Unitymedia Zusätzlicher IPv6 Router hinter Cisco EPC3212G

[racoon]

Hallo zusammen,

eventuell ist hier jemand, der sich mit IPv6 gut auskennt und sagen kann, ob man einen zusätzlichen
Router hinter dem EPC3212G anschließen kann, so dass auch Geräte hinter dem zusätzlichen Router
öffentliche IPv6-Adressen erhalten und aus dem Internet ansprechbar sind.

Kurz skizziert:
Internet <-> EPC3212G <-> Zusätzlicher IPv6-Router <-> Heimnetz

Ich habe erst seit ein paar Tagen die Umstellung von 32 auf 50MBit hinter mir und bereue es noch
immer, mein gutes altes Motorola Modem dadurch nicht mehr im Einsatz zu haben. An das hatte
ich bisher das Netgear FV338 dran gehabt, das ich so eingerichtet habe, dass ich per VPN in mein
Heimnetz reinkam - das kann ich jetzt dank DS-Lite knicken. Konnten Unitymedia nicht das
normale Dual Stack Verfahren einsetzen? Dank zusätzlichen Übertragungsweg über deren NAT-Server
komme ich auf maximal 30MBit, wobei bei nativen IPv6-Verbindungen die 50Mbit zur gleichen
Zeit erreicht werden. Naja... anderes Thema.

Also wie gesagt, habe ich erst seit paar Tagen den 50er Zugang und kam erst dann mit IPv6 in
Kontakt. Wie ich momentan herausgefunden habe, wird dem Kunden ein 56er Subnetz zur Verfügung
gestellt (hoffe ich mal, dass ich das so richtig anhand der Daten im Cisco interpretiert habe).
Also könnte ich das Netz nochmals mit einem dahinter liegenden Router aufteilen. Nur muss das
Routing dem Cisco klar gemacht werden - habe jedoch keine Einstellungen dafür gesehen.
Also müsste man hier wohl dynamisches Routing verwenden, oder?

Ehrlich gesagt, bin ich voll der IPv6-Noob. Bin froh, dass ich mittlerweile herausgefunden habe,
was lokale Link-Adressen und so wofür das ein oder andere verwendet wird, und natürlich,
wie man die IPv6-Schreibweise interpretiert.

Der Grund, warum ich diesen Aufwand betreibe, ist der, dass ich es ziemlich heftig finde,
wie Unitymedia die Übergabe ins Heimnetz definiert - vor allem bezüglich Sicherheit.
Zum Beispiel habe ich das Kennwort am EP3212G geändert und UPNP deaktiviert, aber
bei jedem Router-Neustart werden diese Einstellungen dank der Konfigurationsdatei,
die automatisch von Unitymedia abgerufen wird, überschrieben. Zum Glück ist die
Einstellung für den eingehenden Verbindungsaufbau so eingestellt, dass diese blockiert
sind. Wird dann lustig, wenn Unitymedia sich da mal anders entscheiden würden.

Deshalb möchte ich dank eigener Regeln selber bestimmen können, was machbar ist und
was nicht - deshalb der zusätzliche Router. Ist das denn überhaupt machbar?

 

[athurdent]

Wenn der Unitymedia Router DHCPv6 Prefix Delegation beherrscht und der nachgeschaltete Router damit etwas anfangen kann, geht das ziemlich automatisch. Ich habe noch kein IPv6 von Unitymedia, daher kann ich leider nicht sagen, ob man die Prefix Delegation irgendwo anstellen kann oder ob sie vielleicht standardmässig an ist.
Ich habe so etwas mal mit einem entsprechend konfigurierten DHCPv6 und einer nachgeschalteten FritzBox 7390 an's Laufen bekommen. Funktionieren tut es also auf jeden Fall, wenn es sauber implementiert ist und alle Geräte es supporten.

 

[racoon]

Vielen Dank für die Info.

Im Router konnte ich nur folgendes finden:
IPv6-LAN-Präfix 2a02:908:e929:5800::/56 (steht momentan im Status des lokalen Netzwerks)

Gibt es ein Tool, mit dem ich detaillierte DHCPv6-Infos aus dem vorhanden Netzwerksegment
angezeigt bekomme?

