Unitymedia [tc7200] Der Ärger mit dem Forwarding - Frage zu IPv6

[smoesorino]

Hallo,

ich bin seit gestern stolzer Besitzer eines KabelBW Anschlusses und trauriger Besitzer eines TC7200.U. Wäre der ".U" Zusatz nicht, wäre ja alles nicht so wild. Ich vermisse im Router natürlich so einiges, wie auch hier im Forum zahlreich festgestellt wurde.

Um wenigstens mal eine Ahnung von möglichen Forwarding-Methoden zu bekommen habe ich nun versucht, die Firewall zu deaktivieren und die WAN-Sperrung aufzuheben. Danach habe ich mir eine IPv6 Adresse(n) meines Webserver-Innehabenden Laptops genommen (Linuxuser - ifconfig: Zwei IPv6 drei IPv6 Adressen beim WLAN Adapter, 2 davon global?!) und versucht über WAN darauf zuzugreifen. Pustekuchen. Aus dem LAN klappt das wunderbar, WAN fehlanzeige.

Kurz noch zum Vertrag: Ich habe leider diese abart von IPv4 -> IPv6 Tunnel bekommen, also keine "echte" dynamische IPv4 Adresse vorhanden.

Mein Plan über längere Dauer ist es einen Zweitrouter hinter das TC7200 zu klemmen, der dann ein bisschen Verteiler spielt. Aber um da rumwerkeln zu können, sollte erstmal eine einfache Ansprechung von Geräten über das Internet funktionieren. Was mache ich denn falsch? Kann ich nicht einfach die IPv6 Adresse auf ifconfig benutzen (sry IPv6 Neuling, habe aber das Handbuch überflogen!)

 

[Knifte]

http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=25148

http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=24781

 

[smoesorino]

Habe ich gelesen und nun?

[1] Was sich mir nicht erschließt ist: Ist das zugeteilte Subnetz bei IPv6 global? Damit meine ich, kann ich überhaupt vom WAN mit meiner IPv6 Adresse der Geräte im lokalen Netz zugreifen? Dazu kommt Punkt zwei...
[2] Wird da nicht auf den Router TC7200 mit Unitymedia Bullshit drauf eingegangen. Ich kann maximal die Firewall deaktivieren und die WAN-Sperrung aufheben, aber keine Weiterleitungen einrichten.

Im Endeffekt ist meine Frage: Mache ich etwas falsch oder gibt es mit diesem Router keine Möglichkeit von WAN auf Geräte die am Router hängen zuzugreifen?


€ Okay wenn ich auf Websiten gehe, die mir meine IPv6 Adresse anzeigen, wird die meines Laptops angezeigt. Also muss diese Adresse ja irgendwie aus dem WAN ebenso zugänglich sein können. Wenn ich diese IPv6 Adresse im LAN ansurfe, komme ich auf meinen Webserver. Doch trotz aufgehobener Firewall und WAN-Sperrung komme ich aus dem WAN nicht drauf. Der Server sollte richtig konfiguriert sein, da mit meinem vorherigen Provider und IPv4 alles funktioniert hat.

 

[Knifte]

Zu 1 kann ich dir nix sagen. Da kennen sich die IPv6-Profis, vorneweg SpaceRat, aber sehr gut aus.

Zu 2: So wie ich das bisher verstehe gibt es bei IPv6 keine Weieterleitungen bzw. kein NAT mehr. Dementsprechend hat bei richtiger Konfiguration jedes Gerät in deinem NEtzwerk eine öffentlich erreichbare IPv6-Adresse. Auf die kannst du auch mit jedem IPv6-fähigem Gerät zugreifen. Zumindest habe ich so die Workshps von SpaceRat verstanden. Schwierig bis unmöglich wird es, sobald du versuchst mit einem IPv4-Gerät auf deine IPv6-Geräte zuzugreifen.

 

[smoesorino]

More strange things happen:

[1] auf http://www.subnetonline.com/pages/network-tools/online-http-header.php bekomme ich einen HEADER 200 zurück, also okay, wenn ich auf mein Laptop zugreife. Dazu müsste man allerdings wissen, was da genau passiert.
[2] Gehe ich per SSH auf meinen extern gehosteten Server und mache ein

wget -6 [meine ip]

oder

curl -g

kommt beides male Network is unreachable. Auch über den Browser komme ich nicht auf den Server.

Was hab ich mir da nur andrehen lassen. Habe bisher noch die Hoffnung irgendwann auf den dahintergeschalteten Router zu kommen und den als (ordentliche) Firewall fürs Internet benutzen zu können. Dann wäre das mit IPv6 gar kein Problem für mich. Aber so :/ Andere Möglichkeit wäre noch die Firmware zu überschreiben, weiß allerdings nicht, wie sehr die mit der Modemkonfig verzahnt ist. Nachher gibts da Ärger...

