Unitymedia EPC3208G Port Forwarding fehlt seit heute?!?

[oxygen]

Ich habe hinten dran noch ein WLAN Router von dlink. Warum kann ich nicht einstellen das dieser Router, Netzseitig von der EPC3208G, ne IPv6 Adresse bekommt und mit dem dann sowas wie ein NAT in mein Privates IPv4 Netz machen?

Weil der das (wahscheinlich) nicht kann. Das ist sehr komplexes Szenario.

Kann das EPC überhaupt Nutzerseitig IPv6? weil es läuft ja ein DHCP Server mit v4 Adressen.

Ja, allerdings weiß ich ob über DHCPv6 (wäre eher ungewöhnlich) oder IPv6RA. Wahrscheinlich letzteres.

 

[be3]

warum ist das komplex? das ist genau das was ein router machen soll/muss?

eine andere frage ist mir gerade noch beim lesen von betreffenden Posts gekommen.

Was hat die Fehlende Port Forwarding Einstellung in dem UM Modem mit der Umstellung auf IPv6 zu tun?
weil die Funktion eh unsinnig wäre, weil die Ports beim NAT Server bei UM Hängen bleiben?

oder ist das nur Zufall?

 

[oxygen]

warum ist das komplex? das ist genau das was ein router machen soll/muss?

Ein IPv6 Dual-Stack-Lite Betrieb ist kompliziert und ist nicht wirklich die typische Aufgabenstellung für ein SOHO Router. Davon abgesehen ist selbst normale IPv6 Dual-Stack Unterstützung bei Endandwendergeräten selten vorhanden.

 

[webman]

Die Idee mit IPv6 ist, dass jedes Gerät im LAN seine eigene IPv6-Adresse bekommt. Adressen gibt es ja genug davon.
Ausserdem soll dem Kunden vermutlich so mitgeteilt werden: IPv4 port forwarding versuch erst gar nicht, es funktioniert nun nicht mehr.

 

[min3z]

Jau, das EPC vergibt automatisch IPv6 Adressen. Sollte das angeschlossene Gerät keinen IPv6 Stack haben, wird eine IPv4 ausgegeben.

Da Dein Router ja hinter dem EPC liegt und nicht im Bridged Modus (einfach alles durchschleifen) läuft wird alles in Dein LAN genNATed und somit nur IPv4.

Bei IPv6 gibt es kein Port Forwarding mehr, das wird jetzt alles "gelayert". Aus diesem Grund fehlt Dir auch die Registerkarte im EPC. So hätte ich es auch am liebsten, die Technik sieht dies aber nicht vor

Was hat die Fehlende Port Forwarding Einstellung in dem UM Modem mit der Umstellung auf IPv6 zu tun?
weil die Funktion eh unsinnig wäre, weil die Ports beim NAT Server bei UM Hängen bleiben?
oder ist das nur Zufall?

Bei einem normalen Dual Stack wäre das noch möglich, da Du hier zur IPv6 eine ECHTE bzw eigene IPv4 hättest. Da dies nicht der Fall ist, kannst Du, wie genau richtig geschlussfolgert, mit der Option für's Port Forwarding nichts mehr anfangen. Daher wurde Sie mit der neuen Config ausgeblendet.

Sofern ich das gelesen habe, ist Synology etwas länger schon für IPv6 ausgerüstet. Kannst Du uns das genaue Modell einmal sagen, dann könnten wir dir eher helfen

Gruß
min3z

 

[Edding]

Das wird ja in zukunft ein fest für script-kiddies.

möchte nicht wissen, wieviel rechner dann mit offenem scheunentor im netz stehen, wie damals zu dsl zeiten wo es nur modems gab.

so software firewalls sind auch nicht das ware, bei den ganzen malware/trojaner verseuchten rechnern die ich immer wieder säubern muss, ist die windows firewall schonmal garnichtmehr aktiv und anderen software firewalls habe ich auf solchen rechnern auch noch nie gesehen. cfreak:
wobei selbste diese auch einfach ausgeschaltet werden, wenn der rechner erstmal infiziert ist.

da flatter sicher dann mal der ein oder andere brief von einem anwalt ins haus.