 

[athurdent]

Ich benutze dazu immer tcpdump unter UNIX, unter Windows tut es Wireshark. Wenn Du Dich hinter das Modem hängst, z.B. Deinen Rechner direkt an das Modem klemmst, da IPv6 Traffic auf den UDP Ports 547 -> 546 (DHCPv6) siehst und in den Paketen Dein /56 Netz hinter "IA_PD-prefix" auftaucht, dann wird das Netz delegiert und ein entsprechend konfigurierter Router müsste damit umgehen können.

 

[athurdent]

Ah, sorry, ganz so einfach ist es doch nicht, hab das gerade mal probiert. Man braucht auch nen DHCPv6 Client, der ein Prefix anfordert, sonst sieht man da nix. Wenn Du Lust auf ein Bastelprojekt hast, könntest Du zum Spielen z.B. einen aktuellen pfSense 2.1 Snapshot auf nem alten Rechner mit 2 Netzwerkkarten installieren. Dort auf dem WAN Interface DHCPv6 anstellen und "DHCPv6 Prefix Delegation size" auf 64 stellen. Und damit haste dann haste auch gleich ne prima IPv6 Firewall

 

[oxygen]

Sicher dass das Cisco überhaupt DHCPv6 benutzt? weit verbreiteter ist IPv6 RA. Dann ist auch keine zusätzliche Konfiguration auf Clientseite erforderlich.

 

[athurdent]

Nein, sicher bin ich da nicht. Allerdings wäre DHCPv6 der einzige mir bekannte Weg, um automatisch ein Netz an nachgeschaltete Router zu delegieren. Ansonsten bliebe nur (wenn möglich), eine statische Route auf den nachgeschalteten Router zeigen zu lassen. Aber diese müsste man dann immer per Hand anpassen, wenn sich das dynamische IPv6 Präfix ändert. Oder halt dynamisches Routing. Aber ich glaube kaum, dass sowas implementiert wird. Normalerweise wird halt die Kombination RA + DHCPv6 mit IA PD eingesetzt.
Am einfachsten schaltet man halt mal eine FritzBox mit aktueller Firmware als Router dahinter und stellt IPv6 an. Die zeigt dann auf der Übersichtsseite, ob sie ein Präfix delegiert bekommen hat. Könnte mal jemand ausprobieren, der IPv6 hat und eine FritzBox rumliegen.

 

[racoon]

Mittlerweile habe ich mittels VirtualBox "pfSense 2.1" (Version vom 2.2.13) und noch ein virtuellen Windows PC dahinter aufgesetzt.
Sieht dann wie folgt aus: Cisco <-> pfSense (in VM) <-internes VM Netz-> Windows (in VM)

Nachdem ich pfSense gestartet habe un WAN und LAN zugeordnet, wurden auf beiden Schnittstellen bereits öffentliche
IPv6 Adressen zugeordnet. Jedoch hatten beide den gleichen Präfix (die linken 64bit sind identisch). Ich denke mal,
dass dadurch das Routing nicht funktionieren kann.

Also habe ich auf WAN dann folgendes "DHCPv6, Prefix Delegation size 56" und konnte dann auf der LAN Seite
"Tracking, WAN und ID 2" einstellen (bei ID konnte ich dann einen Wert von 0-ff angeben).

Leider macht pfSense aus 1234:5678:0:1::/56 kein 1234:5678:0:2::/56, wie ich gehofft habe. Gutmöglich,
dass ich auch was falsch eingestellt habe - bin doch noch immer ein IPv6 Noob.

Jedenfalls hat die virtuelle Windows Maschine auch eine öffentliche Adresse erhalten. Jedoch funktioniert das
Routing nicht, weil es das gleiche Präfix erhalten hat... nur die IPv4 Verbindung funktionierte.

 

[athurdent]

Normalerweise sollte im LAN aber ein /64 Netz benutzt werden. Insofern sollte pfSense eigentlich aus dem /56 ein /64 wählen können:
2402:9400:1234:12XX::/56
Die XX sind frei wählbar. Probier vielleicht mal 02 oder aa einzugeben. Dann sollte ein 2402:9400:1234:1202::/64 oder 2402:9400:1234:12aa::/64 im LAN verteilt werden. Vielleicht ist es aber auch ein Bug. Du kannst auch nochmal die Bogon Checks auf der WAN Seite ausstellen, ggf. sind die im Weg.

