Unitymedia DOCSIS 3.0 IPv4 / IPv6 Durcheinander

[SpaceRat]

ja korrekt
das TC7200 bekommt ein /57er Netz zugewiesen
eine Firewall bekommt dann noch ein /60 Netz aus dem /57er des TC7200

Also wenn das DK7200 tatsächlich inzwischen Prefix Delegation beherrschen würde, wäre das eine kleine Sensation!

Das hieße nämlich, daß man auch seine Fritz!Box (oder einen anderen IPv6-fähigen Router) ganz normal als Router ("Internet über LAN" -> "Verbindung selber herstellen") betreiben könnte!

Wenn dabei am Ende sogar noch die Informationen zum DS-lite-Gateway per DHCPv6 mit an den nachgeschalteten Router übermittelt würden, könnte dieser sogar automagisch eine autarke IPv4-Verbindung (Natürlich auch nur IPv4-lite) herstellen ...

funktioniert soweit korrekt. Ich will als nächstes probieren, von "Aussen" mich auf ein IPv6 in meinem LAN zu verbinden.

Wenn das klappt, selbst wenn man dafür die IPv6-Firewall des DK7200 ausschalten muß, hätte das Teil sämtlichen Schrecken verloren.

 

[Opticum]

Es ist zum Mäuse melken;

ich komme per IPv6 raus, kann sowohl Websiten (z.b. ipv6.google.com) öffnen als auch ssh per IPv6 (auf eine native IPv6 adresse)

Lasse ich mir meine IPv6 Adresse anzeigen http://whatismyipv6address.com/ wird dort die ipv6 meiner Firewall angezeigt.

Ich komme von Aussen nicht "rein" auf eines meiner LAN Geräte. Ich weiss nun nicht ob es ein Unitymedia/TC7200 Problem ist oder mangels Erfahrung eine falsche Konfiguration meiner Sophos UTM Firewall.

 

[Leseratte10]

Das ist garantiert ein Problem mit dem TC7200. Ist bei der 6320 / 6360 nämlich genauso.

 

[Opticum]

Ich habe das jetzt so gelöst, das ich IPV6 mit der Sophos Firewall NATe.

habe dann auf https://www.feste-ip.net/ einen universellen Portmapper eingerichtet auf die ipv6 meiner Sophos Firewall und komme von Aussen bei eingeschalteten NAT auf die entsprechenden freigegeben internen Server (ipv6)

mit dem feste-ip Service kann man auch per IPV4 von Aussen auf einen internen IPV6 Server. Habe SSH und Minecraft getestet.

 

[SpaceRat]

Es ist zum Mäuse melken;
ich komme per IPv6 raus, kann sowohl Websiten (z.b. ipv6.google.com) öffnen als auch ssh per IPv6 (auf eine native IPv6 adresse)
Lasse ich mir meine IPv6 Adresse anzeigen http://whatismyipv6address.com/ wird dort die ipv6 meiner Firewall angezeigt.

Ich kenne die Sophos-Firewall nicht, aber es sieht so aus, als müßtest Du die router advertisements bzw. das für das Heimnetzwerk zu verwendende Präfix erst konfigurieren.

Also irgendwas nach der Devise:
Nimm das x. /64 für das LAN, das y. für das Gastnetz und das z. für die DMZ ....

 

[Opticum]

Es ist zum Mäuse melken;
ich komme per IPv6 raus, kann sowohl Websiten (z.b. ipv6.google.com) öffnen als auch ssh per IPv6 (auf eine native IPv6 adresse)
Lasse ich mir meine IPv6 Adresse anzeigen http://whatismyipv6address.com/ wird dort die ipv6 meiner Firewall angezeigt.

Ich kenne die Sophos-Firewall nicht, aber es sieht so aus, als müßtest Du die router advertisements bzw. das für das Heimnetzwerk zu verwendende Präfix erst konfigurieren.

Also irgendwas nach der Devise:
Nimm das x. /64 für das LAN, das y. für das Gastnetz und das z. für die DMZ ....

