KPN-verbinding niet bereikbaar via mijn Tele2-verbindingen

[ictall]

Dit issue heb ik reeds bij Tele2 aangemeld, maar volgens hun is alles bij hun goed en kunnen ze op dit probleem geen ondersteuning geven... ik post het probleem hier, zodat wellicht anderen wat tips kunnen geven hoe verder te komen.

De situatie is als volgt:
Ik heb op locatie A, 2 internetverbindingen aangesloten op een Draytek 2926. Verbinding 1: Tele2 en Verbinding 2: KPN Hussel.
Beide verbindingen worden volledig doorgezet (DMZ) naar de Draytek router.
Op een tweede locatie B, heb ik ook 2 verbindingen (KPN en Tele2) via een Draytek.

Vanaf locatie B werkt verbinding Tele2->KPN niet (wel: Tele2-->Tele2 en KPN-->Tele2)
Een ping van Tele2 [B] --> KPN [A] werkt niet, alle andere ping combinaties werken wel.



Om het bovenstaande makkelijk testbaar te maken, heb ik op verbinding KPN (A) een webserver op poort 80 gezet: http://77.166.57.113/
(Heb je een Tele2 of andere verbding, laat even weten of je de webpagina ziet of niet en graag welke verbinding ADSL/VDSL/glasvezel en bij welke provider, BVD)


Vanaf Tele2 [B] en Tele2 (locatie C), kan ik bovenstaande URL niet benaderen. Ook een collega met Tele2 kan de URL niet benaderen. Helaas heb ik Tele2 [A] --> KPN [A] nog niet kunnen testen i.v.m. loopback DNS en dat de Draytek een publieke Tele2 IP-heeft. Eventueel kan ik dit weleens een keer na werktijd testen, om te zien of alle 3 mijn Tele2 verbindingen "het euvel" hebben.

Verder kan ik de URL vanaf de volgende providers wel benaderen:

• 2x KPN (vdsl)
• 3x Xs4all (vdsl)
• Telfort (glasvezel)
• 2x Ziggo (kabel)
• 2x Vodafone (mobiel)
• T-mobile (mobiel)
• Online (vdsl

Vanuit een CMD/Dosbox heb ik de volgende commando: tracert 77.166.57.113 gedaan op enkele verschillende verbindingen. De eerste verbinding is een tracert van locatie Tele2 [B] -screenshot 1, waarbij de tracert dus niet wordt afgemaakt binnen de 30 hops. Op de andere 3 screenshot lukt dus wel.

Het rare is dat bij de eerste verbinding het misgaat binnen het netwerk van Eurorings(/KPN).
Dus m.i. stuurt Tele2 de data via de verkeerde verbinding naar KPN of Eurorings/KPN levert een verkeerde routering aan Tele2.






Graag hoor ik of iemand een manier weet om duidelijk aan te wijzen bij wie de fout ligt, zodat we dit probleem kunnen oplossen.

[Voor 3% gewijzigd door ictall op 16-01-2020 16:18]

[boyette]

Kan je de route Tele2 B - KPN B
Ook eens testen

[ictall]

@boyette
Arg@#%# een verkeerd plaatje gemaakt!!
ot eind vorig jaar had ik op locatie B: KPN, Xs4all en Tele2 staan.
We hebben op deze locatie de KPN weggedaan. Dus Tele2 [B] -> KPN [B] gaat niet lukken.

Dus het eigenlijke plaatje moet zijn:


Net heeft een collega de modem van de Draytek router losgekoppeld en de test Tele2 [B] -> XS4ALL [B] gedaan en dat werkt!

Verder ook meteen vanuit de aangesloten laptop (om de Draytek router uit te sluiten) ook weer de test Tele2 [B] -> KPN [A] gedaan met de volgende (fail) resultaten:

[ReVision.]

Via tele2 mobiel is je pagina te openen, maar dat is waarschijnlijk niet wat js zoekt, ik zal straks thuis even testen.