 

[racoon]

Die Blogon Checks habe ich komplett deaktiviert. Leider sieht es wie folgt aus:
WAN: 2402:9400:1234:1201::/64
LAN: 2402:9400:1234:1201::/64

Könnte wirklich ein Bug sein. Habe nämlich folgendes eingestellt:

WAN:
IPv6 Configuration Type: DHCPv6
DHCPv6 Prefix Delegation size: 56
Block private networks: false
Block bogon networks: false

LAN:
IPv6 Configuration Type: Track Interface
IPv6 Interface: WAN
IPv6 Prefix ID: 2 (Enter a hexadecimal value between 0 and ff here, or leave blank.)
Block private networks: false
Block bogon networks: false

 

[athurdent]

Hmm, hast Du mal rebootet? Laut pfSense Forum könnte das helfen. Ansonsten ist es komisch, dass Du auf beiden Interfaces das gleiche Netz hast. Sicher, dass WAN und LAN Interface nicht versehentlich auf der VM zusammengebridget sind und sich "sehen"?
Wenn ich es zeitlich schaffe setze ich mir in den nächsten Tagen auch mal ne Testumgebung auf.

Edit, ich glaube, es ist ein Bug, hier hat jemand das gleiche Problem.
http://forum.pfsense.org/index.php/topic,58483.0.html
Warte mal ein wenig und mach in nächster Zeit ein Update, die Entwickler sind meist recht schnell im Bugfixing.

 

[racoon]

Das kommt mir sehr vertraut vor. :smile:

Vielen Dank für die Info. Werde das in den nächsten Tagen mit einer neueren Version nochmals testen.
Das mir sowas immer zeitlich passend passieren muss... diese blöden Bugs.

 

[athurdent]

Da scheint sich was getan zu haben:
https://github.com/bsdperimeter/pfsense/commit/8839e3fb5c862b88e7986bab1c68055ca3310bc7
Snapshots scheints gerade nicht zu geben, aber u.U. reicht ein gitsync. Mit dem gitsync bringst Du das PHP, also die Bedienoberfläche auf den neusten Stand:
http://forum.pfsense.org/index.php/topic,47934.0.html

 

[racoon]

Mit der aktuellen Version klappt es leider noch immer nicht. :kratz:

 

[athurdent]

Ja, hast recht. Mein Test Setup macht das auch falsch, das externe Netz wird fälschlicherweise intern verteilt. Ich habe das ins pfSense forum gepostet, mal sehen ob uns wer helfen kann.

 

[athurdent]

Ich weiss jetzt, woran es bei mir gehapert hat. Kann man auf dem Cisco Router von Unitymedia irgendwas einstellen, in Richtung DHCPv6 oder IPv6 Routing/Router Announcements? Falls ja, wäre ein oder mehrere Screenshots der Möglichkeiten hilfreich.

 

[racoon]

Das wird ein Problem: IPv6 lässt sich bei dem Gerät nirgendwo einstellen, nur IPv4 kann man dort bezüglich DHCP
und Routing konfigurieren. Vermutlich werden die Seiten seitens Unitymedia deaktiviert, wie auch die Möglichkeit,
das Standardkennwort zu ändern (bei einem Neustart steht es wieder auf "atlanta").

 

[athurdent]

Hmm, ansonsten fällt mir nur noch ein, mal zu checken, ob der Unitymedia Router überhaupt das macht, was wir von ihm wollen, also DHCPv6 mit Delegation. Wenn Du willst, kanst Du mir einen Packet Capture vom externen Interface per PM schicken.
Windows Maschine hinter dem pfSense abstellen, damit kein unnötiger Traffic entsteht. pfSense zur Sicherheit einmal neu starten, Diagnostics -> Packet Capture. Externes Interface wählen, Address Family IPv6 only, dann auf Start. Einmal auf das externe Interface gehen, Save und danach Apply drücken, danach den Packet Capture stoppen runterladen und mir schicken. Das sollte dann die nötigen RA und DHCPv6 Daten enthalten.

