Unitymedia Plötzlich keine IPv6-Konnektivität mehr?

[hootenanny1]

Anschluss: KabelBW 50mbit
Router: FritzBox Cable 6340

Hallo Forum,

ich habe den vergangenen Sonntag damit verbracht, einen Rechner (Webserver) hinter meiner FritzBox erreichbar zu machen. Wie die meisten Neukunden baut meine Fritzbox eine IPv4-Verbindungen über einen DS-Lite-Tunnel, weshalb ich versucht habe komplett auf IPv6 auszuweichen.

Nach langem Herumprobieren hatte ich dann heute Mittag auch einmal Erfolg, ich konnte in der FritzBox eine IPv6-Freigabe einrichten und konnte meinen Webserver pingen und sogar aus dem Internet erreichen (allerdings nur von manchen Computern). Plötzlich ging beides nicht mehr. Darauf hin habe ich lange herum gesucht und plötzlich folgendes festgestellt. Alle ipv6-Tests wie z.B. test-ipv6.com sagen mir plötzlich, ich habe keinerlei IPv6-Konnektivität. Seiten wie ipv6.google.com verlaufen plötzlich im Timeout. Auch die Kabel-BW-Testseite sagt IPv6 nicht verfügbar (siehe Screenshot)


Meine Frage ist nun also: Wie kann es sein, dass ich plötzlich keine IPv6-Konnektivität mehr habe? Ich könnte mich ja damit anfreunden, dass ich auf IPv4 verzichten muss, aber wenn dann plötzlich IPv6 nicht mehr geht? Wer kann mir bisschen mehr dazu sagen? Ist das bekannt? Liegt es daran, dass es jetzt "nachts" ist? Hat KBW da auf einmal wieder genug IPv4-Adressen, so dass man keine IPv6 mehr braucht? Warum zeigt mir die Fritzbox aber dann dennoch den Tunnel an?

Danke für eure Hilfe... bin hier den ganzen Tag schon am verzweifeln für so etwas simples, was vor kurzem nicht länger als eine Minute gedauert hätte...

 

[SpaceRat]

Meine Frage ist nun also: Wie kann es sein, dass ich plötzlich keine IPv6-Konnektivität mehr habe?

Solange Du DS-lite hast, ist das technisch völlig unmöglich bzw. käme einer Komplettrennung gleich.

Die eigentliche Internet-Verbindung ist bei DS-lite nämlich IPv6-only und über diese läuft dann eine Tunnelanbindung, nämlich besagter DS-lite-Tunnel.
Wenn die IPv6-Verbindung wegfällt, kann aber auch kein Tunnel mehr darüber laufen ...

Warum zeigt mir die Fritzbox aber dann dennoch den Tunnel an?

Solange die Fritz!Box den DS-lite-Tunnel anzeigt, muß sie auch eine IPv6-Verbindung haben (s.o.).

Da Du noch surfen kannst, ist somit auch sicher, daß der DS-lite-Tunnel und damit die IPv6-Verbindung tatsächlich noch steht und nicht etwa "nur angezeigt" wird.

Somit muß es sich um ein Problem zwischen der Fritz!Box und den angeschlossenen Rechnern oder ggf. noch "in" der Fritz!Box handeln.
Da die Fritz!Box mehrere Geräte in sich vereint (Router, Switch, VoIP-Telefonanlage, WLAN-Access Point, ....) kann es natürlich auch irgendwo dazwischen haken.

Damit bleibt erst einmal nur der "Hammertip", die angeschlossenen Geräte mal neu zu starten (Bzw. deren Netzwerkverbindungen richtig neu aufzubauen, also nicht nur Kabel raus und wieder rein ...) und wenn das nicht hilft das Ganze nach einem Neustart der Fritte nochmal zu wiederholen.
Das ist tierisch unbefriedigend, weil einem das nichts über die Ursachen sagt, aber für den Moment der einzige Weg.

PS:
Die Aussage ist hinfällig, wenn der Fehler besteht, nachdem Du einen eigenen Zweit-Router ins Spiel gebracht hast. Dann wäre es normal, daß es hinter dem Zweitrouter keine IPv6-Verbindung mehr gibt.

 

[hootenanny1]

Hallo SpaceRat,

schon einmal vielen Dank für deine Antwort. Du hast natürlich absolut recht mit dem was, du sagst. Ginge keine IPv6 mehr, dürfte - solange der DS-Lite-Tunnel benutzt wird - gar nichts mehr gehen. Es scheint also in der Tat an einem Problem zwischen der FB und den einzelnen PCs liegen.