Habe ich gemacht, so wie es in den IPV6 Settings steht. Habe lt. Firewall ein Subnet a la Delegated Prefix: 2a02:908:xxxx:xxxx::/60. Habe dies unterteilt und mir ein /64 dafür für mein Lan genommen.

Ich sehe sogar im Paketfilter das mein Rechner per IPV6 "raus" möchte und es blockiert wird. Lege ich eine Regel an die es erlaubt kommt es nicht über die externe IPV6 der Firewall hinweg. Da scheint das TC7200 noch was zu blocken oder UM hat es nicht richtig konfiguriert.

 

[SpaceRat]

Ich sehe sogar im Paketfilter das mein Rechner per IPV6 "raus" möchte und es blockiert wird. Lege ich eine Regel an die es erlaubt kommt es nicht über die externe IPV6 der Firewall hinweg. Da scheint das TC7200 noch was zu blocken oder UM hat es nicht richtig konfiguriert.

Hast Du denn die IPv6-Firewall des TC7200 mal komplett deaktiviert?

Die wird ja nicht mehr benötigt, wenn Du eine eigene Firewall dahinter geschaltet hast.


Und:
Dir ist schon klar, daß das für das LAN zu verwendende /64er Subnet jeweils dynamisch aus dem aktuell an Deine Firewall delegierten Präfix abzuleiten ist, da sich dieses Präfix ändern kann?

 

[Opticum]

Hast Du denn die IPv6-Firewall des TC7200 mal komplett deaktiviert?

Die wird ja nicht mehr benötigt, wenn Du eine eigene Firewall dahinter geschaltet hast.


Und:
Dir ist schon klar, daß das für das LAN zu verwendende /64er Subnet jeweils dynamisch aus dem aktuell an Deine Firewall delegierten Präfix abzuleiten ist, da sich dieses Präfix ändern kann?

IPv6 Firewall auf dem TC7200 ist ausgeschaltet

Man bekommt ein /60 Subnetz als prefix delegated from TC7200 auf die Firewall, davon habe ich das erste /64 genommen und das über prefix advertisment intern weitergegeben.
Meine Rechner/VMs bekommen auch prima aus diesem Subnetz eine ipv6.

Ich würde gerne wissen woran es liegt, nach dem, was ich sehen kann, muss es irgendwo am TC7200 liegen, das er nur die ipv6 durchlässt die er der Firewall zugewiesen hat, nicht aber den Geräten, die hinter der Firewall liegen.

 

[Opticum]

Ich denke ich habe das Problem eingrenzen können:

Das /60er Netz das der Firewall vom TC7200 weitergereicht wird (das fürs prefix advertisment genutzt wird), wird vom TC7200 nicht als eigenes Netz in dem Sinne empfunden.

Mittels Wireshark liegt das Problem beim Fehler:
Code: 5 (Source adress failed ingress/egress policy)

wenn ich z.B. ipv6.google.com anpingen möchte.

Quelle: http://mynetworkingwiki.com/index.php/Internet_Control_Message_Protocol_Version_6#Destination_Unreachable

A Code value of "5" indicates "Source address failed ingress/egress policy", which is used if a packet with this source address is not allowed due to ingress or egress filtering policies.

Soll also heissen: Murks scheint hier das Tc7200 zu machen, da es Geräte hinter der Firewall - auch wenn das Netz selbst zugewiesen wurde! - nicht mehr als eigenes erkennt.
Also TC7200 macht zwar prefix advertisment auf die Firewall aber erkennt dieses Subnetz nicht als "zulässig". So als würde man plötzlich IPv6 Adressen von Provider X benutzen und versuchen, diese am UM Anschluss zu benutzen.

Auch auf die Gefahr hin das ich alt Eingesessenen hier ein Lächeln auf das Gesicht zaubere: Den Unitymedia Support wird es nicht interessieren, oder? cfreak: :kafffee:

Edit: habe mal eine e-mail an den Kundenservice geschickt. Nach den bisherigen Erfahrungen im Forum glaube ich nicht an mehr als eine 08-15 Antwort und Verweis auf die Business Tarife.
UPDATE1: Hatte auf meine E-Mail einen sehr netten Rückruf von der Störungsstelle. Leitung wurde erstmal durchgemessen da ist alles in Ordnung :zerstör: Nein, im ernst, die Dame war sehr bemüht und im Raum stand evtl. auf die Fritzbox zu wechseln. Diese scheint aber lt. Forum nicht 200 Mbit tauglich zu sein. Daher erst mal geschoben...

