Unitymedia Portsperren bei UM

[Stiff]

Ausserdem ist die Ausrede, man hätte keinen Vorrat mehr an IPV4's schlichtweg gelogen.
Die haben nämlich noch reichlich davon.

Es bekommt nämlich nicht nur jeder Business Kunde eine IPV4, sondern auch jeder Horizon Kunde.
Und da werden ja wohl noch reichlich Verträge abgeschlossen.

:wand: Und genau deswegen muss UM mit den IPv4 Adressen haushalten. Natürlich haben die noch einen Vorrat an IPv4 Adressen aber der ist eben endlich.

Ich finde das Konzept eh recht fragwürdig.
Ich finde es auch erstaunlich, wieviele IPV4'S bei Altkunden brachliegen, die das nie im Leben brauchen, bzw. es erst garnicht merken würden, wenn die auf DSLITE umgestellt würden.
Man sollte doch allen Kunden die IPV4 wegnehmen und auf DSLITE umstellen. Dann würde zusätzlich eine Unmenge and Adressen frei.

Ich finds eher fragwürdig dass Du meinst einschätzen zu können wer von den Bestandskunden mit IPv4 was braucht oder was nicht.
Man sollt eher Neukunden deutlich darauf hinweisen und darüber aufklären das sie "nur" einen DS Lite Anschluss bekommen. Dann ist das Gehäule nach Vertragsabschluss auch nicht mehr so laut.

Dein Vorschlag geht da eher in die Richtung: Leuten die auf Autobahnen eh nie schneller fahren als 130kmh sollte man nur noch Autos verkaufen die auch nicht mehr können, damit ich mit 200 über die Bahn brettern kann. :zwinker:

 

[SpaceRat]

Es bekommt nämlich nicht nur jeder Business Kunde eine IPV4, sondern auch jeder Horizon Kunde.

:wand: Und genau deswegen muss UM mit den IPv4 Adressen haushalten. Natürlich haben die noch einen Vorrat an IPv4 Adressen aber der ist eben endlich.

Und abgesehen davon stimmt es ja auch gar nicht.
Die aktuelle Horrorkotz kann meines Wissens sehr wohl IPv6 und IPv4-lite und wird auch so betrieben.

Diese ganze Diskussion darüber, daß es eigentlich ja noch unglaublich viele IPv4-Adressen für alle gäbe und Unitymedia einfach nur gemein zu seinen Kunden sein will, wird langsam noch dämlicher als dieser Reichsbürger-Spleen.

Da gab es schonmal einen:

Die ganze Energie, die darin verplempert wird, alchemistisch auszurechnen, daß 4 Mrd minus 4 Mrd nicht 0 sondern 1 Mrd ist, könnte man sinnvoller investieren, z.B. darin bei AVM nachzubohren, wieso deren VPN bis heute kein IPv6 kann.
Es ist nämlich keine Einschränkung des verwendeten Protokolls, daß das nicht geht, StrongSWAN nutzt das selbe und kann IPv6 (IPv4 in IPv6-Tunneln, IPv6 in IPv4-Tunneln usw.).

Und dann könnte man noch bei Vaderfone und o2 nachfragen, wann man gedenkt, den Finger aus dem 4rsch zu kriegen, um endlich IPv6 im Mobilfunknetz einzubinden ...
Wenn dann noch Zeit ist, kann man natürlich auch Unitymedia auf den Sack gehen, wie es sein kann, daß es dort immer noch IPv4-only-Anschlüsse gibt (Business und Alt-Kunden).

 

[Andreas1969]

Ein Unding ist auch, daß AVM behauptet, daß eine VPN Verbindung zwischen 2 Fritten (eine DSLITE und die andere IPV4 only) problemlos funktioniert.
Damit wäre ja mein Problem gelöst.
Nachdem die bei mir alles geprüft haben und keinen Fehler festgestellt haben, haben die auf einmal ganz klein beigegeben und gesagt, es läge an Unitymedia und deren komplexen Routing, welches für AVM nicht mehr nachvollziehbar ist. Ich sollte mich an die wenden, um das Problem zu lösen. Das spare ich mir aber lieber, da ich den Kundenservice ja schon sehr gut kenne. Die verstehen ja eh nur Bahnhof.

Auf die Frage, ob AVM diese Konstellation der VPN Verbindung (DSLITE und IPV4 only) im Eigenen Haus überhaupt schon mal getestet hat, habe ich bis heute keine Antwort bekommen. Mit dies Frage habe ich wohl am deren Ehre gekratzt.

