunde schon plausibel, würde jeder seine 1000 Ports voll nutzen, könnte das Gateway gerade mal 32 bis 65 Kunden bedienen. Dawill man eigentlich schon ein Limit pro Kunde haben.

Das Limit an sich bezweifle ich ja nicht. Aber TCP und UDP nutzen ihre Ports unabhängig voneinander und haben beide 65000 Ports, deshalb gibt es das Limit pro Protokoll.

Dann war das ein Missverständnis, ich hatte es anders verstanden.

vielleicht hat man mit einem Update im Backbone-Netz von DG zufällig den Bug behoben.