 

[THX1138]

Das wird ja in zukunft ein fest für script-kiddies.

möchte nicht wissen, wieviel rechner dann mit offenem scheunentor im netz stehen, wie damals zu dsl zeiten wo es nur modems gab.

Ich weiß nicht, wie das bei dem Cisco EPC3208G ist, aber bei den Fritz!boxen ist IPv6 standardmäßig genauso sicher wie IPv4.

Per Default kann von außen kein Rechner im LAN erreicht werden, wenn nicht zuvor eine Verbindung von innen initiiert wurde (Statefull Firewall).

Will man einen Rechner ins Netz freigeben, so muss eine entsprechende Firewallregel angelegt werden. Aus Sicht des Benutzers sieht das fast genauso aus wie eine Portweiterleitung bei IPv4. Nur das man jetzt nicht mehr jede Portnummer nur an einen internen Rechner weiterleiten kann, sondern pro Zielrechner beliebige Ports freigeben kann.

Und was bisher ging: einen Rechner ohne Router direkt an das Modem (und damit das Internet) zu hängen, geht jetzt dank zwangsweiser Kombigeräte nicht mehr. Natürlich kann man dann wieder den Rechner als "Exposed Host" definieren, aber das war bei IPv4 auch schon so und da gilt dann wieder:

Everytime somebody creates something idiot proof, Mother Nature creates a better idiot.

 

[Edding]

Danke für die aufklärung, bin ich ja beruhig

 

[min3z]

Beim EPC3208G ist leider genau dies das Problem

Sobald ich meinen (eigenen, hinter dem EPC) Router in den Bridge Modus setze oder ein Gerät direkt verbinde, kann auf jedes Gerät von außen zugegriffen werden. Bin so z.B. zum testen, einmal mit dem Handy "außen rum" über UMTS per SMB auf meinen Laptop. Und das sind die Default Settings.

Man kann auch bei diesem Router komplett alles sperren und nur mit Port Triggering arbeiten (nur eine von innen nach außen gestellte Anfrage, wird auch von außen nach innen beantwortet). Hier muss man aber wieder von Hand, alle Ports einzeln eintragen, kann das aber nicht von der IP des LAN Gerätes abhängig machen. Sprich: eine Regel, gilt für alle Geräte.

AVM war schon immer Klasse darin, die Geräte per Default schon sicher zu machen. Denken wir alleine mal daran, dass die jahrelang die einzigen waren, die per default WPA benutzt haben, während alle anderen auf WEP stehen. Leider gibt UM ja keine Fritzboxen mehr aus. Selber kaufen darf man die zwar, werden von UM aber nicht freigeschaltet. So hat mein Bruder letztes jahr 150€ in den Sand gesetzt.

 

[Requiem]

Hallo,

ich bin wegen Neubaus UM-Neukunde und auch auf den Zugang mit UM angewiesen, da in unserem Anschlussgebiet die Telekom und alle anderen, welche über deren Kabel anbieten, leider nur sehr, sehr langsame Anbindungen anbieten können.
(zunächst mal) leider ist es nun so, dass ich einen nativen IPv6 Zugang mit DSLite bekommen habe. Support konnte mich nur auf die Möglihkeit verweisen, einen Businesskundenanshluss zu nehmen (als Freiberufler ginge das sogar), da bekomme ich aber ansonsten für mehr Geld weniger Leistung *seufz*.
Mein Problem: Ich muss für Home Office auf meinen Server zu Hause zugreifen können, zumindest http(s) und RDP sind für mich doch recht wichtig.
Was ich nicht einordnen kann, ist, wie lange dieser Zustand, das Port Forwarding nicht möglich ist, niht funktioniert. Letztlih läuft auf meinem Server ein WHS2011 und auf allen zu erreichenden Clients ein Win7 x64, die ja IPv6 alle unterstützen. Warum komme ich dann mit der physischen Ipv6-Adresse auch nicht auf den Server?
Gibt es eine Lösung oder ist zumindest absehbar, das eingehende Verbindungen irgendwann wieder durchkommen? Ich überblicke das trotz lesen diverser Artikel in diversen Foren noch nicht so ganz.