 

[smoesorino]

Ein kleines Statusupdate:

Ich komme jetzt vom Internet auf meinen Webserver mit meiner IPv6 Adresse des Laptops. Fehler war ein Problem der Konfiguration des Webservers, denn der muss natürlich auf die IPv6 Adresse hören. Warum es von intern dann ging? Das weiß ich nicht. Wahrscheinlich wird die IPv6 Adresse bei internen Anfragen auf IPv4 getunnelt.

Nächster Schritt: Der nächste Schritt ist wie angekündigt das Anklemmen eines weiteren Routers. Auf diesen Router sollen dann alle Anfragen von Extern stattfinden. Dieser führt dann ein gewöhnliches Routing durch. Der Vorteil, den ich mir davon verspreche? Ich kann DYNDNS einrichten, habe eine ordentliche Firewall (die ich nicht nur ein und ausschalten kann (TC7200), sondern auf Ports einschränken) und ich kann intern die Dienste auf IPv4 lassen, so hoffe ich.

Dazu habe ich hier einen TP-Link TL-WR1043ND. Da drauf wird einfach DHCP deaktiviert und eine IP aus dem Netz zugewiesen. Kabel-BW Router (TC7200) wird einfach am LAN Port mit dem TL-WR1043ND verbunden. Ich verbinde mich jetzt mit meinen Endgeräten nicht auf das Kabel-BW TC7200 sondern auf den TP-Link Router. Dabei teile ich eine IP manuell zu und gebe als Standardgateway das TC7200 an. Beim TC7200 ist das WLAN nun aus.

Da die original Firmware vom TP Link TL-WR1043ND kein IPv6 unterstützt wurde DD-WRT aufgespielt. Für Leute die sich mit Linux auskennen ein Traum, aber auch ohne Linuxkenntnisse nutzbar. Naja das Forwarding kann dann entweder via IP-Tables (von IPv6 zu v4 benötigt man Hilfsprogramme, bsp: 6tunnel) stattfinden oder auch im Webinterface eingerichtet werden. Ich habe es bisher leider noch nicht geschafft den Router fürs Internet zugänglich zu machen (bin gerade erstmal testweise dran, über WAN auf das Webinterface zu gelangen).


Ich weiß nicht, ob ein derartiges Setup überhaupt jemanden interessiert hier, aber für diejenigen die nach etwas derartigem googlen, ist es vielleicht interessant. Sobald es etwas Neues gibt melde ich mich wieder. Aber jetzt mache ich erstmal eine Runde Urlaub!

 

[SpaceRat]

Dazu habe ich hier einen TP-Link TL-WR1043ND. Da drauf wird einfach DHCP deaktiviert und eine IP aus dem Netz zugewiesen. Kabel-BW Router (TC7200) wird einfach am LAN Port mit dem TL-WR1043ND verbunden. Ich verbinde mich jetzt mit meinen Endgeräten nicht auf das Kabel-BW TC7200 sondern auf den TP-Link Router. Dabei teile ich eine IP manuell zu und gebe als Standardgateway das TC7200 an. Beim TC7200 ist das WLAN nun aus.

Da die original Firmware vom TP Link TL-WR1043ND kein IPv6 unterstützt wurde DD-WRT aufgespielt. Für Leute die sich mit Linux auskennen ein Traum, aber auch ohne Linuxkenntnisse nutzbar. Naja das Forwarding kann dann entweder via IP-Tables (von IPv6 zu v4 benötigt man Hilfsprogramme, bsp: 6tunnel) stattfinden oder auch im Webinterface eingerichtet werden. Ich habe es bisher leider noch nicht geschafft den Router fürs Internet zugänglich zu machen (bin gerade erstmal testweise dran, über WAN auf das Webinterface zu gelangen).


Ich weiß nicht, ob ein derartiges Setup überhaupt jemanden interessiert hier, aber für diejenigen die nach etwas derartigem googlen, ist es vielleicht interessant. Sobald es etwas Neues gibt melde ich mich wieder. Aber jetzt mache ich erstmal eine Runde Urlaub!

Mich interessiert so ein Szenario auf jeden Fall, denn wenn man das blöde TC7200 durch einen anständigen Router ersetzen (bzw. ergänzen) könnte, dann wäre das eine Wohltat für viel UM-Kunden.
Im TCP/IP-Workshop gehe ich auf die TC7200-Gurke kaum ein, weil die eh indiskutabel ist. Der einzig sinnvolle Artikel wäre, wie man trotz dieses Müllhaufens einen richtigen Router dahinter betreiben kann.