Gruß Andreas

 

[hajodele]

Und abgesehen davon stimmt es ja auch gar nicht.
Die aktuelle Horrorkotz kann meines Wissens sehr wohl IPv6 und IPv4-lite und wird auch so betrieben.

Diese Frage habe ich vor ein paar Wochen in der Community gestellt und erhielt von einem UM-Mitarbeiter als Antwort, dass die Horizon2 zwar DS-Lite kann, aber bis auf weiteres trotzdem mit IPv4 ausgeliefert wird.
Und Nein - in dieser unsäglichen Software suche ich nicht nach dem Link.
Da wir es mit Unitymedia zu tun haben, kann selbstverständlich beides zutreffen.

Ob bei der VDSL tatsächlich 100 Mbit ankommen, hängt sehr stark von der Entfernung zum Verteiler ab.
Mein Wohngebiet wurde 2013 ausgebaut und es sind grundsätzlich auch 100 Mbit verfügbar.
Bei meiner Adresse sind es aber schon nur noch 50 Mbit und die Straße geht noch ein paar hundert Meter weiter.
Eine weitere Ausbaustufe ist nicht in sicht.

 

[Andreas1969]

Ich wäre ja mit 50/10 MBIT schon zufrieden, da würde ich sofort wechseln. Leider hat die Telekom bei uns den Ausbau in den letzten 10 Jahren verschlafen, wodurch mittlerweile ca. 90% der Kunden zu Unitymedia gewechselt sind. Jetzt besteht natürlich kein Anreiz mehr für die Telekom, dieses Gebiet auszubauen, da man zusätzlich zum Ausbau ja auch die ganzen weggelaufenen Kunden bei Unitymedia wieder abwerben müsste.
Meine Stadt ist bis heute noch nicht einmal in der Ausbau Planung aufgeführt.
Ich bin auch mal gespannt, ob das Ausbau versprechen der Bundesregierung eingehalten wird, dass bis Ende 2018 jeder Haushalt mit mind. 50 MBIT versorgt sein soll?
Das lässt mich momentan noch etwas hoffen.

Gruß Andreas

 

[Andreas1969]

Und noch etwas, bedingt durch den hohen Prozentsatz der Haushalte, die zu Unitymedia gewechselt sind, hatten wir bis vor 1 Jahr massive Geschwindigkeitsprobleme besonders in den Abendstunden. Da ist der Download teilweise von 200 auf unter 10 Mbit eingebrochen und der Ping ging auf über 50 ms hoch.
Unitymedia hat dann aufgrund vieler Kundenbeschwerden irgendwann reagiert und reichlich Glasfaser verlegt und etliche Nodesplit's durchgeführt. Jetzt liegen die 200 Mbit zu jeder Tageszeit voll an.
Das paradoxe daran ist: die Glasfaser Leitungen wurden durch das Leerrohrsystem der Telekom verlegt.


Gruß Andreas

 

[hajodele]

Ich bin auch mal gespannt, ob das Ausbau versprechen der Bundesregierung eingehalten wird, dass bis Ende 2018 jeder Haushalt mit mind. 50 MBIT versorgt sein soll?
Das lässt mich momentan noch etwas hoffen.

Das ist bei dir doch schon durchs Kabel erfüllt. Oder war da noch was mit freier Providerauswahl?

 

[Andreas1969]

Der Ausbau ist für mich erst abgeschlossen, wenn ich einen unkastrierten Zugang mit mind. 50 MBIT zum Internet bekommen kann. Und das ist ja wohl momentan nicht der Fall. Kabelanbieter gehören für mich grundsätzlich nicht in die Ausbauplanung. Die sollten sich lieber auf das Kerngeschäft konzentrieren und TV verkaufen. Ausserdem fängt bei mir ein richtiger Internetanschluss erst dann an, wenn ich alleine auf einem Port am DSLAM hänge. Das ist ja bei Unitymedia nicht der fall. Als Zwischenlösung käme für mich höchstens in Frage, dass die Bundesregierung die Kabelanbieter zwingt, deren Netz für alle anderen Anbieter freizugeben.
Ähnlich, wie es jetzt bei der freien Routerwahl der Fall ist.