 

[be3]

also soweit ich das verstanden habe, ist die einzige Möglichkeit die wir haben auch das private Netzwerk zuhause auf ipv6 umzustellen. dann brächtest du noch einen dyndns dienst der ipv6 unterstützt und es sollte laufen.

 

[Requiem]

Mmmh, und das heißt konkret? Ich habe mittlerweile immerhin meinem Server auf port 80 mit seiner ipv6 Adresse absprechen können, aber nur von subnetonline.com. wenn ich versuche, direkt aus dem Browser heraus die Seite zu öffnen,bekomme ich einen tineout...http und RDP wären jedoch richtig wichtig für mich.

 

[oxygen]

da bleibt dir nur der Buisness Anschluss.

 

[Requiem]

Da ich mich bisher noch nicht so mit IPV6 und DSLite beschäftigt habe (da ich damit bisher nie ein Problem hatte, da vorher DSL-IPv4), noch eine Verständnisfrage: Warum nur der Businessanschluss?
Mit Windows Home Server 2011, der auf Server 2008 R2 fusst, habe ich ja ein OS, welches IPv6 unterstützt. Der Portscan von SubnetOnline.com zeigt mir, wenn ich die IPv6-Adresse des Servers eingebe, dass da ein offener, erreichbarer Port ist, also scheine ich ja irgendwie dranzukommen. Jedenfalls kommt SubnetOnline dran.
Wenn ich jetzt selbst unterwegs bin und auf meinen Server zugreifen möchte, geschieht das üblicherweise via Mobilfunk-Tethering und Notebook, also mit irgendeiner geNATteten IPv4. Wenn ich aber aus dem ipv4-Netz kommend auf mein ipv6-gerät zu Hause zugreifen können möchte, sollte das durch die Tunnelung nicht funktionieren? Oder gäbe es zB die Möglichkeit, über ipv6-fähige DynDNS-Hoster oder VPN-Anbieter wieder auf mein Netz zugreifen zu können? Ich wäre durhaus auch bereit, dafür kostenpflichtige Dienste in Anspruch zu nehmen.
Ich würde die einfache Lösung - auf Businessanschluss umstellen - gerne vermeiden, da ich da mehr Geld für weniger Leistung ausgeben muss.

Die andere Frage: Sprehen wir hier über eine überblickbare Durststrecke mit diesem Problem oder wird sih das erst dann lösen, wenn ipv6 flähendeckend eingeführt ist (was ja nunmal einfach noch dauern wird, evtl geht's ja jetzt mit erschöpgung des Ipv4-Adresspools schneller).

Danke für Eure Hilfe!

 

[Tobey]

Das Problem besteht darin, dass man mit einer IPv4 Addresse nicht direkt auf eine IPv6 Addresse zugreifen kann.
Somit benötigt man also eine Zwischenstelle die übersetzt (in diesem beispiel subnetonline). Da es mit DS-Lite nur möglich ist ausgehende Verbindungen von IPv6 zu IPv4 zu übersetzen ist der Zugriff vom IPv4 Mobilfunk Tethering NICHT möglich.

Möglichkeiten:
- ein externer VPN anbieter und alle geräte in dieses VPN einbinden.
- abwarten bis auch das Mobilfunk Tethering auf IPv6 umsteigt (wir reden hier von Monaten wenn nicht Jahre).
- auf den Businessanschluss umstellen lassen um eine eigene IPv4 Adresse zu bekommen.