Ich habe nun etwas weiter geforscht und kann nun folgende Angaben über mein Netzwerk machen:

1.) Ich befinde mich zu Testzwecken gerade in einem dritten, komplett unabhängigen LAN. Von hier aus kann ich per MyFritz problemlos auf meine FB zugreifen. Somit scheint die Kommunikation bis zur FB also problemlos funktionieren, aber danach ist irgendwo ein Problem. Denn meine MyFritz-Freigaben sind innerhalb des heimischen LANs zwar erreichbar, timen von hier aber aus. Also "ping6 xyz.myfritz.net" funktioniert, aber "ping6 computer1.xyz.myfritz.net" funktioniert nicht.

2.) Innerhalb des LANs funktioniert dieser Ping aber. Dies ist auch der Fall, wenn ich nicht MyFritz nutze, sondern eine manuelle IPv6-Freigabe einrichte. Innerhalb des LANs funktioniert dies, außerhalb nicht. An dieser Stelle möchte ich anmerken, dass es nicht an Firewall-Einstellungen der Clients liegt. Dies war nämlich zuerst der Fall, ich hatte dummer Weise IMCPv6-Requests nur aus dem lokalen Subnetz zugelassen, dies aber nun korrekt eingestellt. Zwischendurch klappte es auch mal ganz kurz aus dem Internet, jetzt nicht mehr.

3.) Alle meiner Client-PCs im heimischen Netzwerk zeigen bei sämtlichen IPv6-Tests time outs an. Ein "ping6" im Terminal, bzw. "ping" unter windows mit einer beliebigen (externen) IPv6-Adresse landet im Timeout. Es kann also wohl nur zwischen Fritzbox (wahrscheinlich deren Konfiguration) und meinen Client-PCs ein Problem geben.

Daher meine (neue) Frage an die Community: Welche Einstellung könnte in der FritzBox könnte hier im Weg stehen? Ein Resetten der Fritzbox (stromlos machen) und sogar ein "Zurücksetzen auf Werkseinstellungen" brachte leider keine Veränderung.

Weiterhin vielen Dank für Eure Hilfe!

 

[SpaceRat]

Hast Du irgendwo im LAN mit aiccu oder einem anderen Tunnel-Proggy rumgespielt?

Du siehst mich relativ ratlos, denn so wie Du den Aufbau und auch das Test-Procedere schilderst, müßte es eigentlich funktionieren.

Hast Du die MyFritz!-Adressen mal alle per nslookup überprüft?

Vergleiche vor allem mal das Ergebnis der reine MyFritz!-Adresse der Fritz!Box selber mit denen für die angeschlossenen Geräte:
Sind die alle im selben Subnet?

Du beschreibst, daß Du ICMP-Requests in anderen Firewalls blockiert hattest, also wohl auf den Geräten selber ...
Demnach hast Du dort nochmals Firewalls laufen ...

1. Wozu?
2. Hast Du berücksichtigt, daß sich das Präfix gelegentlich ändert?

Bei einem Präfix-Wechsel paßt sich ip6tables nicht selber an ...

 

[hootenanny1]

Danke für die schnelle Antwort, ich versuche mal deine Fragen im Folgenden zu beantworten:

Hast Du irgendwo im LAN mit aiccu oder einem anderen Tunnel-Proggy rumgespielt?

Nein, ich muss gestehen, ich wusste bis eben gar nicht, was aiccu ist. Das Netzwerk sollte also eigentlich ziemlich jungfräulich sein.

Hast Du die MyFritz!-Adressen mal alle per nslookup überprüft?

Habe ich soeben gemacht mit folgendem Ergebnis:
- nslookup xzy.myfritz.net löst korrekt auf
- nslookup computer1.xyz.myfritz.net wird nicht gefunden "server can't find ....: NXDOMAIN"

Also die nicht erreichbare Adresse kann schon nicht aufgelöst werden.

Vergleiche vor allem mal das Ergebnis der reine MyFritz!-Adresse der Fritz!Box selber mit denen für die angeschlossenen Geräte:
Sind die alle im selben Subnet?

Hier scheint schon ein Problem zu sein, denn die der Geräte löst gar nicht auf.