 

[noahtoni]

Die Fritzbox ist seit 2.2.2015 200er fähig

 

[Toku11]

Die Fritzbox ist seit 2.2.2015 200er fähig

Aber auch nur die ganz neue FB 6490, die es nur im Paket mit 2 oder 3 Play 200 Premium gibt.

 

[Rotbaart]

Die Fritzbox ist seit 2.2.2015 200er fähig

Aber auch nur die ganz neue FB 6490, die es nur im Paket mit 2 oder 3 Play 200 Premium gibt.

Aber nur mit der "Telefon Komfort Funktion"....

 

[Der_Kabelsalat]

Ich denke ich habe das Problem eingrenzen können:

...

Soll also heissen: Murks scheint hier das Tc7200 zu machen, da es Geräte hinter der Firewall - auch wenn das Netz selbst zugewiesen wurde! - nicht mehr als eigenes erkennt.
Also TC7200 macht zwar prefix advertisment auf die Firewall aber erkennt dieses Subnetz nicht als "zulässig". So als würde man plötzlich IPv6 Adressen von Provider X benutzen und versuchen, diese am UM Anschluss zu benutzen.

...

Ärgere mich leider auch noch mit diesem Problem herum. Meint ihr, dass das vielleicht mit einem zukünftigen Softwareupdate gelöst wird? Ging die Prefix Delegation beim TC7200 grundsätzlich schon von Anfang an oder wurde das auch die letzten Monate irgendwann nachgerüstet und sie haben es bloß noch nicht fehlerfrei hinbekommen?

 

[KabelKundeX]

Ich würde von keinem Update ausgehen. Die gelieferten Features entsprechen bestimmt dem was Unitymedia im Auftrag gegeben hat. Macht euch da keine Illusion.

 

[Der_Kabelsalat]

Ich würde von keinem Update ausgehen. Die gelieferten Features entsprechen bestimmt dem was Unitymedia im Auftrag gegeben hat. Macht euch da keine Illusion.

Eine kaputte Funktion in Auftrag gegeben? Hört sich seltsam an. Wenn, dann sollte die Prefix Delegation einfach ganz deaktiviert sein, aber so ist das ja kein Zustand!

 

[KabelKundeX]

Ich würde von keinem Update ausgehen. Die gelieferten Features entsprechen bestimmt dem was Unitymedia im Auftrag gegeben hat. Macht euch da keine Illusion.

Eine kaputte Funktion in Auftrag gegeben? Hört sich seltsam an. Wenn, dann sollte die Prefix Delegation einfach ganz deaktiviert sein, aber so ist das ja kein Zustand!

Was erwartest du? Das dort Techniker sitzen die das nicht mitbekommen haben? Das wird bekannt gewesen sein, vielleicht schon vor der Großbestellung. Wir baden jetzt die getroffene Entscheidung aus .

 

[schneipe]

Hallo, habe das meiste hier gelesen. Habe jetzt aber eine, oder mehrere Fragen zu dem Thema.
Ich habe momentan den Tarif bei UM 3play 200 mit dem Ubee Modem. Jetzt wurde mir angeboten auf die FB 6490 Cable zu wechseln. Diese soll ja angeblich nur IPv6 machen. Ich habe hier ein kleines Netzwerk mit 4 PC und 2 Druckern. Momentan funktioniert auch alles. Hier mal meine IP Config am Haupt PC
C:\Users\Peter>ipconfig

Windows-IP-Konfiguration


Ethernet-Adapter Ethernet:

Verbindungsspezifisches DNS-Suffix: local
Verbindungslokale IPv6-Adresse . : fe80::597bxxxxxxxxxxxxx
IPv4-Adresse . . . . . . . . . . : 192.168.xxxxx
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.xxxxx

