Unitymedia IPv6-Nutzung geschützt durch privaten Router überhaupt machb

[Ulimit]

Hallo liebes Forum,

hat es irgendjemand überhaupt schonmal geschafft, sein privates Netzwerk mit einem privaten Router hinter dem TC7200 so zu schützen, daß IPv6 darin möglich ist??

Ich teste gerade, ob ein neuer 3play-Zugang etwas für mich ist. Bislang sieht es nicht so aus, da sich IPv6 anscheinend nicht sicher hinter einem privaten Router betreiben oder erreichen lässt.

Überhaupt lassen sich IPv6-Adressen hinter dem TC7200-Router nur dann von außen erreichen, wenn man die IPv6-Firewall auf dem TC7200 komplett ausschaltet. Dann stehen aber alle direkt angeschlossenen Privatgeräte direkt per IPv6 offen im Internet (sofern sie IPv6-fähig sind, was zunehmend Standard ist) und müssten dann jeweils individuell geschützt werden.

Jeder halbwegs vernünftige Router hat heute auch eine konfigurierbare IPv6-Firewall an Board, die private Geräte dahinter schützen kann. Mit am flexibelsten sind OpenWrt-Router, aber selbst damit gelingt es (mir) nicht, IPv6-fähige PCs dahinter ins Internet zu bringen. Unter zahlreichen Verrenkungen bin ich bestenfalls immer nur soweit gekommen, daß der traceroute6 und ping6 über den OpenWrt-Router bis zum TC7200 gelangte, aber dann nicht mehr darüber hinaus.

Mein Fazit ist daher bis auf Weiteres, daß ich mit dem DS-lite von Unitymedia nichtmal IPv6-Adressen privat geschützt und unter eigener Kontrolle nutzen kann (geschweigedenn noch eine echte öffentliche IPv4-Adresse habe). Dann wäre das Internet endgültig zur Einbahnstrasse verkommen und ich habe ein falsches Produkt. :-(

Oder gibt es irgendwo eine Erfolgsgeschichte, die ich bisher übersehen habe?

LG

 

[Leseratte10]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<t>Du brauchst einen OpenWRT-Router mit neuer Firmware und musst den im Betriebsmodus "IPv6-Relay" betreiben. <br/>
<br/>
Andere Möglichkeiten führen bei DS-Lite zu nix. Sowohl die Firmware des TC7200 als auch die Firmware der 6320,6360,6490 ist, was die IPv6-Firewall angeht, fehlerhaft, sodass es momentan meines Wissens keine andere brauchbare Lösung gibt.</t>

 

[hajodele]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r>Das ist übrigens kein klassisches DS-Lite-Problem. Mit DS (also IPv4 +IPv6) steht man vor dem gleichen Problem.<br/>
Hier gibt es eine riesige Diskussion zum Thema: <URL url="http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=23008"><LINK_TEXT text="http://www.unitymediakabelbwforum.de/vi ... 53&t=23008">http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=23008</LINK_TEXT></URL><br/>
Ein Providerwechsel wegen dieses Themas hilft deshalb nicht weiter.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Leseratte10"><s>

</s>Du brauchst einen OpenWRT-Router mit neuer Firmware und musst den im Betriebsmodus "IPv6-Relay" betreiben.<e>