 

[Requiem]

Danke, so in etwa hatte ich das vermutet. Es gibt einen Tunnelinglient (gogoclient von freenet6), der das offenbar können soll. Hat damit jemand Erfahrungen gemacht?

 

[rza99]

Hallo,

ich hoffe das mir jemand weiterhelfen kann, ich bin schon kurz davor bei KabelBW zu kündigen obwohl ich gerade mal 1 Woche Kunde bin. Ich habe gestern bei der Hotline angerufen aber mir konnte keiner weiterhelfen. Ich sollte heute von einem Techniker angerufen werden, das ist aber nicht passiert. Ich habe keine lust jedes Mal in der Hotline zu warten und zu zahlen (14 Cent/min).
So wie ich das gelesen habe bin ich nicht der einzige, der HomeOffice macht.
Mein Problem ist das der VPN Tunnel ins geschäfft nicht mehr funktioniert, obwohl ich VPN-Passthrough aktiviert habe. Ports kann ich auch nicht freigeben obwohl im Handbuch diese Option vorhanden ist "Portbereich Weiterleitung". Ich vermute das, dass irgendwas mit der Umstellung auf IPv6 zu tun hat. Ich frage mich warum die sowas machen wenn nichts mehr funktioniert.
Wenn so ein großer Konzern wie Kabel BW sowas durchführt, dann sollte man die Kunden vorher eventuell informieren.
Zudem hängt sich jeden Tag mein Router auf und ich muss ihn aus und einschalten, 100 Mbit bestellt aber maximal 60 Mbit geht.
Hab ich keine Chance das es funktionert? Die Kommunikation läuft über das IPsec Protokoll.
Danke.

Edit:
Ich habe nochmal bei Kabel BW angerufen, mit der bitte auf IPv4 umzustellen. Bis spätenstens morgen sollte es funktionieren(hoffentlich).


MFG

rza99

 

[min3z]

Tobey hatte es auf Seite 4 (letzter Post) gut ausgedrückt. Man kann nicht mit IPv4 auf IPv6 Adressen zugreifen und auch nicht umgekehrt.

Hat es denn funktioniert mit KabelBW? Würde es Dir wünschen. Wenn ich bei UnityMedia anrufe, weiß niemand, was IPv6 überhaupt ist

 

[piotr]

Man kann durchaus von einem IPv4only-Anschluss auf eine IPv6 Adresse zugreifen.

Dafuer sind die IPv6 tunnel broker wie z.B. gogo6, SixXS, HurricaneElectric etc da.

 

[min3z]

Klar geht das aber für den Otto Normalverbraucher ist das ein riesiger Aufwand.

 

[oxygen]

Klar geht das aber für den Otto Normalverbraucher ist das ein riesiger Aufwand.

Jein. Unter Windows 7 und neuer ist Standardmäßig Teredo aktiv. Das startet automatisch einen IPv6 Tunnel wenn man versucht eine IPv6 zu erreichen. Das ist ziemlich wenig Aufwand, nämlicher keiner.

 

[NoGi]

Klar geht das aber für den Otto Normalverbraucher ist das ein riesiger Aufwand.

Jein. Unter Windows 7 und neuer ist Standardmäßig Teredo aktiv. Das startet automatisch einen IPv6 Tunnel wenn man versucht eine IPv6 zu erreichen. Das ist ziemlich wenig Aufwand, nämlicher keiner.

Und falls Du eine KBW Fritzbox hast, macht das die Box auf Wunsch automatisch.