Tunneladapter Teredo Tunneling Pseudo-Interface:

Verbindungsspezifisches DNS-Suffix:
IPv6-Adresse. . . . . . . . . . . : 2001:0:9d3xxxxxxxxxxxxxxxxxxxxxxx
Verbindungslokale IPv6-Adresse . : fe80::7b:2a9f:xxxxxxxxxxxxxx
Standardgateway . . . . . . . . . : ::

Tunneladapter isatap.local:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix: local

Hab ich denn jetzt schon eine IPv6 Adresse bekommen? Und würde alles weiterhin funktionieren, nach Tausch von Ubee auf FB6490?

 

[hajodele]

Hallo,

Jetzt wurde mir angeboten auf die FB 6490 Cable zu wechseln. Diese soll ja angeblich nur IPv6 machen

Woher hast du denn diese Weissheit her. Mit "NUR IPv6" könntest du aktuell gerade mal 7% der weltweit benutzten Adressen erreichen :zwinker:
Richtig ist: UM vergibt bei neuen Privat-Tarifen i.d.R. nur IPv6/DS-Lite (Ausnahme noch Horizon pur)

IPv6-Adresse. . . . . . . . . . . : 2001:

Ja, du hast IPv6/DS-Lite (Bitte keine kompletten IPv6-Adressen veröffentlichen)

Funktionieren würde alles (und mehr).
Gibt es denn einen bestimmten Grund für den Wechsel?

 

[schneipe]

Ja, mein Ubee spinnt in den letzten Wochen. Mehrere Ausfälle in der Woche. Aber auch wegen dem Netzwerkdrucker Problem. Das Ubee kann dem Drucker keine IP zuweisen, Drucker spinnt und hängt sich auf. Ist bekanntes Problem bei den Ubee. Man muss dem Drucker erst über anderen Rechner eine feste IP geben, das er im Netzwerk funktioniert.

 

[philippnet]

Hallo,

wie ist denn die aktuelle Situation bei Bestellung von 3Play Premium mit 200 Mbits und der Horizonbox?

Wird da immernoch IPv4 vergeben?

Was ist denn, wenn man nachträglich die Telefon Comfort Funktion dazubucht (Fritzbox 6490)? Bleibt IPv4 dann erhalten oder stellt Unitymedia dann auf IPv6 um?

Bin momentan noch bei der Telekom (16 Mbits) mit IPv4. Ist es möglich IPV4 zu behalten, wenn ich zunächst nur die Horizonbox und später Telefon Komfort dazubuche?

Wäre über eine kurze Antwort dankbar.

Vielen Dank!

 

[GoaSkin]

Ja ist möglich, aber vertraglich zugesichert wird das nicht. Bei Altkunden, die neue Hardware erhalten und/oder in neue Tarife wechseln allerdings auch nicht. Es gibt keinen rechtswirksamen Anspruch auf den Erhalt von IPv4.

 

[philippnet]

Ja ist möglich, aber vertraglich zugesichert wird das nicht. Bei Altkunden, die neue Hardware erhalten und/oder in neue Tarife wechseln allerdings auch nicht. Es gibt keinen rechtswirksamen Anspruch auf den Erhalt von IPv4.

Danke für die Antwort! ;-)

 

[MST]

Hallo,
ich habe mich jetzt durch die kompletten 10 Seiten durchgelesen. Allerdings ist der Thread ja jetzt schon fast 3 Jahre alt.
Deswegen ist mir nicht ganz klar, wie denn nun der AKTUELLE Stand bzgl. IPv6 ist.
Ich glaube verstanden zu haben, dass bei Buchung eines neuen Vertrags (200Mbit) der Anschluss auf IPv6 umgestellt wird und man dann das Problem hat, dass man nicht mehr über VPN auf die Geräte im LAN zugreifen kann, wenn man das von einem IPv4 Anschluss aus versucht.
Soweit richtig?
Dann glaube ich verstanden zu haben, dass das an den Modems hängt, die man bei den 1Play Tarifen von UM gestellt bekommt.
Und schließlich scheint die einzige Möglichkeit, dieses Problematik nicht zu haben, die Kombination aus einem 2Play/3Play Tarif mit Telefon Komfort Option zu sein, weil man da eine Fritzbox 6490 dazu bekommt, die es angeblich ermöglicht die VPN Verbindung richtig durchzureichen.
Sorry, wenn ich noch einmal so explizit frage. Aber ich stehe gerade vor der Entscheidung meinen Vertrag zu ändern und bekomme von UM an der Hotline keine wirkliche Antwort auf diese Fragen.
Danke!
MST