 

[racoon]

Leider lässt das PM System kein Anhang zu. Kann aber das hier von der Capture-Datei anbieten...

No. Time Source Destination Protocol Length Info 92 2013-02-09 23:29:11.779431 fe80::2676:7dff:fe4c:b3c9 ff02::1 ICMPv6 174 Router Advertisement from 24:76:7d:4c:b3:c9
Frame 92: 174 bytes on wire (1392 bits), 174 bytes captured (1392 bits)
Ethernet II, Src: CiscoSpv_4c:b3:c9 (24:76:7d:4c:b3:c9), Dst: IPv6mcast_00:00:00:01 (33:33:00:00:00:01)
Internet Protocol Version 6, Src: fe80::2676:7dff:fe4c:b3c9 (fe80::2676:7dff:fe4c:b3c9), Dst: ff02::1 (ff02::1)
Internet Control Message Protocol v6 Type: Router Advertisement (134) Code: 0 Checksum: 0xf8f4 [correct] Cur hop limit: 64 Flags: 0x40 0... .... = Managed address configuration: Not set .1.. .... = Other configuration: Set ..0. .... = Home Agent: Not set ...0 0... = Prf (Default Router Preference): Medium (0) .... .0.. = Proxy: Not set .... ..0. = Reserved: 0 Router lifetime (s): 1800 Reachable time (ms): 0 Retrans timer (ms): 0 ICMPv6 Option (Source link-layer address : 24:76:7d:4c:b3:c9) Type: Source link-layer address (1) Length: 1 (8 bytes) Link-layer address: CiscoSpv_4c:b3:c9 (24:76:7d:4c:b3:c9) ICMPv6 Option (Prefix information : 2a02:908:e920:eb01::/64) Type: Prefix information (3) Length: 4 (32 bytes) Prefix Length: 64 Flag: 0xc0 1... .... = On-link flag(L): Set .1.. .... = Autonomous address-configuration flag(A): Set ..0. .... = Router address flag(R): Not set ...0 0000 = Reserved: 0 Valid Lifetime: 7200 Preferred Lifetime: 3600 Reserved Prefix: 2a02:908:e920:eb01:: (2a02:908:e920:eb01::) ICMPv6 Option (Route Information : Medium 2a02:908:e920:eb00::/56) Type: Route Information (24) Length: 3 (24 bytes) Prefix Length: 56 Flag: 0x00 ...0 0... = Route Preference: Medium (0) 000. .000 = Reserved: 0 Route Lifetime: 7200 Prefix: 2a02:908:e920:eb00:: (2a02:908:e920:eb00::) ICMPv6 Option (Recursive DNS Server 2a02:908:2:1109::11 2a02:908:2:1108::11) Type: Recursive DNS Server (25) Length: 5 (40 bytes) Reserved Lifetime: 1200 Recursive DNS Servers: 2a02:908:2:1109::11 (2a02:908:2:1109::11) Recursive DNS Servers: 2a02:908:2:1108::11 (2a02:908:2:1108::11)

 

[athurdent]

Leider ist das nur ein RA (Router Anouncement), aber das Flag

Other configuration: Set

deutet auf einen DHCPv6 Server hin. Normalerweise solltest Du dann aber auch solche hier sehen:

fe80::20d:b9ff:fe12:7864	ff02::1:2	DHCPv6	130	Solicit XID: 0xa2cf9 CID: xxx
fe80::290:bff:fe19:5676	fe80::20d:b9ff:fe12:7864	DHCPv6	211	Advertise XID: xxx

Zumindest, sobald der DHCPv6 Client einen solchen Request losschickt.
Am Besten noch einmal einen gitsync machen, das pfSense sollte mittlerweile auch in Deinem Fall korrekt funktionieren, allerdings muss ich nach dem Reboot immer einmal auf Save/Apply beim externen Interface drücken. Danach sollte aber der radvd Router Advertisement Daemon laufen und Deine Windows Wokstation sollte ne IP bekommen. Sofern das Unitymedia Modem wirklich auch DHCPv6 mit Prefix Delegation macht und die Prefixlänge stimmt.