</e></QUOTE>

Genausoweit war ich schon, aber auch mit meinem OpenWrt-Router hinter dem TC7200 ist es bestenfalls zu schaffen, bis zum TC7200 aus meinem LAN per IPv6 zu routen. Ich habe auch noch nicht eine Schilderung im Netz gefunden, die weiter gekommen wäre. Ich habe sowohl mit OpenWRT Chaos Calmer RC1, als auch dem noch aktuellen Barrier Breaker keine Möglichkeit gefunden. Es gibt zur näheren Erläuterung auch nicht einen einzelnen Modus "IPv6-Relay", sondern es sind midestens drei Optionen, die sich in diesem Zusammenhang einzeln einstellen lassen:<br/>
<br/>
Router Advertisement-Service: relay mode<br/>
DHCPv6-Service: relay mode<br/>
NDP-Proxy: relay mode<br/>
<br/>
Obwohl "relay" nahelegt, daß requests auf dem OpenWrt nur "umgeschlagen" werden und dann vom TC7200 beantwortet werden, führen genau diese Einstellungen auf meinem Client-PC (hinter dem OpenWrt) zu nichts. Globale IPv6-Adressen von Unitymedia sind in dieser Betriebsart auf dem Client-PC dann nicht zu finden.<br/>
<br/>
Vielmehr war der normale 'server mode' des DHCPv6-Servers der erfolgreichere. Damit werden IPv6-Adressen aus dem Bereich von Unitymedia an den Client-PC verteillt und sogar über den OpenWrt hinaus zum TC7200 geroutet. Aber ab dem TC7200 geht es eben nicht weiter :-(.<br/>
<br/>
Ich vermute daher fast schon, daß die verstreuten Hinweise auf die Machbarkeit mit OpenWrt-Routern ein sich selbstverbreitender Mythos sind, da man damit normalerweise fast jedes Routing-Problem hinkriegen kann ;-)<br/>

<QUOTE><s>

</s>
Andere Möglichkeiten führen bei DS-Lite zu nix. Sowohl die Firmware des TC7200 als auch die Firmware der 6320,6360,6490 ist, was die IPv6-Firewall angeht, fehlerhaft, sodass es momentan meines Wissens keine andere brauchbare Lösung gibt.<e>

</e></QUOTE>

... das sind zwei wichtige Gesichtspunkte:<br/>
<br/>
* Lässt das DS-lite-Konstrukt von Unitymedia überhaupt IPv6-Adressen hinter nachgeschalteten Routern zu? Waren selbst unsaubere Versuche mit "relay modes" schonmal bei irgendjemand erfolgreich? Oder führt das prinzipiell bei DS-lite "zu nix".<br/>
<br/>
* Ist die Firmware des TC7200 fehlerhaft, daß sie selbst bei deaktivierter "IPv6-Schutzfunktion" nicht transparent IPv6 routet? (Ich habe IPv6 auf dem TC7200 übrigens deaktiviert, damit ich aus dem Internet per ssh auf meinen OpenWrt-Router komme (WAN-seitig).</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="hajodele"><s>

</s>Das ist übrigens kein klassisches DS-Lite-Problem. Mit DS (also IPv4 +IPv6) steht man vor dem gleichen Problem.<br/>
Hier gibt es eine riesige Diskussion zum Thema: <URL url="http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=23008"><LINK_TEXT text="http://www.unitymediakabelbwforum.de/vi ... 53&t=23008">http://www.unitymediakabelbwforum.de/viewtopic.php?f=53&t=23008</LINK_TEXT></URL><br/>
Ein Providerwechsel wegen dieses Themas hilft deshalb nicht weiter.<e>

</e></QUOTE>

Mit echtem Dual-Stack aus IPv4 und IPv6 hätte man doch auch echtes Routing, warum sollte man damit nicht eigene IPv6-Adressen aus dem Internet ansprechen und selbst schützen können? Genau das ist doch der Sinn von IPv6? Kannst Du das noch etwas erläutern?<br/>
Für mich persönlich wäre es schon ein Kündigungsgrund, wenn ich von einem Provider weder öffentliche IPv6- noch IPv4-Adressen bereitgestellt bekomme, mit denen ich eigenverantwortlich umgehen kann. Genau für diesen Zweck wurden Provider doch irgendwann mal erfunden ;-)</r>

 

[hajodele]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>Mit echtem Dual-Stack aus IPv4 und IPv6 hätte man doch auch echtes Routing, warum sollte man damit nicht eigene IPv6-Adressen aus dem Internet ansprechen und selbst schützen können?<e>