 

[GoaSkin]

Hallo,
Ich glaube verstanden zu haben, dass bei Buchung eines neuen Vertrags (200Mbit) der Anschluss auf IPv6 umgestellt wird und man dann das Problem hat, dass man nicht mehr über VPN auf die Geräte im LAN zugreifen kann, wenn man das von einem IPv4 Anschluss aus versucht.
Soweit richtig?

Neukunden erhalten auf jedenfall IPv6, sofern nicht eine Horizon Box als Router gebucht wird (die kann garkein IPv6). Bestandskunden behalten bei einem Tarifwechsel normalerweise IPv4 und falls man sie doch auf IPv6 umstellt (was manchmal vorkommt), genügt ein Anruf bei der Hotline.
Was VPN betrifft, ist die in der Fritzbox integrierte VPN-Funktion nicht ausgereift, um mit IPv6 umzugehen. Was gibt aber Ausweichmöglichkeiten:

1.) Ein VPN-Dienst (z.B. OpenVPN) läuft auf irgend einem PC. Er kann auch so konfiguriert werden, dass er als Router ins Heimnetz fungiert. Dem Client besorgt man eine IPv6-Adresse über einen Tunnelbroker.
2.) Man verzichtet auf VPN, gibt ausgewählte Ports einfach für bestimmte Rechner im Router frei und greift direkt auf die jeweilige IPv6-Adresse zu. Auch dann braucht man einen Tunnelbroker.

 

[MST]

Neukunden erhalten auf jedenfall IPv6, sofern nicht eine Horizon Box als Router gebucht wird (die kann garkein IPv6). Bestandskunden behalten bei einem Tarifwechsel normalerweise IPv4 und falls man sie doch auf IPv6 umstellt (was manchmal vorkommt), genügt ein Anruf bei der Hotline.

Hallo und Danke für die Antwort!

Das ist auch sicher? Genau das wurde in diesem Thread ja schon ganz anders beschrieben. Stichwort: Kein Anspruch auf IPv4 bei Tarifwechsel, grundsätzlich Umstellung auf IPv6 und DSLite bei bspw. 2Play Premium 200.

Was VPN betrifft, ist die in der Fritzbox integrierte VPN-Funktion nicht ausgereift, um mit IPv6 umzugehen.

Ich meinte auch nicht auf dieses AVM eigene VPN Gefrickel. Mir ging es darum, dass ich gelesen hatte die Fritzbox könnte quasi zwischen einem Zugang von Außen (IPv4) und dem Heimzugang (IPv6) "vermitteln", bswp. über diesne MyFritz! Dienst, der ja quasi das selbe tut, wie ein Tunnelbroker.

Was gibt aber Ausweichmöglichkeiten:

1.) Ein VPN-Dienst (z.B. OpenVPN) läuft auf irgend einem PC. Er kann auch so konfiguriert werden, dass er als Router ins Heimnetz fungiert. Dem Client besorgt man eine IPv6-Adresse über einen Tunnelbroker.
2.) Man verzichtet auf VPN, gibt ausgewählte Ports einfach für bestimmte Rechner im Router frei und greift direkt auf die jeweilige IPv6-Adresse zu. Auch dann braucht man einen Tunnelbroker.

Beides für mich keine Alternative. Bei mir läuft kein PC im Heimnetz, sondern nur ein NAS. Das allerdings auch bspw. DDNS unterstützt. Die Clients sind nicht permanent erreichbar.

Wenn ich bei meinem Synology NAS die DDNS Funktion nutze, wäre icih dann aus dem Schneider, auch bei IPv6?

Danke!

MST