Gruß Andreas

 

[Leseratte10]

Was ist denn bei UM kastriert? Ports für lokale Datenaustausch-Protokolle die nie fürs Internet gedacht waren und komplett unsicher sind. VPN funktioniert bei UM problemlos - über IPv6. Und in der Definition von "Internet", in den RFCs steht drin, dass auch ein Anschluss mit DS-Lite vollwertig ist - die Anschlüsse mit nur IPv4 sind es nicht. Also ist dein Anschluss weder kastriert noch wirst du das vor irgendeinem Gericht durchbringen. Und ob du jetzt mit eigenem Kabel am DSLAM oder mit geteiltem Kabel am CMTS hängst ist auch egal - hinter dem DSLAM ist dann eh wieder alles "shared".

Und selbst wenn du das anders siehst - es gibt ja auch die Businesstarife die all das beinhalten was du willst. Meines Wissens wurde für den Bandbreitenausbau kein Höchstpreis von 30€ oder so angegeben, und wenn du mehr als" normal" (DS-Lite) haben willst musst du eben mehr ausgeben.

 

[Andreas1969]

Das sehe ich aber anders.
Warum sollte ich Unitymedia so viel Geld in den Rachen schmeißen, wenn ich so einen Anschluss bei der Telekom für 35-45 Euro bekommen könnte, wenn denn ausgebaut wäre?
Das kommt ja einer 2 Klassen Gesellschaft nahe.

Gruß Andreas

 

[Andreas1969]

Und um nochmals auf meine ursprüngliche Frage zurückzukommen, es muss doch bei den vielen 1000en Usern hier einen geben, der in NRW im Unitymedia Netz 2 Fritten (eine DSLITE und eine IPV4 only) per VPN gekoppelt hat bzw. hinbekommen hat und mir verraten kann, was ich da genau an der Config verändern muss.

Oder gibt es wirklich keinen, der das hinbekommen hat?
Die Informationen dazu wären mir auch was wert.
Eine Vergütung würde ich für das Herausrücken der detaillierten Informationen schon zahlen.

Gruß Andreas

 

[Leseratte10]

Gut, das ist dann halt so. Es gibt halt in unterschiedlichen Gebieten unterschiedliche Anbieter - Bandbreitenausbau bedeutet nicht, dass ein Anbieter (Telekom) gezwungen wird, überall in ganz Deutschland schnelles Internet anzubieten, sondern, dass es in ganz Deutschland schnelles Internet gibt, von irgend einem Anbieter. Wenn dann in bestimmten Gebieten andere Anbieter teurer sind, dann ist das halt so. Und solange das nicht irgendwie >100€ / Monat kostet, wirst du kaum begründen können "Der Internetausbau ist noch nicht abgeschlossen", nur weil ein Internetanschluss, so wie du ihn dir vorstellst, ein paar Euro teurer ist.

Und nach der aktuell gültigen Definition von "Internet" ist ein DS-Lite-Anschluss ein perfekter vollständiger Internetanschluss.

Aber um zum Thema zurückzukommen: Hier ne Anleitung, was du am AVM-VPN ändern musst, damit das zwischen DS-Lite <> IPv4 läuft: http://www.ip-phone-forum.de/showthread.php?t=283359&p=2138398&viewfull=1#post2138398

 

[Andreas1969]

Ha, Ha
die Hinweise hatte ich befolgt, trotzdem keine VPN Verbindung möglich.
Der Kollege im Beispiel hat ja auch keine Fritte im Unitymedia Netz hängen.

Ich ziehe jetzt mal Bilanz :
1. VPN zwischen 2 Fritten im Telekom Netz geht.
2. VPN zwischen 2 Fritten (Telekom und Unitymedia IPV4 only) geht nicht.
3. VPN zwischen 2 Fritten (Telekom und Unitymedia DSLITE) geht nicht.
4. VPN zwischen 2 Fritten (Unitymedia IPV4 und Unitymedia DSLITE) geht nicht.
5. VPN zwischen 2 Fritten (beide Unitymedia IPV4 only) konnte ich mangels 2ten Anschluss mit IPV4 nicht testen, würde aber mal stark vermuten, daß das auch nicht geht.
Die Anschlüsse befinden sich alle in NRW.
Es mag ja sein, daß es in BW geht?
Für mich ist aber NRW ausschlaggebend.

Wie wollt Ihr mir jetzt bitteschön erklären, daß es nicht an Unitymedia liegt, bzw. dass die nichts blocken?