[Ferret]

Hier kpn DSL en ik zie de test-pagina. De ping in de laatste situatie lijkt wel één stap eerder te struikelen...

[roches]

Hier KPN glas 100/100 en ik zie de testpagina ook gewoon...

[Ilmar]

Tele2 Thuis VDSL, werkt hier prima:

  4    10 ms    10 ms    10 ms  ae6-0.br04tc2.versatel.net [212.53.25.197]
  5    11 ms    11 ms    10 ms  ams5-core-1.bundle-ether6.tele2.net [212.151.190.0]
  6    11 ms    10 ms    10 ms  ams5-peer-1.ae0-unit0.tele2.net [130.244.82.55] 
  7    11 ms    11 ms    12 ms  asd-s8-rou-1041.NL.eurorings.net [134.222.249.54]
  8    13 ms    12 ms    13 ms  rt2-rou-1022.NL.eurorings.net [134.222.48.14]
  9     *        *       12 ms  nl-rt2-pice-ir01.kpn.net [134.222.129.239]
 10     *        *        *     Request timed out.
 11     *        *        *     Request timed out.
 12    18 ms    17 ms    17 ms  ip4da63971.direct-adsl.nl [77.166.57.113]

[theuser]

Hier Tele2 ADSL en zie ook je testpagina.

[gertvdijk]

[XallaX]

Tweak glas, pagina is zichtbaar

[videopionier]

Als je meerdere ISPs aansluit op een dual WAN router, kun je de DNS servers van die 2 providers niet door elkaar gebruiken. Kies voor Google of OpenDNS in je setup van de Draytek.

[boyette]

Test-pagina voor Tele2


vanuit TM glas 1000/1000


ps

8080
is draytek remote benaderbaar
heb je dat bewust gedaan?
anders is dat opmerkelijk op zijn minst


81 komen we in een soort webportal


Zo op het eerste gezicht mag je denk ik veronderstellen dat het probleem in het KPN gedeelte zit
de route die de niet werkende verbindingen van tele 2 afleggen houden op in het KPN domein..

zou toch daar eens het verzoek neerleggen om er nog eens naar te kijken.


Tele2 is AS1257
Je kan proberen om de verschilende routelogs in een overzichtje met uitleg te versturen naar

[e-mail]


Met een beetje geluk kijken ze er daar even naar

[Voor 114% gewijzigd door boyette op 16-01-2020 23:28]

[Yeebo]

T-Mobile Thuis (glasoperator) toont de webpagina juist.

[TommyboyNL]

Tele-2 zakelijk glas - werkt NIET

code:

traceroute to 77.166.57.113 (77.166.57.113), 30 hops max, 40 byte packets
 1  xxx.xxx.xxx.xxx  1.300 ms  1.103 ms  1.048 ms
 2  xxx.xxx.xxx.xxx  1.007 ms  1.049 ms  1.037 ms
 3  xxx.xxx.xxx.xxx  1.506 ms  1.506 ms  1.387 ms
 4  212.53.25.193  3.937 ms 212.53.25.197  3.972 ms  3.471 ms
 5  212.151.190.0  3.102 ms  4.280 ms  4.263 ms
 6  130.244.82.55  3.871 ms  4.402 ms  4.412 ms
 7  134.222.249.54  3.618 ms  3.669 ms  3.700 ms
 8  134.222.48.14  6.495 ms  6.297 ms  6.282 ms
 9  * * *
10  * * *
11  * * *
12  * * *
13  * * *
14  * * *
15  * * *
16  * * *
17  * * *
18  * * *
19  * * *
20  * * *
21  * * *
22  * * *
23  * * *
24  * * *
25  * * *
26  * * *
27  * * *
28  * * *
29  * * *
30  * * *

Edit: Eigen publieke IP heb ik verwijderd, kan ik eventueel via PM leveren.