UPDATE: Habe unter Heimneztwerk manuell den Namen für den Test-Computer geändert, dadurch hat sich auch der Name in der MyFritz-Freigabe geändert, jetzt kann es korrekt auflösen. Aber das Subnetz ist minimal anders:

nslookup xyz.myfritz.net
AAAA:BBBB:100:: (steht auch genauso in der Fritzbox)

nslookup computer1.xyz.myfritz.net
AAAA:BBBB:1XXX:5XXX: (steht auch genauso als empfangener Präfix in der FB)

(Ich hoffe man erkennt das Schema noch genug, trotz entfernen der tatsächlichen IP)

Du beschreibst, daß Du ICMP-Requests in anderen Firewalls blockiert hattest, also wohl auf den Geräten selber ...
Demnach hast Du dort nochmals Firewalls laufen ...

1. Wozu?

Das war bei einem der verwendeten Computer die Standard-Einstellung der Windows-Firewall. Ist aber nun deaktiviert.

2. Hast Du berücksichtigt, daß sich das Präfix gelegentlich ändert?

Das sollte soweit kein Problem sein. Seit ich das ganze hier teste und beobachte ist das Präfix bisher immer gleich. Wie müsste ich die ip6tables manuell anpassen?

Neue Erkentnisse

Mir ist in den letzten zwei Tagen noch etwas merkwürdiges in meiner FB aufgefallen: Die Fritzbox hat angefangen die Computernamen der im LAN registrierten Geräte komplett durcheinander zuwerfen. Plötzlich hatte ein Test-Computer (fixe IPv4, LAN-Anschluss 1) den Computernamen meines Druckers. Da MyFritz ja aber über die Namen funktioniert, traue ich der Fritzbox jetzt bei der Zuordnung der Geräte nicht mehr. Außerdem kann ich seit diesem Zeitpunkt für meinen Test-Computer keine IPv6-Freigabe mehr einrichten. Also sprich, der Computer befindet sich nicht mehr in der Auswahlliste. Ich kann lediglich noch eine manuelle Interface-ID eintragen.

(Welche nehme ich hierbei? Die, die sich aus der Link-Local-Adresse ergibt? Oder eine der zahlreichen anderen, die in der Fritzbox unter Heimnetzwerk->Test-Computer aufgelistet sind? Warum sind hier so viele? 6-8 Adressen, darunter eine Link-Local fe80 und eine ULA fd00, sowie zahlreiche andere mit dem Korrekten Subnetz)

Kann ich das irgendwie resetten? Ich habe bereits probiert, alle Freigaben zu löschen, die Geräte aus der Heimnetzwerk-Liste zu entfernen, die FB zu rebooten und sogar auf Werkseinstellungen zurückzusetzen, aber mein Test-Computer taucht nicht mehr in der Liste auf. GIbt es hier eine andere Möglichkeiten diese gecachten Daten irgendwie zu löschen? Mein Verdacht ist, dass hier irgendwo eine (nicht-angezeigte) Weiterleitung existiert, die korrekte Weiterleitungen blockiert und mit der Grund ist, warum meine Geräte nicht erreichbar sind.

Update2: Mir its gerade aufgefallen, für meinen Test-Computer (und den ich letztendlich auch freigeben möchte) wird in der Fritzbox keine IPv6-Weiterleitung angelegt, wenn ich eine MyFritz-Freigabe erstelle, für einen anderen Computer aber schon. Das bestätigt meinen Verdacht noch weiter, dass da irgendeine nicht-angezeigte Regel für diesen Client existiert, die alles blockiert, aber sich selbst durch komplett-Reset nicht löschen lässt. Ganz am Anfang ging es mit diesem PC mal problemlos, da stand auch noch eine IPv6-Weiterleitungs-Regel. Seit diese weg ist, gibt es die in diesem Thread besprochenen Probleme...

Tausend Dank für deine Zeit!

 

[SpaceRat]

UPDATE: Habe unter Heimneztwerk manuell den Namen für den Test-Computer geändert, dadurch hat sich auch der Name in der MyFritz-Freigabe geändert, jetzt kann es korrekt auflösen. Aber das Subnetz ist minimal anders:

Das minimal andere Subnet ist nicht so wichtig, kann auch an einem Präfix-Wechsel seitens UM liegen.

Das sollte soweit kein Problem sein. Seit ich das ganze hier teste und beobachte ist das Präfix bisher immer gleich. Wie müsste ich die ip6tables manuell anpassen?