 

[racoon]

Die WAN-Schnittstelle sendet ein "DHCPv6 130 Solicit XID", aber der Cisco antwortet nicht darauf. :kratz:

 

[athurdent]

Das ist doof, dann scheint das nicht implementiert zu sein. In dem Falle bleibt bloss eine Anfrage zum Thema bei der technischen Hotline, oder der Umstieg auf eine Fritzbox. Wobei ich da nicht weiss, ob Unitymedia die volle Funktionalität von normalen Fritzboxen anbietet bzw. dort IA-PD vorhanden ist. Eine 7390 kann es z.B.

 

[racoon]

Ich würde ja gerne dort anfragen. Jedoch hatte ich bereits schon 1-2 Tickets eröffnet und wäre froh,
wenn diese Probleme erst einmal bereinigt wären.

An dieser Stelle möchte ich mich bei dir bedanken, dass du weder Kosten noch Mühen gescheut hast,
mir weiter zu helfen.

Jetzt kann man nur hoffe, dass Unitymedia demnächst den Cisco EPC3212G so konfiguriert, dass der
Kunde die Möglichkeit hat, noch einen zusätzlichen Router zu verwenden, um a) mehr Sicherheit zu
haben (Stichwort: Router-Kennwort "atlanta") und b) mehr Konfigurationsmöglichkeiten und
c) nebenbei das eingebaute WLAN zu nutzen. Gut dass ich mir kurz vor der Umstellung doch noch
keinen neuen Router gekauft habe...

Es wäre mal schön, wenn hier mal wirklich einer vom UM-Support was schreiben könnte. Ich denke
mal, dass es noch andere gibt, die diese Option verwenden möchten.

 

[athurdent]

Ja, eine Antwort der hier im Forum aktiven UM Mitarbeiter wäre in der Tat toll.
Vielleicht gibt es ja auch eine mir unbekannte IPv6 "Enduser-" Möglichkeit, das ausgegebene /56 Netz zu nutzen. Klar, es könnte auch mit dynamischem oder statischem Routing gearbeitet werden. Aber da müsste man bei jeder Netzänderung ggf. manuell eingreifen und auch auf dem Cisco Gerät konfigurieren können. Normalerweise macht man das halt über IA-PD.
Vielleicht hängt das /56 Netz aber auch damit zusammen, dass bei allen ausgegebenen Geräten halt generell das /56 anliegt und nur manche können auch was damit anfangen (z.B. ne Fritzbox sollte das verbeiten können).

Unter den gegebenen Umständen fällt mir für Dich jetzt nur noch NAT ein, das erfordert aber Handarbeit und ggf. laufen einige Dienste nicht. Supportet wird es auch nirgens so recht, rechnet aktuell ja keiner damit, dass jemand IPv6 NAT benutzt. Ich habe das vor einiger Zeit mal ein halbes Jahr lang mit ner OpenBSD Firewall ausprobiert, z.B. Facebook hat dann ab und zu mal gehakt. Kann natürlich auch ein anderes Problem bei Facebook oder beim IPv6 Routing/Tunneling mit SixXs gewesen sein. So genau habe ich es nie debuggen können. Alles andere ging aber problemlos

Hast Du eigentlich wirklich ein EPC3212G? Ich hab davon bisher nie gehört und wenn mans googelt, findet man nur diesen Thread. Das EPC3212 wird ja von Cisco im Gegensatz zum EPC3208 auch nicht als IPv6-fähig deklariert. Ggf. kannste es ja mal gegen ein 3208 tauschen lassen und das verhält sich besser?

 

[racoon]

Bisher habe ich noch nicht direkt auf Gerät geschaut. Jedenfalls wird es als EPC3212G auf der Web-Oberfläche angezeigt.

Ich hatte bereits auch schon über die Idee NAT einzusetzen nachgedacht. Jedoch macht es bei IPv6 keinen so richtigen
Sinn. Jedoch muss es die Möglichkeit geben, Firewall-Regeln aufzustellen - das bietet aber das EPC3212G nicht. Der Zugriff
auf ein oder mehrere Geräte sollte schon von außen gegeben sein, aber nicht auf alle. Wer weiß, welche Sicherheitslücken
in mein SmartTV mit eingebauter Kamera existieren - spätestens dann, wenn das Resultat auf Youtube zu sehen ist.