[Voor 4% gewijzigd door TommyboyNL op 17-01-2020 10:00]

[ictall]

@rReVision, @Ferret, @roches, @llmar, @theuser, @gertvdijk, @Xallax, @videopionier, @boyette, @daupie en @TommyboyNL
Thanks voor het testen en meedenken!

@gertvdijk gave website om zo een website te testen. Zou ik de URL kunnen krijgen?

@videopionier ik gebruik per locatie een eigen DNS server die weer forward naar 8.8.8.8, 8.8.4.4 of tegenwoordig ook vaak 1.1.1.1 en 1.0.0.1. BTW, ik denk trouwens dat ping en tracert initieel geen DNS gebruiken als je op een IP-adres gebruikt.

@boyette Yep,8080 is bewust gedaan vroeguh, dan hield je namelijk poort 80 open voor een webservices.
Poort 81, inderdaad een webportal/pagina ;-)
betreft KPN ga uitzoeken waar ik dit kan neerleggen.
en de BGP beheerders van Tele2 mailen is een zeer goede tip, ga ik zo meteen doen.

@TommyboyNL "Gelukkig" toch iemand waar het niet werkt. Bepaald moment ga je twijfelen, of het toch niet ergens aan de eigen configuratie ligt , wanneer iedereen wel op de pagina kan of zonder problemen kan pingen/tracen.

[gertvdijk]

ictall schreef op vrijdag 17 januari 2020 @ 11:07:
@gertvdijk gave website om zo een website te testen. Zou ik de URL kunnen krijgen?

Er zijn best veel van die sites hoor. Voor periodieke/automatische tests moet je dan een abo afsluiten, maar om te proberen zijn ze meestal gratis. Ik gebruikte voor dat screenshot deze: https://www.uptrends.com/tools/uptime

[ictall]

@gertvdijk Thanks. Om routers te monitoren gebruik ik zelf https://www.downnotifier.com/ en die checked dan elke 10 minuten. Als de "site" dan down is krijg ik een e-mail en ook als hij weer up is. Bij down gaat de interval vermoed ik zelf naar 1x per minuut.

@iedereen op aanraden van @boyette heb ik e-mail naar the BGP beheerteam van Tele2 getuurd, nu hopen dat zij dit probleem ook willen oppakken.

[boyette]

ictall schreef op vrijdag 17 januari 2020 @ 17:31:
@gertvdijk Thanks. Om routers te monitoren gebruik ik zelf https://www.downnotifier.com/ en die checked dan elke 10 minuten. Als de "site" dan down is krijg ik een e-mail en ook als hij weer up is. Bij down gaat de interval vermoed ik zelf naar 1x per minuut.

@iedereen op aanraden van @boyette heb ik e-mail naar the BGP beheerteam van Tele2 getuurd, nu hopen dat zij dit probleem ook willen oppakken.

al nieuws?

[ictall]

Feedback @iedereen eb @boyette
Nog niks van Tele2 BGP Admin gehoord, stiekem een beetje gehoopt dat Tele2 het wellicht zonder door te geven had opgelost, maar vanochtend heb ik het probleem nog steeds.

@TommyboyNL kon er eerder ook niet bij. Ik heb van hem een PM gehad met zijn Tele2 IP-adres.
De 5 Tele2 IP-adressen die ik nu heb en die het niet doen hebben zitten allemaal in de volgende range:

• 87.213.x.x (1x)
• 87.214.x.x (3x)
• 87.209.x.x (1x)

Voorzichtig begin ik te denken dat het probleem wellicht alleen met Tele2-gebruikers voorkomt,
die misschien in de 87.x.x.x IP-range zitten...

Kortom zijn er nog Tele2-gebruikers die via http://wanip.info even kunnen nagaan of hun IP-adres met 87.x.x.x begint en of ze danwel of niet http://77.166.57.113 kunnen benaderen?