Als Du sagtest, daß Du an Firewall-Regeln rumgemacht hast, habe ich auf Linux mit seinen ip6tables geschlossen.
Die Windows-Firewall ist in Bezug auf IPv6 an sich vernünftig voreingestellt.

- nslookup computer1.xyz.myfritz.net wird nicht gefunden "server can't find ....: NXDOMAIN"

Mir ist in den letzten zwei Tagen noch etwas merkwürdiges in meiner FB aufgefallen: Die Fritzbox hat angefangen die Computernamen der im LAN registrierten Geräte komplett durcheinander zuwerfen. Plötzlich hatte ein Test-Computer (fixe IPv4, LAN-Anschluss 1) den Computernamen meines Druckers. ...
Außerdem kann ich seit diesem Zeitpunkt für meinen Test-Computer keine IPv6-Freigabe mehr einrichten. Also sprich, der Computer befindet sich nicht mehr in der Auswahlliste.
...
Mir its gerade aufgefallen, für meinen Test-Computer (und den ich letztendlich auch freigeben möchte) wird in der Fritzbox keine IPv6-Weiterleitung angelegt, wenn ich eine MyFritz-Freigabe erstelle, für einen anderen Computer aber schon.

Das hängt alles mehr oder weniger zusammen.

Du kannst der Fritz!Box ein bißchen entgegenkommen, indem Du die Privacy Extensions ausmachst, das macht das Netzwerk auch für sie etwas weniger verwirrend.

Ich pflege auf neuen Windows-Installationen erst einmal alle der folgenden Kommandos (Per Kommandozeile/"DOS-Box") einzugeben:

netsh interface ipv6 set privacy state=disabled store=active
netsh interface ipv6 set privacy state=disabled store=persistent
netsh interface ipv6 set global randomizeidentifiers=disabled store=active
netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent
netsh interface 6to4 set state state=disabled
netsh interface teredo set state disable
netsh interface isatap set state disabled
netsh interface httpstunnel set interface state=disabled

Das schaltet Privacy Extensions und Zufalls-IPv6s (randomized identifiers) ab.
Zusätzlich werden alle Tunnel-Mechanismen deaktiviert (Die Du nicht brauchst, da Du ja natives IPv6 hast).

Danach hast Du auch nur noch maximal 3 IPv6-Adressen.

(Welche nehme ich hierbei? Die, die sich aus der Link-Local-Adresse ergibt? Oder eine der zahlreichen anderen, die in der Fritzbox unter Heimnetzwerk->Test-Computer aufgelistet sind? Warum sind hier so viele? 6-8 Adressen, darunter eine Link-Local fe80 und eine ULA fd00, sowie zahlreiche andere mit dem Korrekten Subnetz)

Die Link Local Address hat jedes IPv6-taugliche Gerät, die gibt es sich selber von ganz allein.
Diese wird dann durch ULA- und/oder öffentliche Präfix(e) ergänzt, welche der Rechner "advertised" bekommt.

Daraus ergeben sich dann schon zwei-drei der Adressen:
fe80::Identifier
IPv6-Subnet:Identifier (Öffentliche Adresse aus dem advertised präfix)
fdxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:Identifier (ULA, sofern zusätzlich advertised)

Mit Privacy Extensions kommen dann noch ein paar Adressen aus dem IPv6-Subnet mit Zufalls-Identifier dazu, die sich alle paar Minuten ändern.
Hier findest Du etwas detailliertere Infos zu den Adressen.

Ich würde jetzt als allererstes mal auf den beteiligten Windows-Kisten die Privacy Extensions und die randomized identifiers abschalten, alle PCs (und sonstigen Netzwerkgeräte im LAN) bis auf einen dann auch abschalten, den letzten PC zumindest neustarten und danach noch mal alle Geräte und Freigaben in der Fritz!Box radikal löschen.
Dann startest Du den "aktiven" PC wiederum neu und schaust dann mal, ob Du ihn vernünftig in der Fritz!Box einrichten kannst.

Solange Du da schon Chaos hast, also Geräte gar nicht erst in der Auswahl für Freigaben auftauchen, brauchst Du nämlich gar nicht weiter probieren.

 

[hootenanny1]

Tausend Dank soweit schon mal, das werde ich auf jeden Fall alles umsetzen. Bitte nicht wundern, wenn es etwas dauert, bis von mir wieder was kommt. Haber unter der Woche leider kaum Zeit, mich mit der Thematik auseinander zusetzen.