-NoGi

 

[Requiem]

Mhhhh,

ich muss gestehen, es nicht geschafft zu haben, via Tunnel Broker (gogo6-client) eine Verbindung zu meinem im Heimnetz stehenden Webserver aufzubauen, obwohl in der FB alles richtig konfiguriert war und der IPv6-Portscan von subnetonline.com diesen Port erreichen konnte. Ebenso habe ich keine RDP-Konnektivität. Von daher werde ich im Laufe des Tages auf Businesskunde umgestellt. Ist zwar teurer, aber für mich unabdingbar. zumal ich eh nicht von allen Rechnern aus, die ich beruflich nutze, die Möglichkeit habe, Tunnelinterfaces zu installieren / installieren zu lassen.
Ich hoffe, nach der Umstellung bin ich wieder "voll da" ;-)

 

[marcometer]

Also ich muss mal ehrlich sagen, dass sich in Sachen IPv6 Umstellung wirklich noch einiges tun muss.
Aufgeschreckt durch die Beiträge schon umgestellter bzw neuer Kunden habe ich mich proaktiv mal um dieses Thema gekümmert und bin immer wieder gegen Wände gelaufen.
Zwar habe ich selbst noch eine eigene, öffentliche IPv4 Adresse, jedoch ist ab zu sehen, dass es mich auch bald ereilt...

Status:
2-Play Premium 100 + "ISDN"
FritzBox 6360
DynDNS.org free

FTP Server auf einem Windows PC
CCcam Server auf einer Dreambox
uTorrent auf einem Windows PC

Diese 3 Sachen brauchen ein funktionierendes Portforwarding bei IPv4, wird einem dies genommen ist man aufgeschmissen.

An dieser stelle würde ich jetzt gerne

Spoiler

nutzen, denn sicher nicht jeder will den gesamten Text lesen...

Spoiler

Ich fing also mit dem FTP Server an und fand heraus, dass dieser auch IPv6 unterstützt - juhu.
"Gleich mal lokal testen" dachte ich, scheiterte jedoch schon beim FTP Client.
FTPRush unterstützt IPv6 nicht... Nun ja, dann eben nach einem Client mit IPv6 Support gegoogled und fündig geworden.
FlashFXP Testversion -> juhu, ich komme via IPv6 auf meinem lokalen FTP Server!
Aber! - es geht auch bei FlashFXP nicht via dyndns, denn die wird bei FlashFXP wohl nur nach IPv4 aufgelöst, obwohl ein ping -6 auf meine dyndns die richtige IPv6 zurück gibt und auch funktioniert.
Man muss also die direkte IPv6 Adresse bei FlashFXP angeben!
Nun ging es daran diesen auch dem Rest der Welt zur Verfügung zu stellen, denn der IPv6 Portscan von subnetonline.com blieb natürlich rot.
Also fritz.box auf und mal schauen was man da so tun kann.
Ok, im normalen "Portfreigaben" Bereich geht schon mal nichts, denn da werden nur IPv4 Adressen akzeptiert...
Aber es gibt ja noch den Punkt Freigaben -> IPv6
Schnell stellte sich Ernüchterung ein, denn dieser Bereich ist wirklich sehr spartanisch gehalten.
Hat man noch keine Freigaben eingerichtet sieht mane eine leere Liste und die Möglichkeit eine neue Freigabe ein zu richten.
Gelesen, geklickt... Ein neuer Bereich mit einer Drop-Down Liste ein paar unserer lokalen Rechner, eine Textbox für einen Namen und 4 kleine für eine Interface-ID.
Natürlich war der Rechner, auf dem der FTP Server läuft, nicht in der Drop-Down Liste zu finden und da ich mit Interface-ID nichts anfangen konnte und die Hilfe dazu auch nichts hatte ging es mal wieder ans Suchen.
Erster Reflex: google -> fritzbox ipv6 interface-id
nun ja... paar Seiten durchsucht, paar Texte gelesen und so wirklich klar wurde es immer noch nicht.
Manch einer schlug vor die lokale MAC-Adresse zu ändern und dann Teile davon als Interface-ID ein zu tragen etc...
Also aufgegeben und selbst probiert:
Ich wählte einfach mal einen der vorhandenen Rechner aus der Drop-Down Liste, schwupp füllten sich die 4 Interface-ID felder mit HEX Werten und die Liste hatte einen Eintrag mit dem Rechner Namen und einer HEX Angabe in Form von ::12ab:34cd:56ef:78ab.
Aber was soll das sein?
Ich untersuchte den gewählten Rechner und versuchte diese Folge irgendwie aus der MAC zu lesen etc... Aber irgendwie alles Käse gewesen.
Aber dann, endlich eine Übereinstimmung!
Die HEX-Werte stimmen mit einem Teil der Verbindungslokale IPv6-Adresse unter Windows (7) überein.
Sie beginnt mit fe80 und dann kommt eben genau diese HEX-Werte Folge von oben.
Man muss hier mal erwähnen, dass man unter Windows 7 gleich mal 3 IPv6 Adressen unter ipconfig sieht.
IPv6-Adresse. . . . . . . . . . . : 2002:....
Temporäre IPv6-Adresse. . . . . . : 2002:...
Verbindungslokale IPv6-Adresse . : fe80::...