[boyette]

ictall schreef op dinsdag 21 januari 2020 @ 09:46:
Feedback @iedereen eb @boyette


Kortom zijn er nog Tele2-gebruikers die via http://wanip.info even kunnen nagaan of hun IP-adres met 87.x.x.x begint en of ze danwel of niet http://77.166.57.113 kunnen benaderen?

ip is nog wel bereikbaar
maar poort 80 is gefilterd?

[Rensjuh]

Hier een Vodafone verbinding, 62.xxx.xxx.xx.
IP is te benaderen op poort 8080 en 81, weet niet je je de webserver op 80 uitgeschakeld hebt?

edit; Ping naar het IP doet het ook gewoon.

[Voor 14% gewijzigd door Rensjuh op 21-01-2020 09:56]

[ictall]

@boyette & @Rensjuh Shame on me!

Had Ngix handmatig draaien op een Windows 10 machine. Door een Windows-update en restart, liep de webserver niet meer
Heb nu de Windows update policy voor deze machine "tijdelijk" aangepast.

Ping loopt via de router en de andere poorten zijn andere apparaten, dus die blijven werken.
Vanaf de Tele2 verbindingen is het hele IP-adres niet te benaderen, dus niks richting het KPN IP-adres werkt.
Meestal wanneer ik termen als VPN en andere exotische configuraties aan de ISP meldt dan hoor ik meteen: "Dat wordt niet door ons ondersteund!", vandaar dus dat ik een webserver op poort 80 heb aangezet

[Rensjuh]

Nu doet ie het inderdaad wel vanaf dezelfde lijn

[vincedd]

zichtbaar vanaf Ericsson

[ik222]

In welke subnet zit het IP adres van de Tele2 verbinding op locatie A? Is dat niet toevallig het subnet waar vandaan je de KPN verbinding op locatie A niet kan bereiken?

Ik zou namelijk denken dat het toch lokaal zit, mogelijk een draytek die geen verkeer accepteert van adressen uit een subnet wat hij zelf directly connected kent? Geen rare routes of policies op de routers?

Ik denk hieraan omdat je wel kan pingen vanuit de KPN lijn naar de Tele2 lijn, dat betekent dat er routing technisch wel degelijk gewoon 2 weg verkeer is tussen die endpoints (request en reply komen beide aan). Dat het dan andersom toch niet lukt suggereert een firewall / statefull iets en daar doen ISP's normaal gesproken niets mee, daarom denk ik dat er lokaal iets mis zit.

[Voor 6% gewijzigd door ik222 op 21-01-2020 18:06]

[ictall]

ik222 schreef op dinsdag 21 januari 2020 @ 18:05:
In welke subnet zit het IP adres van de Tele2 verbinding op locatie A? Is dat niet toevallig het subnet waar vandaan je de KPN verbinding op locatie A niet kan bereiken?

Nee, op locatie A,is KPN: 77.x.x.x en Tele2: 87.x.x.x .

Ik zou namelijk denken dat het toch lokaal zit, mogelijk een draytek die geen verkeer accepteert van adressen uit een subnet wat hij zelf directly connected kent? Geen rare routes of policies op de routers?

We hebben het ook zonder de Draytek, vanaf de Tele2 [B] modem (+laptop) naar KPN [A] geprobeerd.
Ook dan doet hij het niet.

Ik denk hieraan omdat je wel kan pingen vanuit de KPN lijn naar de Tele2 lijn, dat betekent dat er routing technisch wel degelijk gewoon 2 weg verkeer is tussen die endpoints (request en reply komen beide aan). Dat het dan andersom toch niet lukt suggereert een firewall / statefull iets en daar doen ISP's normaal gesproken niets mee, daarom denk ik dat er lokaal iets mis zit.

Aan de ene kant kan ik met je meegaan, echter routering hoeft m.i. geen 2-weg te zijn.
In autotermen, je kan vanuit Rottterdam via de A4 naar Amsterdam en terug over de A13 en dan weer naar Amsterdam terug over de A13....