 

[AndiA4]

Habe jetzt das selbe Problem, jedoch mit dem TC7200: plötzlich keine IPv6. Gestern Abend ist mir aufgefallen, dass keine Webseite über IPv6 aufgerufen wird. Im Modem wird jedoch eine IPv6 angezeigt und das Modem ist anpingbar.



Habe weder etwas in den letzten Tagen verstellt oder sonst irgendwas am Modem setting verändert. Auch ein Reset des Modems brachte nichts.

Im LocalLog ist jedoch etwas mit IPV4 vermerkt. Nur werde ich daraus nicht schlau:



Ach und an der Hotline konnte mir auch niemand helfen ... Eine Störung soll nicht vorliegen. Gibt es andere die das selbe Problem zur Zwit haben? Oder eine Lösung parat?

 

[SpaceRat]

Habe jetzt das selbe Problem, jedoch mit dem TC7200: plötzlich keine IPv6. Gestern Abend ist mir aufgefallen, dass keine Webseite über IPv6 aufgerufen wird. Im Modem wird jedoch eine IPv6 angezeigt und das Modem ist anpingbar.

In dem Fall kein Problem:
Wenn die IP von dem Bild stimmt, dann hast Du "echtes" IPv4 und deshalb keine IPv6 mehr.

C:\>nslookup 109.192.194.xxx
...
Name: HSI-KBW-109-192-194-xxx.hsi6.kabel-badenwuerttemberg.de
Address: 109.192.194.xxx

Bei IPv4-Adressen die über DS-lite bereitgestellt werden steht "aftr" mit im zugehörigen Hostname.

 

[AndiA4]

Also ein echtes IPv4 hab ich auch nicht. Heute morgen bekam ich ne SMS von Unitymedia, dass mein Modem zurückgesetzt wurde. Da ich jetzt dachte"Hey IPv4, da richt ich doch gleich mal wieder ne DynDNS ein" würde ich enttäuscht, die Synology gibt beim Einichten einen Netzwerkfehler aus. Laut dem TC7200 hab ich ne 2a20:... IPv6. Laut diversen Online Tests jedoch nicht. Ich komm zwar ins Internet, aber idu hab jetzt nicht mal mehr Zugriff über IPv6 von außen nach innen. An der Hitline kann mir keiner helfen, da sie mein Problem nicht nachvollziehen können. "Sie stehen doch auf DSLite, da stimmt alles so...." Ich weiß ja, dass man jetzt hier im Forum mir auch nicht direkt
weiterhelfen kann.... Aber vielleicht gibt es ja noch ein paar Leute die das selbe Dilemma haben.

Das steht im übrigem bei AFTR:
DS-Lite AFTR FQDN de-hen01a-cr01.aftr.kabelbw.de
DS-Lite AFTR Addresse 2a02:8070:0:306::1

Das Modem kann ich übrigens mit Erfolg über die im Modem stehende IPv6 anpingen. Bei IPv4 verliert er alle Pakete.

 

[GoaSkin]

Probiere mal einen anderen Browser! Ich habe momentan das Gefühl, dass z.B. der Firefox oftmals IPv4 nutzt, weil er nicht merkt, dass die Zielseite auch über IPv6 erreichbar ist.

 

[AndiA4]

IE10 und Safari auf meinen iOS Geräten, sowie der Chrome aufm Notebook meiner Freundin öffnen die Seiten nur noch über IPv4. Hab auch schon mal das Tablet komplett zurückgesetzt... Brachte nichts.

 

[AndiA4]

Nachdem ich heute wieder mal die Hotline belästigen durfte und mein Anliegen erneut vorgebracht habe, wurde mir erklärt, dass meine IPv6 die fe80... ist und ich mit dieser ins Internet gehe :streber: :brüll: ... Da dacht ich mir nur: Hilfe zur Selbsthilfe. ... Im Modem wird ja ordnungsgemäß eine 2a20:... Adresse angezeigt... also dacht ich mir das vllt was mit der Adressauflösung nicht stimmen kann. Nach ein bisschen Googeln bin ich auf die Seite http://app.unitymedia.de/service/index.html/faqs/de9a681c-c65d-4c02-b070-5cc00d6415dd gestoßen. Hab mir zwei DNS Server ausgesucht und im Modem in den Einstellungen eingetragen ... einen kurzen Reboot später:



Die Google IPv6-DNS-Server funktionierten übrigens nicht.

Jetzt läuft wieder alles. Schöne Woche noch!