Es gab da übrigens auch schon einen Ansatz, den ich etwas eleganter fand:

Du kannst den TP-Link genauso gut über seinen WAN-Port mit dem TC7200 verbinden!
Das hätte den Vorteil, daß Du an ihm weiter mit DHCP arbeiten kannst, der TC7200 mit seinem DHCP-Server ist ja dann in einem anderen Netz.
Die im TC7200 fehlende Funktionalität einer Bridge oder für einen exposed host bzw. eine DMZ wäre in diesem Fall nicht so schwerwiegend, da Du ja sowieso schon an CGN hängst und keine Ports freigeben kannst.
Und da Du von Unitymedia ein 56er Präfix kriegst, also 256 Subnetze zur Verfügung hast, könnte man u.U. auf dem TP-Link einfach ein anderes nehmen als auf dem TC7200. Dann wäre der TP-Link ihm Rahmen der Möglichkeiten des Anschlusses (= keine öffentliche IPv4) sogar ein vollwertiger Router.

 

[smoesorino]

Ohhh so obvious: Also über WAN, eigenem Netz und DHCP and it works like a charms.
Also jetzt definitiv ein abgeschottetes Netz und Dinge wie spezielles Forwarding von internen IPs sind damit nicht mehr nötig.
Wie gesagt als nächstes folgt dann der WAN Zugriff auf Router, aber jetzt erstmal eine Woche unterwegs.

Danke für deine Hilfe Ich melde mich sobals es was neues gibt.

 

[SpaceRat]

Ohhh so obvious: Also über WAN, eigenem Netz und DHCP and it works like a charms.
Also jetzt definitiv ein abgeschottetes Netz und Dinge wie spezielles Forwarding von internen IPs sind damit nicht mehr nötig.

Korrekt, nur ...

Wie gesagt als nächstes folgt dann der WAN Zugriff auf Router, aber jetzt erstmal eine Woche unterwegs.

... ist das ja der spannende Part:
Kriegt man es hin, daß ein nachgeschalteter Router sein eigenes routable subnet erhält, mit dem man dann auch vernünftig arbeiten kann (Router Advertisement im Heimnetz, Erreichbarkeit von außen, etc. pp.)?

Danke für deine Hilfe Ich melde mich sobals es was neues gibt.

Ich bin gespannt.

 

[Robert_L]

Kriegt man es hin, daß ein nachgeschalteter Router sein eigenes routable subnet erhält, mit dem man dann auch vernünftig arbeiten kann (Router Advertisement im Heimnetz, Erreichbarkeit von außen, etc. pp.)?

Die gute Nachricht:
Der TC7200 vergibt per DHCP6 an deinen nachgeschalteten Router ein eigenes globales Subnetz xxxx:xxxx:xxxx:xx80::/64, zusätzlich zu dem Subnetz xxxx:xxxx:xxxx:xx00::/64 für direkt am TC7200 angeschlossene Geräte.

Die schlechte Nachricht:
Nur das Subnetz "xx00" hat Kontakt zum Internet und kann auch von außen erreicht werden. Dagegen ist das Subnetz "xx80" des nachgeschalteten Routers sozusagen eine Einbahnstraße. Vom Internet (zurück-)kommende IPv6 Pakete mit Ziel Subnetz "xx80" werden vom TC7200 nicht durchgelassen. Anscheinend trägt der TC7200 selbst vergebene zusätzliche Subnetze nicht in seine eigene Routing-Tabelle ein.

 

[SpaceRat]

Die gute Nachricht:
Der TC7200 vergibt per DHCP6 an deinen nachgeschalteten Router ein eigenes globales Subnetz xxxx:xxxx:xxxx:xx80::/64, zusätzlich zu dem Subnetz xxxx:xxxx:xxxx:xx00::/64 für direkt am TC7200 angeschlossene Geräte.

Soweit so gut.

Die schlechte Nachricht:
Nur das Subnetz "xx00" hat Kontakt zum Internet und kann auch von außen erreicht werden.

Trotz komplett ausgeschalteter Firewall des Drecknikotzlor 7200?

Dagegen ist das Subnetz "xx80" des nachgeschalteten Routers sozusagen eine Einbahnstraße. Vom Internet (zurück-)kommende IPv6 Pakete mit Ziel Subnetz "xx80" werden vom TC7200 nicht durchgelassen. Anscheinend trägt der TC7200 selbst vergebene zusätzliche Subnetze nicht in seine eigene Routing-Tabelle ein.

Am nachgeschalteten Router liegt es ganz sicher nicht?
So "halben" IPv6-Support habe ich durchaus schon gesehen ...

 

[Robert_L]

Trotz komplett ausgeschalteter Firewall des Drecknikotzlor 7200?