Het blijft gek, zoals ik hierboven aangeef dat het ook niet werkt via allen een Tele2 verbinding (zonder Draytek). Daarnaast heb ik ook een collega die alleen een Tele2 modem/router heeft die ook niet erbij kan.

De volgende screenshot is van Tele2 [B] naar KPN [A], waarbij de laptop direct aan de Tele2 Technicolor modem. Tracert stopt op dezelfde plek in het Eurorings/KPN netwerk (zie 1e screenhot 1e post =via Draytek)...

[GlowMouse]

Kijkende naar de traceroutes denk ik dat de fout bij Eurorings (134.222.48.14) zit. Via Tele2 stuurt die hem door naar 134.222.129.239 en komt het pakketje niet aan, terwijl hij vanaf Ziggo ook bij 134.222.48.14 komt maar daarna een andere route volgt. Je zou er eens een mailtje aan [e-mail] of [e-mail] aan kunnen wagen.

[ik222]

ictall schreef op woensdag 22 januari 2020 @ 01:51:
[...]

Nee, op locatie A,is KPN: 77.x.x.x en Tele2: 87.x.x.x .

Dat bedoel ik dus, de Tele2 lijn kan daar dus nog steeds in hetzelfde subnet te zitten als de Tele2 adressen die de KPN lijn op die locatie niet kunnen bereiken.

[...]

We hebben het ook zonder de Draytek, vanaf de Tele2 [B] modem (+laptop) naar KPN [A] geprobeerd.
Ook dan doet hij het niet.


[...]

Aan de ene kant kan ik met je meegaan, echter routering hoeft m.i. geen 2-weg te zijn.
In autotermen, je kan vanuit Rottterdam via de A4 naar Amsterdam en terug over de A13 en dan weer naar Amsterdam terug over de A13....

Het blijft gek, zoals ik hierboven aangeef dat het ook niet werkt via allen een Tele2 verbinding (zonder Draytek). Daarnaast heb ik ook een collega die alleen een Tele2 modem/router heeft die ook niet erbij kan.

De volgende screenshot is van Tele2 [B] naar KPN [A], waarbij de laptop direct aan de Tele2 Technicolor modem. Tracert stopt op dezelfde plek in het Eurorings/KPN netwerk (zie 1e screenhot 1e post =via Draytek)...
[Afbeelding]

Ik snap prima hoe het internet werkt Ja dat kan asymmetrisch zijn en verschillende paden gebruiken maar het is wel heel toevallig als het in alle gevallen wel werkt met een ping van A naar B maar nooit met een ping van van B naar A. In beide gevallen heb je voor de ISP namelijk identiek beide kanten op een pakketje lopen.

Ik kan natuurlijk niet in je setup kijken maar ik ben er eigenlijk van overtuigd dat het probleem toch echt op locatie A ligt, dat daar op de een of andere manier op de KPN lijn verkeer tegengehouden wordt uit hetzelfde subnet als de Tele2 lijn op die locatie.

Traceroutes zeggen niet alles in dit soort gevallen maar als ik kijk lijkt het vrijwel altijd ook op de laatste hop mis te gaan, ook die passen dus prima bij een lokaal probleem.

Kan je sniffen op de KPN lijn op locatie A? Dan kan je zien of er verkeer aan komt en het antwoord terug gaat.

[Voor 6% gewijzigd door ik222 op 22-01-2020 07:45]

[ictall]

@ik222 Ik ben even de weg kwijt met je subnet opmerking en ik ben geen held in sniffen.
Wat nou als ik de volgende test doe?

1. ik maak tijdelijk de KPN modem op locatie [A] los en doe een reset, koppel hem aan de webserver machine en forward port 80 naar de webserver.