</e></QUOTE>
Das ist falsch oder unglücklich ausgedrückt: Dualstack bedeutet vollständiges IPv4 und vollständiges IPv6.<br/>
Für das IPv6 muss man das IPv4 völlig ignorieren.<br/>
Das IPv6 von UM ist genau so öffentlich wie das IPv6 der Telekom.<br/>
Beide haben eines gemeinsam: Privacy Extensions, die von den Datenschützern gefordert wird.<br/>
Dass man hier aktuell nicht weiterkommt ist wohl am ehesten den Routerherstellern geschuldet.<br/>
Das TC7200 ist natürlich dafür so was von nicht geeignet.<br/>
<br/>
Les dich doch einfach mal in dem oben genannten Link ein.<br/>
<br/>
P.S. Mit der Fritzbox 6360 ist mir noch eine halbwegs erfolgreiche Lösung zu RDP unter IPv6 eingefallen: <URL url="http://www.unitymediakabelbwforum.de/viewtopic.php?f=90&t=29863"><LINK_TEXT text="http://www.unitymediakabelbwforum.de/vi ... 90&t=29863">http://www.unitymediakabelbwforum.de/viewtopic.php?f=90&t=29863</LINK_TEXT></URL></r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="hajodele"><s>

</s>
Das ist falsch oder unglücklich ausgedrückt: Dualstack bedeutet vollständiges IPv4 und vollständiges IPv6.<br/>
Für das IPv6 muss man das IPv4 völlig ignorieren.
<e>

</e></QUOTE>

Ok, IPv4 hatte ich bewusst schon außen vor gelassen, da es sowieso "unvollständig" ist, und es mir in diesem Thread nur noch darum ging, wie unvollständig IPv6 nun tatsächlich in DS-lite realisiert ist oder nicht. Ich sehe weiterhin keine Möglichkeit, die IPv6-Adressen von Unitymedia hinter einem privat-geschützten Router hinter dem fremden TC7200 zu benutzen.<br/>

<QUOTE><s>

</s>
Das IPv6 von UM ist genau so öffentlich wie das IPv6 der Telekom.
<e>

</e></QUOTE>

Daß globale IPv6-Adressen bei Unitymedia im Spiel sind, wird doch nicht bestritten, ist bei meinem DS-Lite-Zugang ja auch so. Nützt nur eben nicht viel. <br/>

<QUOTE><s>

</s>
Beide haben eines gemeinsam: Privacy Extensions, die von den Datenschützern gefordert wird.<br/>
Dass man hier aktuell nicht weiterkommt ist wohl am ehesten den Routerherstellern geschuldet.<br/>
Das TC7200 ist natürlich dafür so was von nicht geeignet.
<e>

</e></QUOTE>

Da bringst Du allerdings eine weiteren wichtigen Punkt, den ich bisher noch nicht ausreichend berücksichtigt hatte . Auch bei meinem Zugang scheinen sich die IPv6-Prefixe seitens des Providers sporadisch zu ändern, ich war mir dessen nur noch nicht 100%-ig sicher, da die langen IPv6-Adressen nicht ganz so leicht zu erfassen sind. Wenn man keinen festen oder zumindest quasistatischen IPv6-Prefix bei Unitymedia hat, erschwert das eine selbstbestimmte Nutzung von IPv6 ja nochmal mehr. :-/ <br/>

<QUOTE><s>

</s>
Les dich doch einfach mal in dem oben genannten Link ein.<br/>
<br/>
P.S. Mit der Fritzbox 6360 ist mir noch eine halbwegs erfolgreiche Lösung zu RDP unter IPv6 eingefallen: <URL url="http://www.unitymediakabelbwforum.de/viewtopic.php?f=90&t=29863"><LINK_TEXT text="http://www.unitymediakabelbwforum.de/vi ... 90&t=29863">http://www.unitymediakabelbwforum.de/viewtopic.php?f=90&t=29863</LINK_TEXT></URL>
<e>