Naja, ok... Also besorgte ich mir die "Interface-ID" des Rechners mit dem FTP-Server und trug diese dann in der FritzBox ein.
Wieder zu subnetonline.com und natürlich erstmal die falsche IPv6 Adresse zum Testen genommen, nämlich die temporäre, da ich annahm, das wäre die, die sich ab und an mal ändert, wenn der Router neu verbindet.
Aber ok, mit der normalen, die man unter ipconfig als IPv6-Adresse findet kam ich dann durch!

Checked port xxxx on Host/IP 2002:...
The checked port (xxxx) is online/reachable!

Wahnsinn!
Also die gleiche Prozedur nochmal für den uTorrent Client Rechner, und auch da war das Ergebnis dann positiv :lovingeyes:
Aber...!! Bei der Dreambox und CCcam ging es dann nicht weiter.
Erstmal hatte die Box selbst gar keine IPv6 Adresse (FritzBox -> Heimnetz -> Geräte und Nutzer -> Dreambox Zeile -> Bearbeiten)
Google, dreambox ipv6, einiges lesen... ok, das wird gehen.
Via Telnet (erstmal noch in den Windows Funktionen den Telnet Client aktiviert) auf die Box, ping6 heise.de ging natürlich nicht.
Also, wie gelesen, opkg install kernel-module-ipv6, schon lief auch ping6.
Nun zeigt auch die FritzBox 2 v6 IPs der Dreambox, also wieder die "Interface-ID" extrahiert und in die Freigaben eingetragen...
Und siehe da: IPv6 Ping von subnetonline.com kommt an
Aber der Port bleibt trotzdem rot...
Und warum? Google brachte es ans Licht: CCcam unterstützt IPv6 nicht und so recht macht es nicht den Anschein, dass da etwas kommen könnte.


Fazit:
3x IPv4 Portforwarding, 2 davon IPv6 tauglich gemacht, einmal kurz vor dem Ziel gescheitert, halben Tag eines Studenten vebraucht.
-> Hersteller, Entwickler und User sind noch lange nicht voll IPv6 tauglich und sollten schnell anfangen sich darum zu kümmern.
Die nicht vorhandene Dokumentation zur Interface-ID in der FritzBox hat mich alleine schon Stunden gekostet...
Meinen bevorzugten FTP Client könnte ich dafür nicht nutzen und Cardsharing würde gar nicht mehr gehen. :wein:

Hoffentlich konnte ich hiermit einigen (Zwangs)Umsteigern etwas helfen, denn nicht jeder hat Lust/Zeit das alles selbst heraus zu finden.

 

[athurdent]

Um nicht-IPv6-fähige private Services anzubieten, könnte man ein VPN benutzen. Zum Transport IPv6 benutzen und darin IPv4 tunneln. Setzt natürlich voraus, dass die anderen Nutzer ebenfalls IPv6 haben. Hier kann man einen Tunnelbroker benutzen. Ist natürlich alles nicht wirklich bequem...