2. Op locatie [B], ontkoppel ik de Tele2 modem (reset) en zet alleen de 1 laptop bedraad er aan vast.

3. Ik test nu vanaf locatie [B] of ik
a. op de webserver kan komen
b. van Tele2 [B] naar KPN [A] kan pingen
c. en ik doe een tracert van Tele2 [B] naar KPN [A]

Ik kan dit op korte termijn inplannen (buiten werktijd).
Mocht iemand nog extra testen hebben die ik meteen ook kan uitvoeren dan hoor ik het graag.


@GlowMouse bedankt voor de KPN e-mail adressen, ik wil eerst de bovenstaande test 1x uitvoeren,
zodat ik enigszins met een status quo test en hun daarna kan e-mailen.

[ik222]

Dat is een test die je kan doen inderdaad, dan zou je een zuiver resultaat moeten hebben.

Wat ik met sniffen bedoel is dat je op locatie A kijkt of er verkeer aankomt en ook teruggaat over de KPN lijn. Idealiter zet je daarvoor tijdelijk een switch met een mirror poort (of een oude hub als je die nog hebt) direct tussen het KPN modem en je eigen apparatuur (draytek). Als je verkeer op dat punt zowel ziet aankomen als terug ziet weggaan is lokaal alles goed. Zie je daar wel verkeer aankomen maar gaat er niets terug over de KPN lijn dan heb je 100% een lokaal probleem.

[TommyboyNL]

Ik heb dit net weer getest vanaf onze tele2 lijn, en heb 1 keer de pagina kunnen openen. Direct daarna een traceroute gedaan, welke dood liep. Ping werkte ook niet meer, en ook de pagina herladen lukte niet in twee verschillende browsers. Dit gebeurde een paar dagen terug ook.
Mijn onderbuik zegt me dat het issue in de infra van @ictall zit. Stuur anders even een PB om een moment af te spreken dat jij een packet capture af kan trappen en ik wat verkeer kan gerereren (wat ik dan uiteraard ook capture), zodat we dat kunnen vergelijken.

[ictall]

@ik222 en @TommyboyNL het lijkt inderdaad dat het in de Draytek misgaat.
Op locatie [B] hadden we een laptop direct aan de Tele2 gehangen en vervolgens getest naar KPN [A] terwijl KPN [A] en Tele2 [A] beiden op de Draytek Vigor op locatie A waren aangesloten.
===> FAIL

Toen we op locatie A, de modem KPN [A] van de Draytek los koppelde en vervolgens weer
Tele2 [B] (modem) --> KPN [A] (modem) probeerde werkte alles.
We konden met de Tele2 plotseling bij de webpagina komen, en zowel ping en tracert gingen goed.

Vervolgens heb ik de modem KPN [A] weer aangesloten op de Draytek (incl. Tele2 [A]) en ik had weer ==> FAIL.

Het lijkt er dus toch dat de Draytek Vigor iets door elkaar haalt als zowel de KPN als Tele2 modem erop worden aangesloten. Dus een intern probleem!





Ik heb het probleem (KPN / Tele2 op 1 router niet benaderbaar via Tele2) inmiddels met screenshots en uitleg bij Draytek aangemeld en wacht voorlopig waar zij mee gaan komen.

[ik222]

Dat dacht ik al, goed dat het nu bevestigd is

Kun je eens iets van de configuratie van de draytek posten? Ik vermoed dat er iets mis gaat zoals dat het 87.x subnet op dat ding directly connected is of ergens specifiek geconfigureerd is en hij verkeer daar vandaan wat op de KPN lijn binnenkomt daarom dropt (mogelijk iets wat lijkt op spoofing protection of iets dergelijks).

[videopionier]

ictall schreef op donderdag 23 januari 2020 @ 17:48:
......

Het lijkt er dus toch dat de Draytek Vigor iets door elkaar haalt als zowel de KPN als Tele2 modem erop worden aangesloten. Dus een intern probleem!