</e></QUOTE>

Danke, für den Hinweis, nur hatte ich das Lesen bereits im Wesentlichen hinter mir und habe dort eben keine Lösungen, sondern auch nur dieselben ungelösten Probleme vorgefunden. Kann natürlich sein, daß ich was übersehen habe, aber eine Nutzung von IPv6 hinter einem privaten Router (der wiederum hinter einem TC7200) hängt, habe ich nirgendwo dokumentiert gesehen.<br/>
<br/>
LG</r>

 

[SpaceRat]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>Wenn man keinen festen oder zumindest quasistatischen IPv6-Prefix bei Unitymedia hat, erschwert das eine selbstbestimmte Nutzung von IPv6 ja nochmal mehr. :-/ <e>

</e></QUOTE>
Jau, vermutlich haben die meisten Provider diesen Unfug ja auch gerade deshalb so begeistert aufgegriffen: Die angeblichen Datenschützer liefern die Ausrede für andauernde Server-Erschwernis als Steilvorlage, danke.<br/>
<br/>
Für Deinen OpenWrt-Router heißt das, daß Du ein Script laufen lassen müßtest, welches regelmäßig das aktuell verkündete Präfix mit dem letzten Kenntnisstand vergleicht und bei einem Wechsel alle Firewall-Regeln neu schreibt.<br/>
Schön, gell?<br/>
<br/>

<QUOTE author="Ulimit"><s>

</s>Danke, für den Hinweis, nur hatte ich das Lesen bereits im Wesentlichen hinter mir und habe dort eben keine Lösungen, sondern auch nur dieselben ungelösten Probleme vorgefunden. Kann natürlich sein, daß ich was übersehen habe, aber eine Nutzung von IPv6 hinter einem privaten Router (der wiederum hinter einem TC7200) hängt, habe ich nirgendwo dokumentiert gesehen.<e>

</e></QUOTE>
Ich hab die Schätzchen sogar schon fertig konfiguriert verkauft <E></E><br/>
<br/>
Die Abnehmer hatten zwar bisher alle Glasfaser (100 MBit/s symetrisch, optional 200 ... <E></E> ), das ändert aber eigentlich nichts, zum Einrichten und Testen muß ich mir das "DS-lite" bzw. "CGN" ja auch erst simulieren.<br/>
Darauf, daß der OpenWrt-Router die Router-Advertisements und NDP-Geschichten durchreicht hat der vorgeschaltete Router ja praktisch keinen Einfluß.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="SpaceRat"><s>

</s>
Für Deinen OpenWrt-Router heißt das, daß Du ein Script laufen lassen müßtest, welches regelmäßig das aktuell verkündete Präfix mit dem letzten Kenntnisstand vergleicht und bei einem Wechsel alle Firewall-Regeln neu schreibt.<br/>
Schön, gell?
<e>

</e></QUOTE>

Schöne neue Welt! Allerdings wäre das ständige Nachaktualisieren des IPv6-Netzes ja bereits der zweite Schritt, vor dem ersten. Solange schon mit dem aktuellen IPv6-Prefix keine Router-Kaskade möglich ist, ist alles spätere erstmal zweitrangig. <br/>

<QUOTE author="SpaceRat"><s>

</s>
Ich hab die Schätzchen sogar schon fertig konfiguriert verkauft <E></E>
<e>

</e></QUOTE>

... dann aber mal Butter bei die Fische, welche Release von OpenWrt hattest Du im Einsatz? Welche Relay-Mode Einstellungen hattest Du benutzt? (siehe mindestens die drei relay-Optionen aus meinem letzten Beitrag) ...<br/>

<QUOTE author="SpaceRat"><s>

</s>
Die Abnehmer hatten zwar bisher alle Glasfaser (100 MBit/s symetrisch, optional 200 ... <E></E> ), das ändert aber eigentlich nichts, zum Einrichten und Testen muß ich mir das "DS-lite" bzw. "CGN" ja auch erst simulieren.
<e>

</e></QUOTE>

... aber warte mal, das ist ja leider auch wieder ein anderer Plot, wir sprechen hier doch konkret von TC7200 und DS-lite am Kabel von Unitymedia. DS-lite könnte OpenWrt übrigens auch selber, ist ein wählbares WAN-Protocol. Aber wie ich es verstehe, hat man davon ohne integriertes Kabelmodem in seinem Privat-Router nichts.<br/>