Oder wer hat das in NRW am Laufen?
Für sachdienliche Hinweise würde ich mich auch erkenntlich zeigen.

Jetzt aber mal los!

Gruß Andreas

 

[F-orced-customer]

AVM verletzt RFCs mit ihrem proprietären VPN- Protokoll und/oder UM versaut die Pakete im Transport.

Geht IPSEC und openvpn im UM Netz?

 

[SpaceRat]

2. VPN zwischen 2 Fritten (Telekom und Unitymedia IPV4 only) geht nicht.
5. VPN zwischen 2 Fritten (beide Unitymedia IPV4 only) konnte ich mangels 2ten Anschluss mit IPV4 nicht testen, würde aber mal stark vermuten, daß das auch nicht geht.

Bullshit.

Oder wer hat das in NRW am Laufen?

Habe ich Dir schon mal gesagt, daß das geht und daß ich das genau so am Laufen (dran am tun) habe.
Sogar noch mit einigen Erschwernissen dabei

Momentan arbeite ich daran, das Spezialkonstrukt um die Fritz!Box 7390 wegzuschaffen, indem ich die VPN-Verbindung direkt auf dem Linksys mittels StrongSWAN aufbaue.
Funktioniert soweit auch schon, nur muß ich noch dran feilen, daß es auch automatisch hochkommt und richtig geroutet wird.

 

[tq1199]

... openvpn im UM Netz?

Ja, OpenVPN geht im UM-Netz.

 

[SpaceRat]

AVM verletzt RFCs mit ihrem proprietären VPN- Protokoll und/oder UM versaut die Pakete im Transport.

Weder noch.

Es ist IPSec mit IKEv1, was AVM da nutzt.

Mit der folgenden /etc/ipsec.conf ist ein Aufbau zu einem unmodifizierten AVM-VPN möglich:

config setup
conn %default left=left-DynDNS leftsubnet=192.168.75.0/24 authby=secret aggressive=yes leftfirewall=yes dpddelay=15 dpdtimeout=60 dpdaction=restart
conn Cologne type=tunnel keyexchange=ikev1 ike=aes256-sha-modp1024 esp=aes256-sha1-modp1024 right=right.myfritz.net [email protected] rightsubnet=192.168.3.0/24 ikelifetime=3600s keylife=3600s auto=start closeaction=restart

Geht IPSEC und openvpn im UM Netz?

Natürlich.

root@OpenWrt:~# ipsec status Cologne
no files found matching '/etc/strongswan.d/*.conf'
Security Associations (2 up, 0 connecting): Cologne[1]: ESTABLISHED 15 seconds ago, 37.24.123.45[left.dyn.dns]...109.91.23.45[right.myfritz.net] Cologne{1}: INSTALLED, TUNNEL, reqid 1, ESP in UDP SPIs: b80e7b79_i fe261db9_o Cologne{1}: 192.168.75.0/24 === 192.168.3.0/24

 

[F-orced-customer]

Es ist IPSec mit IKEv1, was AVM da nutzt.

Ich erinnere mich da an 2 Initverfahren, die FB7240 hat nur das primitivere unterstützt, Aggressive Mode Handshake.

Andreas, versuch mal ike-scan -v -s 0 --aggressive --id=xxxxxxxxxxxxx fritz.box

 

[SpaceRat]

Ich erinnere mich da an 2 Initverfahren, die FB7240 hat nur das primitivere unterstützt, Aggressive Mode Handshake.

Das ist korrekt und gilt für alle AVM VPNs.
Man muß strongSWAN etwas triezen, damit es das mitmacht, weshalb auch die meisten Anleitungen stattdessen die Anpassung im AVM-VPN beschreiben.

Ich habe meine VPNs jetzt auch von aggressive mode auf main mode umgestellt, aber zuerst einmal wollte ich es unmodifiziert ans Laufen kriegen.

Somit entfällt bei mir der fiese Hack mit dem dritten Router, der nur dazu da war, der Fritz!Box (im Router-Modus) eine WAN-Verbindung vorzugaukeln, obwohl sie eigentlich nur als IP-Client zu laufen braucht (Nur daß im Client-Modus das AVM-VPN nicht geht...).