De Draytek is een consumenten modem. Eerste taak is een verbinding tot stand brengen.
De Draytek heeft zelf ook een DNS server aan boord. (voor o.a. relay op het gateway ip adress).
Zodra je de Draytek aansluit op het eerste modem zal die, zolang je dat niet wijzigt, de DNS servers van die verbinding instellen. Als je dan het 2e modem aansluit, wijzigt er niets. De router blijft de DNS servers van de 1e verbinding gebruiken. Maar KPN/XS4All vindt dat kennelijk niet oke. Je krijgt geen ipnrs geresolved.
VRAAG ME NIET WAAROM.

DNS wijzigen: LAN > General Setup > LAN1 Details page vul hier je favoriete DNS in.
LAN> General setup zet een vinkje bij "Force router to use "DNS server IP address" settings specified in LAN1

Check de System Status bij System Maintenance

Maak je infra gewoon wat eenvoudiger, dan kom je niet zo gauw in de problemen.
de Drayteks zijn prima DNS servers. Gooi die RPI toch in de trashbin. Die zijn zo 2018.

[ik222]

@videopionier Dat een provider alleen DNS verzoeken van eigen klanten beantwoord is normaal maar DNS heeft niets met dit probleem te maken. Op IP niveau wordt het verkeer namelijk al tegen gehouden.

[ictall]

@iedereen
Gisteren van Draytek Nederland per e-mail antwoord gehad dat het probleem wellicht komt door dubbel NAT.
Ze vroegen of ik de verbinding kon bridgen om te kijken of het daarna wel werkte.

Vanochtend op locatie de KPN verbinding op een Draytek 2760 modem/router gezet, echter om te bridgen moest ik uitzoeken hoe ik vanaf de Draytek router met PPPoE in de modem kon inbellen.
Daar de router gewoon in productie wordt gebruikt en ik de router wellicht meerdere keren moest herstarten even time out genomen.

Ik hoop de komende dagen tijd te kunnen vrijmaken om met een andere Draytek router precies uit te zoeken hoe ik de PPPoE kan instellen, zodat ik in 1 keer de KPN internet gebridge op Draytek locatie A kan koppelen om te zien of het probleem daarmee is opgelost...

Hier nog even de routerings table van de router op locatie A:

[Voor 6% gewijzigd door ictall op 28-01-2020 11:51]

[ik222]

@ictall Ik geloof niet dat het bridgen er iets mee te maken heeft.

Ga eens naar firewall -> defense setup en kijk eens wat daar aangevinkt staat onder spoofing defense. Heb je daar niet toevallig "Block IP packet from WAN with inconsistent source IP addresses" nog aangevinkt staan? Als dat aan staat verklaart dat namelijk je probleem als ik de beschrijving van die optie lees en je routing tabel bekijk.

Het kan zijn dat het op jou router iets anders heet of ergens anders staat. Ik heb zelf geen Draytek dus ik moest het doen met screenshots via Google.

[Voor 7% gewijzigd door ik222 op 28-01-2020 19:02]

[ictall]

@ik222
Net getest, stond inderdaad aan. Ik heb het tijdelijk even uitgevinkt maar geen resultaat.
Heb ook meteen wat andere standaard beperkingen uitgeschakeld, maar ook dat had geen resultaat.
Verder zie ik in de Vigor 2926 (locatie A) onder Firewall een optie "diagnose" staan, echter op locatie B heb ik nog een iets oudere Vigor die dat niet heeft.
Ga er een paar dagen over nadenken of ik alleen om een diagnose te kunnen uitvoeren, de Vigor op locatie B zal vervangen door ook een Vigor 2926.

3/2/2020
Afgelopen vrijdag een Vigor 2760 als modem geconfigureerd, zodat de 2926 op locatie A een publiek IP-adres zou krijgen. Helaas hierbij een vlan fout gemaakt, waardoor di niet werkt. Vandaag ga ik dit corrigeren, waarna ik hoop te kunnen nagaan of een publiek IP-adres het probleem oplost...