<QUOTE author="SpaceRat"><s>

</s>
Darauf, daß der OpenWrt-Router die Router-Advertisements und NDP-Geschichten durchreicht hat der vorgeschaltete Router ja praktisch keinen Einfluß.<e>

</e></QUOTE>

Ist daraus zu schließen, daß Du RA und NDP auf relay-mode stehen hattest? Welches Router-Modell wäre auch hilfreich.<br/>
<br/>
LG</r>

 

[SpaceRat]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s><QUOTE author="SpaceRat"><s>

</s>Für Deinen OpenWrt-Router heißt das, daß Du ein Script laufen lassen müßtest, welches regelmäßig das aktuell verkündete Präfix mit dem letzten Kenntnisstand vergleicht und bei einem Wechsel alle Firewall-Regeln neu schreibt.<br/>
Schön, gell?<e>

</e></QUOTE>
Schöne neue Welt!<e>

</e></QUOTE>
Sag ich doch <E></E><br/>
<br/>
Was erwartest Du von Blurmany?<br/>
Eigentlich sollten solche Spirenzchen mit IPv6 ihr Ende haben: Genug Adressen für alle = statische Präfixe.<br/>
<br/>

<QUOTE author="Ulimit"><s>

</s><QUOTE author="SpaceRat"><s>

</s>Ich hab die Schätzchen sogar schon fertig konfiguriert verkauft <E></E><e>

</e></QUOTE>
... dann aber mal Butter bei die Fische, welche Release von OpenWrt hattest Du im Einsatz?<e>

</e></QUOTE>
Das aktuellste "unstable", also z.B. "OpenWrt Chaos Calmer r44258".<br/>

<QUOTE author="Ulimit"><s>

</s>Welche Relay-Mode Einstellungen hattest Du benutzt? (siehe mindestens die drei relay-Optionen aus meinem letzten Beitrag) ...<e>

</e></QUOTE>

Mal die relevanten Abschnitte zum Vergleichen:<br/>
<br/>
network:
<CODE><s>

</s>config interface 'lan' option force_link '1' option type 'bridge' option proto 'static' option netmask '255.255.255.0' option ipaddr '192.168.99.1' option delegate '0' option ip6assign '64' option bridge 'true' option _orig_ifname 'eth1 wlan0 wlan1 tap0 wlan0 wlan1' option _orig_bridge 'true' option ifname 'radio0.network1 radio1.network1 eth1 tap0'
...
config interface 'wan' option ifname 'eth0' option _orig_ifname 'eth0' option _orig_bridge 'false' option proto 'static' option ipaddr '192.168.1.1' option netmask '255.255.255.0' option gateway '192.168.1.254' option dns '8.8.8.8 8.8.4.4'
config interface 'wan6' option ifname 'eth0' option proto 'dhcpv6' option reqaddress 'try' option peerdns '0' option dns '2001:4860:4860::8888 2001:4860:4860::8844' option reqprefix 'no'<e>

</e></CODE>

Nicht über
<CODE><s>

</s> option ipaddr '192.168.1.1' option gateway '192.168.1.254'<e>

</e></CODE>
wundern.<br/>
Die Genexis-Glasfaser-Router sind halt so vorkonfiguriert, daß der Router am <B><s></s>Ende<e></e></B> des Subnets, also auf IP 192.168.1.254, liegt.<br/>
Das ist natürlich für das Drecknikotzlor DK7200 anzupassen, also z.B. auf
<CODE><s>