Ja, Firewall ist aus.
A propos: Der TC7200 ist per Betreiber-Login mit Default-Passwort über IPv6 aus dem Internet erreichbar.
Du musst dazu nur die Adresse der Box aus Außen-Sicht kennen, die findest du im Konfigurationsmenü unter "Internet".
Die gute Nachricht dabei ist, dass selbst mit Betreiber-Login keine zusätzlichen Konfigurationsmöglichkeiten angeboten werden, was das Risiko begrenzt hält.

Am nachgeschalteten Router liegt es ganz sicher nicht?

100% sicher bin ich natürlich nicht.
Jedoch hat der technische Support des Herstellers meines Routers das mir so plausibel dargelegt.
Und ich habe umfangreiche Aufzeichnungen des IPv6 Traffics zwischen TC7200 und meinem Router vorgegenommen, was die These stützt.

 

[SpaceRat]

Trotz komplett ausgeschalteter Firewall des Drecknikotzlor 7200?

Ja, Firewall ist aus.

Ok.
Damit ist sicher: Unitymedia hat keinen Fehler ausgelassen.

A propos: Der TC7200 ist per Betreiber-Login mit Default-Passwort über IPv6 aus dem Internet erreichbar.

Das ist ja mal ganz großes Kino.

Du musst dazu nur die Adresse der Box aus Außen-Sicht kennen, die findest du im Konfigurationsmenü unter "Internet".

Die ist auch relativ schnell geraten. Wenn man ein Präfix und dessen Länge kennt, kennt man alle ...

Am nachgeschalteten Router liegt es ganz sicher nicht?

100% sicher bin ich natürlich nicht.
Jedoch hat der technische Support des Herstellers meines Routers das mir so plausibel dargelegt.
Und ich habe umfangreiche Aufzeichnungen des IPv6 Traffics zwischen TC7200 und meinem Router vorgegenommen, was die These stützt.

Gut zu wissen.

Damit erhalten Kunden mit dem TC7200 also definitiv alles, nur keinen echten Internetzugang,

 

[smoesorino]

Also mal ein kleiner Abschlussbericht:

Mein Vorhaben ist mir mit dd-wrt gelungen. Da eine volle SSH Shell verfügbar ist, kann man so ziemlich alles mit dem Router anstellen. Das mit dem IPv6 vom TC7200 beziehen war bei diesem Router (Modell s.o.) die schwerste Aufgabe. Dann intern alle IPv6 Anfragen auf die eigene IPv4 Adresse getunnelt und voila. Leider gab es mit dd-wrt immer wieder WLAN Verbindungsabrisse.

Ein noch viel größeres Manko war die Erreichbarkeit aus dem Internet. Es lag dieses mal definitiv nicht an dd-wrt (mit einem Server auf dem Laptop getestet): Der Server war zeitweise nicht aus dem Internet erreichbar. Ich habe mich also lange mit Kabel BW außeinandergesetzt. Die schalten mit jetzt vollwertiges IPv4 frei. Ich HOFFE, dass das dann wenigstens ordentlich funktioniert.

Ein Tipp noch an alle die vollwertiges IPv4 möchten. Versucht nicht einen Mitarbeiter stundenlang zu bequatschen. Wenn ihr jemand an der Leitung habt, der sagt es ginge nicht, legt auf und ruft erneut an. Man muss nur die richtige Person an die Leitung bekommen. Das witzige ist, dass diese Person bei mir nach einer Vertragsnachfrage aus der Business-Abteilung von KabelBW kam. Alle Techniker hatten zuvor gesagt es sei schlicht nicht möglich, das umzustellen. Naja noch will ich mich nicht zu weit aus dem Fenster lehnen, der Router ist noch nich feigeschaltet worden (es bleibt beim TC7200 jedoch mit vollem Funktionsumfang).

 

[Knifte]

Heisst das, du hast auf das TC 2700 jetzt dd-wrt geflasht?

 

[caliban2011]

Ne, er meint den TP-Link 1043. Ich hätte aber OpenWRT oder Gargoyle genommen, das ist definitiv bugfreier

 

[smoesorino]

Genau das TP-Link. Musste das flashen, da es nativ kein IPv6 kann.
Ahh okay, dass die beiden bugfreier sind wusste ich nicht. Fürs nächste mal bin ich jetzt schlauer, danke

 

[Robert_L]

Der TC7200 ist per Betreiber-Login mit Default-Passwort über IPv6 aus dem Internet erreichbar.

Nachtrag: Der TC7200 ist neuerdings nicht mehr per Betreiber-Login über IPv6 aus dem Internet erreichbar. Der Port 8080 wurde geschlossen.