[Voor 23% gewijzigd door ictall op 03-02-2020 11:53]

[ictall]

Even een update, Draytek Support heeft gekeken naar de configuratie van de router op locatie A (met KPN + Tele2) aangesloten en aangegeven geen configuratie fouten te zien.

Vervolgens heb ik hun ook toegang gegeven tot een laptop op locatie B die alleen aan Tele2 modem is aangesloten.

Vandaag kreeg ik van hun een e-mail dat issue waarschijnlijk bij Tele2 ligt. Vervolgens heb ik op locatie A de Tele2 uitgezet, om te laten zien dat je dan wel connectie kan maken met Tele2 locatie B --> KPN locatie A.
Ik wacht nu even af of wat er nu uitkomt....

Ondertussen zit al te broeden om op bv locatie A de Vigor 2926 tijdelijk te vervangen door een oudere Vigor 2920, eventueel thuis mijn oude Netgear Dual WAN , Hotbrick Dual WAN (nooit gebruikt) op te zoeken of zelf een Pfsense/OpnSense op een oude PC te installeren, zodat ik eind deze week 's avonds wat testen kan doen

[ictall]

Zo even weer een update. Kon thuis alleen een oude BaseWall VPN 1000 vinden en die had alleen een WAN2 dus die hebben we niet kunnen gebruiken als test.
Verder meer dan 1 week (tussen andere werkzaamheden door) bezig geweest met het opzetten en leren van OPNSense freeBSD router software (= PFSense "fork").

Op 20/2 bleek dat wanneer op locatie A zowel de KPN als de Tele2 verbinding een public IP-address ik nog steeds niet vanuit Tele2 locatie B kon pingen of traceren, maar het benaderen van KPN (A) over poort 80 en wat andere poorten die ik gebruik lukte wel.
Probeerde nog de OPNSense aan de praat te krijgen, maar dat ging helemaal mis qua configuratie (USB Netwerk) en ivm met een nachtploeg moet ik uiterlijk 22:30 de boel weer up hebben.

Voor mij zou het vervangen van de Experiabox door een eigen modem dus een "workaround" zijn voor mijn probleem.

Zaterdag heb ik na sluitingstijd een "onderhoudswindow" tot zondagmiddag.
Dus afgelopen zaterdag 22/2 ben ik weer bezig geweest.
Ook nu kon ik vanuit Tele2 (locatie B ) nog steeds niet pingen/traceren naar KPN (locatie A ), wel nog steeds naar Tele2 (A).
Dus de omdraaien maakt niet uit!
Tele2 (A ) en KPN (A) weliswaar omgedraaid maar met publieke IP-adressen, waren beide wel te bereiken op poort 80 (mijn testwebserver).

Vervolgens heb ik de OPNSense geconfigureert als (LAN, WAN1 (PPPoE voor KPN) en WAN2 (DHCP Tele2) ) - beide WAN dus met publiek IP-adres.
Beide WAN waren als Load Balancing / Failover ingesteld.
Ook hier kon ik na het instellen van een forwarding rule op de webserver komen, echter ping/tracert vanuit Tele2 (B ) naar KPN (A) werkte hier ook niet.
Lostrekken van de Tele2 kabel (LIVE) zorgt ervoor dat de ping en tracert wel van Tele2 (B ) naar KPN (A ) begint te werken.

Kortom de Draytek en OPNSense reageren dus "hetzelfde".
OP andere locaties met Ziggo/KPN, Ziggo/Xs4all heb ik het probleem niet, dus wellicht als ik de combinatie KPN/Tele2 kan opbreken ik wellicht dit werkende kan krijgen.

I.v.m. directe (monteur)aansturing wil ik bij KPN blijven en eventueel dan de Tele2 verbinding vervangen door een ander "onafhankelijke" provider of een Tele2 wederverkoper met een eigen IP-range/NOC.