</s> option ipaddr '192.168.1.10' option gateway '192.168.1.1'<e>

</e></CODE>

<br/>
dhcp:
<CODE><s>

</s>config dnsmasq option domainneeded '1' option boguspriv '1' option localise_queries '1' option rebind_protection '1' option rebind_localhost '1' option local '/lan/' option domain 'lan' option expandhosts '1' option readethers '1' option leasefile '/tmp/dhcp.leases' option resolvfile '/tmp/resolv.conf.auto' option authoritative '1' list rebind_domain 'lan'
config dhcp 'lan' option ra 'relay' option dhcpv6 'relay' option ndp 'relay' option start '100' option leasetime '12h' option limit '150' option interface 'lan' option force '1'
...
config odhcpd 'odhcpd' option maindhcp '0' option leasefile '/tmp/hosts/odhcpd' option leasetrigger '/usr/sbin/odhcpd-update'
config dhcp 'wan' option interface 'wan' option ignore '1'
config dhcp 'wan6' option dhcpv6 'relay' option ra 'relay' option ndp 'relay' option master '1' option interface 'wan' option ignore '1' option ra_management '1'<e>

</e></CODE>

Ach ja:<br/>
Das Paket "dnsmasq" habe ich durch "dnsmasq-full" ersetzt.<br/>
<br/>
Hardware: Archer C7<br/>
<br/>

<QUOTE author="Ulimit"><s>

</s><QUOTE author="SpaceRat"><s>

</s>Die Abnehmer hatten zwar bisher alle Glasfaser (100 MBit/s symetrisch, optional 200 ... <E></E> ), das ändert aber eigentlich nichts, zum Einrichten und Testen muß ich mir das "DS-lite" bzw. "CGN" ja auch erst simulieren.<e>

</e></QUOTE>
... aber warte mal, das ist ja leider auch wieder ein anderer Plot, wir sprechen hier doch konkret von TC7200 und DS-lite am Kabel von Unitymedia.<e>

</e></QUOTE>
Nicht wirklich anders.<br/>
Die Aufgabe ist beide Male, das vom Zwangsrouter angebiederte Subnet mit zu nutzen, statt ein eigenes anzufordern.<br/>
<br/>
Zum Simulieren beim Einrichten klemme ich die Teile z.B. einfach hinter meinen Archer, so daß sie als WAN-IP eine private IPv4 sehen (Wie am Glasfaser-Router oder am TC7200 auch) und das vom Archer advertised Subnet durchreichen müssen.<br/>
Dabei spielt es keine Rolle, daß <B><s></s>mein<e></e></B> Archer eine öffentliche IPv4 als WAN-IPv4 hat und für IPv6 einen SixXS-Tunnel nutzt.<br/>
<br/>
Die einzige Zusatzhürde beim DK7200 ist, daß das Mistding inzwischen auch Präfixe delegiert (Was der OpenWrt-Router natürlich dankbarer annimmt als ein Relay), dieses delegierte Präfix aber von außen nicht erreichbar ist.<br/>
Das hat aber nur die Auswirkung, daß an den Glasfaser-Teilen auch "hybrid" funktionieren würde (Fällt dann trotzdem auf relay zurück, da kein Präfix delegiert wird), beim DK7200 aber zwingend "relay" gesetzt werden muß, damit das fehlerhaft delegierte Präfix nicht genutzt wird.<br/>
<br/>

<QUOTE author="Ulimit"><s>

</s>DS-lite könnte OpenWrt übrigens auch selber, ist ein wählbares WAN-Protocol. Aber wie ich es verstehe, hat man davon ohne integriertes Kabelmodem in seinem Privat-Router nichts.<e>