 

[Andreas1969]

Kann es eventuell an den unterschiedlichen FW Ständen der Boxen liegen?
Die beiden Boxen im Telekom Netz hatten beide den FW Stand 6.60
Die 6490 im Unitymedia Netz FW 6.50
Die 6360 im Unitymedia Netz FW 6.33

Die FW Stände der Unitymedia Boxen kann ich ja nicht beeinflussen, da es sich um Mietgeräte handelt.
Da bin ich auf das Wohlwollen von Unitymedia angewiesen und die sind ja bekanntlich äußerst unflexibel.

Gruß Andreas

 

[Andreas1969]

Was ich auch komisch finde:

Auf der 6490 wird unter Adresse im Internet die IP4 Adresse des Unitymedia AFTR'S angezeigt, über welches die 6360 mit der IPV4 Welt kommuniziert.

Ist das überhaupt richtig?

Gruß Andreas

 

[hajodele]

VPN ist ja keine neue Technologie.
Wenn es da irgendwann zu irgendwelchen Beeinträchtigungen gekommen wäre, hätte man das sicher mitbekommen.
Die einzige Beeinträchtigung, die mir einfällt, war vor 2 Jahren oder so. Mit der damaligen Firmware hat es Probleme mit der Telefonie gegeben, wenn gleichzeitig VPN aufgebaut war.
Ich benutze in BaWü seit 2010 VPN über 3 Standorte mit wechselnden Providern. Mindestens 1 war immer Kabel.

Die FW ist einerseits so aktuell andererseits so lange im Einsatz, dass sicher schon der Eine oder andere Gemeckert hätte.
Ein Problem könnte man höchstens ableiten, wenn VPN vorher lief und jetzt mit einer neuen FW nicht mehr tut.

Bei mir sind es aktuell
6340 (FW 6.04)
6360 (FW 6.50)
7390 (FW 6.51)
Die Konfiguration hat schon manchen Update klaglos überstanden.

Wegen AFTR: Bist du sicher, dass die 6490 IPv4 hat? Dass es bei 2 DS-Lite-Systemen passieren kann, ist möglich. Passiert das mit aktivem VPN oder auch, wenn VPN deaktiviert ist.

 

[Andreas1969]

Die 6490 hat schon IPV4.

Die Adresse des AFTR wird ja auch unter der VPN Verbindung der Partnerbox angezeigt.

Gruß Andreas

 

[Andreas1969]

Hier mal die VPN Konfiguration der 6490 (IPV4 only):
die tatsächliche Dyn Adresse der 6360 habe ich hier sicherheitshalber mal in XXX geändert


vpncfg {
vpncfg_version = 1;
connections {
enabled = yes;
editable = no;
conn_type = conntype_lan;
name = "XXX.myfritz.net";
boxuser_id = 0;
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "";
keepalive_ip = 0.0.0.0;
localid {
fqdn = "SECRET";
}
remoteid {
fqdn = "SECRET";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "SECRET";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.2.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.13.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.13.0 255.255.255.0";
app_id = 0;
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}





Und hier die VPN Konfiguration der 6360 (DSLite):
die tatsächliche Dyn Adresse der 6490 habe ich hier sicherheitshalber mal in YYY geändert


vpncfg {
connections {
enabled = yes;
editable = yes;
conn_type = conntype_lan;
name = "YYY.myfritz.net";
boxuser_id = 0;
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "YYY.myfritz.net";
keepalive_ip = 192.168.2.1;
localid {
fqdn = "SECRET";
}
remoteid {
fqdn = "SECRET";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "SECRET";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.13.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.2.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.2.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


würde da eventuell freundlicherweise mal jemand drüber schauen?
Vielleicht sehe ich ja den Wald vor lauter Bäumen nicht mehr.
Eigentlich ist alles korrekt, AVM konnte ja auch keinen Fehler feststellen.

Danke und Gruß Andreas

 

[Andreas1969]

Hier mal der Status der 6360 (DSLite)



In diesem Bild der 6360 kann man sehen, daß die IPV4 der 6490 korrekt angezeigt wird.
Lokales und entferntes Netz werden nicht angezeigt und der VPN Status ist grau.



Hier mal der Status der 6490 (IPV4)



In diesem Bild der 6490 sieht man schön, daß die IPV4 des Unitymedia AFTR´s über welches die 6360 angebunden ist, angezeigt wird, darf das überhaupt so sein?
Lokales und entferntes Netz werden korrekt angezeigt und der VPN Status ist auch grün.



Wo ist denn jetzt in Gottesnamen der Fehler im System?
Das muss doch so laufen.
Vielleicht hat ja noch jemand eine Idee.

Gruß Andreas