Behebung von Netzwerk- und Verbindungsproblemen

Dieser Abschnitt hilft Administratoren bei der Behebung von Netzwerk- und Konnektivitätsproblemen mit AWS Wickr. Die meisten von Endbenutzern gemeldeten Verbindungsprobleme werden dadurch verursacht, dass die Unternehmensnetzwerkkonfiguration (Firewalls, Proxys, VPNs) den erforderlichen Wickr-Verkehr blockiert. Wenn die Schritte in diesem Abschnitt Ihr Problem nicht lösen, eröffnen Sie eine Anfrage im Support Center. AWS

Bevor Sie beginnen

Überprüfen Sie vor der Problembehandlung Folgendes:

• Sie haben Zugriff auf die Netzwerkkonfiguration Ihres Unternehmens (Firewallregeln, Proxyeinstellungen, VPN-Konfiguration).

• Sie haben die Wickr-Netzwerkanforderungen (erforderliche Domänen und Ports) überprüft.

• Sie haben bestätigt, ob das Problem alle Benutzer, bestimmte Benutzer oder bestimmte Standorte betrifft.

• Sie haben bestätigt, ob betroffene Benutzer über ein unternehmensfremdes Netzwerk (Mobilfunknetz oder zu Hause WiFi) eine Verbindung herstellen können.

Wichtig

Wenn Benutzer über mobile Daten oder zu Hause eine Verbindung herstellen können, WiFi aber nicht über Ihr Unternehmensnetzwerk, liegt das Problem in Ihrer Netzwerkkonfiguration und nicht im Wickr-Dienst.

Häufige Netzwerkprobleme

Die Firewall blockiert den Wickr-Verkehr

Dies ist die häufigste Ursache für Verbindungsfehler. Wickr erfordert Zugriff auf bestimmte Domänen und Ports.

Symptome

Benutzer können keine Verbindung über das Unternehmen herstellen WiFi , können jedoch über Mobilfunkdaten eine Verbindung herstellen. Es sind mehrere Benutzer am selben Standort betroffen. Wickr funktionierte zuvor, wurde aber nach einem Netzwerkwechsel gestoppt.

Auflösung

1. Die vollständige Liste der erforderlichen Domänen und Ports finden Sie unter Netzwerkanforderungen für Wickr.

2. Erlauben Sie alle erforderlichen Domänen in Ihrer Firewall. Wickr benötigt HTTPS (TCP 443) für Nachrichten und Signalisierung sowie UDP-Ports für Sprach- und Videoanrufe.

3. Überprüfen Sie die DNS-Auflösung für die erforderlichen Domains in Ihrem Unternehmensnetzwerk. Verwenden Sie nslookup oderdig, um die Auflösung der Domänen zu bestätigen.

4. Testen Sie die Konnektivität, nachdem Sie Änderungen vorgenommen haben. Lassen Sie die betroffenen Benutzer Wickr neu starten und versuchen, eine Verbindung herzustellen.

Anmerkung

Wenn nur Sprach- und Videoanrufe fehlschlagen, aber die Nachrichtenübermittlung funktioniert, ist der UDP-Verkehr wahrscheinlich blockiert. Wickr verwendet standardmäßig UDP für Anrufe. Siehe UDP blockiert (Anrufe schlagen fehl, Nachrichtenübermittlung funktioniert).

Interferenz mit dem Proxyserver

Unternehmens-Proxyserver können Wickr-Verbindungen stören, insbesondere wenn sie keine WebSocket Verbindungen unterstützen.

Symptome

Verbindungsprobleme nur, wenn der Proxy konfiguriert ist. Wickr funktioniert, wenn der Proxy umgangen wird. Zeitweilige Verbindungsabbrüche.

Auflösung

1. Vergewissern Sie sich, dass Ihr Proxy WebSocket Verbindungen unterstützt (für Wickr-Messaging erforderlich).

2. Konfigurieren Sie eine Proxyumgehung (PAC-Dateiausnahme oder Direktverbindungsregel) für Wickr-Domänen, die in den Netzwerkanforderungen aufgeführt sind.

3. Überprüfen Sie die Proxyprotokolle auf blockierte oder fehlgeschlagene Verbindungen zu Wickr-Domänen.

4. Wenn Ihr Proxy eine Authentifizierung erfordert, stellen Sie sicher, dass der Wickr-Verkehr nicht aufgrund fehlender Anmeldeinformationen abgelehnt wird. Wickr unterstützt keine Proxyauthentifizierung in SaaS-Bereitstellungen.

SSL/TLS Inspektion, Unterbrechung von Verbindungen

Die Unternehmens-SSL-Inspektion (auch HTTPS-Inspektion oder TLS-Abfangen genannt) unterbricht die von Wickr erwartete Zertifikatskette und führt zu Verbindungsfehlern.

Symptome

Zertifikatsfehler in Wickr. Fehler „Sichere Verbindung ist fehlgeschlagen“. Wickr funktioniert in Netzwerken ohne SSL-Überprüfung.

Auflösung

1. Bevorzugt: Umgehen Sie die SSL-Prüfung für Wickr-Domains. Konfigurieren Sie Ihre SSL-Inspektions-Appliance so, dass die in den Netzwerkanforderungen aufgeführten Domänen ausgeschlossen werden. Dadurch wird die Ende-zu-Ende-Verschlüsselung von Wickr beibehalten.

2. Alternative: Installieren Sie das Root-CA-Zertifikat Ihrer Organisation auf Benutzergeräten. Dadurch kann Wickr der abgefangenen Zertifikatskette vertrauen. Wenden Sie sich an Ihr IT-Sicherheitsteam, um das Zertifikat und die Installationsanweisungen zu erhalten.

Um zu überprüfen, ob die SSL-Überprüfung die Ursache ist, führen Sie den folgenden Befehl auf einem betroffenen Gerät aus und vergleichen Sie den Aussteller des Zertifikats mit dem erwarteten AWS Zertifikat:

openssl s_client -showcerts -connect ingress-prod-calling.wickr.us-east-1.amazonaws.com:443

Wenn der Zertifikatsaussteller die CA Ihres Unternehmens anstelle eines AWS Amazon-Zertifikats anzeigt, ist die SSL-Prüfung für Wickr-Verkehr aktiv.

VPN blockiert Wickr

VPN-Konfigurationen blockieren in der Regel den Wickr-Verkehr, insbesondere die UDP-Ports, die für Anrufe erforderlich sind.

Symptome

Wickr funktioniert ohne VPN, aber nicht mit verbundenem VPN. Die Verbindung wird unterbrochen, wenn ein VPN eine Verbindung herstellt. Anrufe schlagen fehl, aber das Versenden von Nachrichten funktioniert über VPN.

Auflösung

1. Konfigurieren Sie Split-Tunneling so, dass Wickr-Verkehr direkt (unter Umgehung des VPN-Tunnels) für die in den Netzwerkanforderungen aufgeführten Domänen weitergeleitet wird. https://docs.aws.amazon.com/wickr/latest/adminguide/allow-list-ports-domains.html

2. Wenn Split-Tunneling nicht zulässig ist, stellen Sie sicher, dass das VPN sowohl TCP 443 als auch die in den Netzwerkanforderungen aufgeführten UDP-Ports zulässt.

3. Wenn nur Anrufe über VPN fehlschlagen, blockiert das VPN wahrscheinlich UDP. Siehe UDP blockiert (Anrufe schlagen fehl, Nachrichtenübermittlung funktioniert).

UDP blockiert (Anrufe schlagen fehl, Nachrichtenübermittlung funktioniert)

Wickr verwendet standardmäßig UDP für Sprach- und Videoanrufe und greift auf TCP zurück. Wenn Ihr Netzwerk UDP blockiert, können Anrufe nicht sofort eine Verbindung herstellen und fallen auf TCP zurück, was möglicherweise zu Leistungseinbußen führt, während die Nachrichtenübermittlung weiterhin normal funktioniert. Sie können TCP-Aufrufe innerhalb der Wickr Network Security Group aktivieren (erzwingen), um UDP vollständig zu überspringen und alle TCP-Aufrufe zu erzwingen.

Diagnose

Bitten Sie den betroffenen Benutzer, TCP-Anrufe testweise zu aktivieren (oder administrativ enable/force TCP über die Konsole für alle Benutzer): Einstellungen, Anrufen, TCP-Anrufe aktivieren. Wenn Anrufe bei aktiviertem TCP erfolgreich sind, wird UDP blockiert.

Auflösung

Erlauben Sie die UDP-Ports, die in den Netzwerkanforderungen in Ihrer Firewall- und VPN-Konfiguration aufgeführt sind.

TCP-Anrufe sind ein Diagnosetool, keine dauerhafte Lösung. Die Anrufqualität wird reduziert, wenn TCP verwendet wird.

Fehler bei der DNS-Auflösung

Wenn Ihre DNS-Server Wickr-Domains nicht auflösen können, kann der Client keine Verbindung herstellen.

Diagnose

Überprüfen Sie auf einem Gerät im betroffenen Netzwerk die DNS-Auflösung für eine erforderliche Wickr-Domain:

nslookup gw-pro-prod.wickr.com

Wenn die Domain nicht behoben werden kann, liegt das Problem in der DNS-Konfiguration.

Auflösung

1. Stellen Sie sicher, dass Ihre DNS-Server die in den Netzwerkanforderungen aufgeführten Domänen auflösen können.

2. Wenn Sie eine DNS-Filterung oder eine DNS-Firewall verwenden, fügen Sie Ausnahmen für Wickr-Domains hinzu.

3. Testen Sie mit einem alternativen DNS-Server (z. B.8.8.8.8), um zu bestätigen, ob das Problem Ihr internes DNS ist.

Ermitteln Sie den Umfang des Problems

Verwenden Sie die folgenden Fragen, um die Ursache einzugrenzen:

• Funktioniert Wickr mit Mobilfunkdaten oder zu Hause WiFi? Falls ja, liegt das Problem in der Konfiguration Ihres Unternehmensnetzwerks.

• Sind alle Benutzer betroffen oder nur bestimmte Benutzer? Wenn alle Benutzer an einem Standort betroffen sind, betrifft das Problem das gesamte Netzwerk. Wenn es sich nur um bestimmte Benutzer handelt, überprüfen Sie deren Geräte- oder VPN-Konfiguration.

• Hat das nach einer Netzwerkänderung angefangen? Firewall-Regelaktualisierungen, Proxyänderungen oder VPN-Konfigurationsänderungen unterbrechen häufig die Wickr-Konnektivität.

• Funktioniert das Versenden von Nachrichten, aber Anrufe schlagen fehl? Dies bedeutet, dass UDP blockiert ist. Siehe UDP blockiert (Anrufe schlagen fehl, Nachrichtenübermittlung funktioniert).

• Sehen Benutzer Zertifikatsfehler? Dies weist darauf hin, dass die SSL-Inspektion den Wickr-Verkehr abfängt. Siehe SSL/TLS Inspektion, Unterbrechung von Verbindungen.

Weitere Ressourcen

• Netzwerkanforderungen für AWS Wickr (erforderliche Domänen und Ports)

• End-user Netzwerk-Fehlerbehebung (mit betroffenen Benutzern teilen)