</e></QUOTE>
Prinzipiell würde es durchaus funktionieren.<br/>
Mit funktionierender Präfix Delegation durch das TC7200 könnte man so den OpenWrt-Router wirklich die ganze Verbindung selber herstellen lassen.<br/>
Habe ich auch schon mal probiert, funktionierte aber nicht. Ich hatte wohl auch nicht viel Zeit.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<t>Wow, SpaceRat, vielen Dank schonmal! Muß ich allerdings erstmal etwas sacken lassen. Habe jetzt schonmal den neuesten Snapshot von OpenWrt Chaos Calmer auf meinen WR1043NDv1 gemacht und dnsmasq-full (statt default dnsmasq) installiert. Ich hatte zwar die Tage auch schonmal einen Snapshot vom 25. Mai drauf, aber war damit auch gescheitert, wie mit den normalen releases. Eine potentielle Lösung steckt wohl eher in den Parameterwüsten ...<br/>
<br/>
LG</t>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r>Angelehnt an Deine Konfigs, SpaceRat, habe ich mich jetzt durchgewurschtelt und nun ebenfalls ein funktionierendes Setup!<br/>
Hinter dem TC7200 habe ich nun einen WR1043NDv1 mit OpenWrt Chaos Calmer 15.05-rc1 (r45695) und dnsmasq-full. IPv4 und IPv6 "Schutz" auf dem TC7200 ist deaktiviert.<br/>
<br/>
Da ich leichte Abwandlungen habe, hier meine essentiellen Konfigs:
<CODE><s>

</s><i>
</i> /etc/config/network:
config interface 'loopback' option ifname 'lo' option proto 'static' option ipaddr '127.0.0.1' option netmask '255.0.0.0'
config globals 'globals' option ula_prefix 'fd8b:5571:fed8::/48'
config interface 'lan' option ifname 'eth0.1' option force_link '1' option type 'bridge' option proto 'static' option ipaddr '192.168.1.1' option netmask '255.255.255.0' option ip6assign '64' option delegate '0'
config interface 'wan' option ifname 'eth0.2' option _orig_ifname 'eth0.2' option _orig_bridge 'false' option proto 'static' option netmask '255.255.255.0' option gateway '192.168.0.1' option dns '8.8.8.8 8.8.4.4' option ipaddr '192.168.0.10'
config interface 'wan6' option ifname 'eth0.2' option _orig_ifname 'eth0.2' option _orig_bridge 'false' option proto 'dhcpv6' option peerdns '0' option dns '2001:4860:4860::8888 2001:4860:4860::8844' option reqprefix 'no' option reqaddress 'none'
config switch option name 'switch0' option reset '1' option enable_vlan '1'
config switch_vlan option device 'switch0' option vlan '1' option ports '1 2 3 4 5t'
config switch_vlan option device 'switch0' option vlan '2' option ports '0 5t'
-----------------------------------------
/etc/config/dhcp:
config dnsmasq option domainneeded '1' option boguspriv '1' option localise_queries '1' option rebind_protection '1' option local '/lan/' option domain 'lan' option expandhosts '1' option readethers '1' option leasefile '/tmp/dhcp.leases' option resolvfile '/tmp/resolv.conf.auto' option authoritative '1' option rebind_localhost '1'
config dhcp 'lan' option interface 'lan' option ra 'relay' option dhcpv6 'relay' option ndp 'relay' option start '100' option limit '150' option leasetime '12h'
config dhcp 'wan' option interface 'wan' option ignore '1'
config odhcpd 'odhcpd' option maindhcp '0' option leasefile '/tmp/hosts/odhcpd' option leasetrigger '/usr/sbin/odhcpd-update'
config dhcp 'wan6' option dhcpv6 'relay' option ra 'relay' option ndp 'relay' option master '1' option interface 'wan' option ignore '1' option ra_management '1'
---------------------------------------
<e>

</e></CODE>

Das Endergebnis von dem ganzen Aufriss sieht nun so aus, daß ich jetzt WAN- und LAN-seitig den gleichen globalen /64 Prefix auf dem OpenWrt-Router und auf dem dahinter angeschlossenen Test-PC habe. Will ich per IPv6 aus dem Internet auf den PC zugreifen, muß ich auf dem OpenWrt eine zusätzliche Firewall-Regel anlegen, die das zulässt. Ich habe das exemplarisch für SSH einmal gemacht und das hat funktioniert.<br/>
<br/>
Ein paar der Abwandlungen sind:<br/>
Mein TC7200 hat LAN-seitig 192.168.0.1/24, daher habe ich meine statische Konfig auf dem OpenWrt entsprechend gewählt. -- Mit reqaddress 'none' statt 'try' bekomme ich ein /64 statt eines /128 vom TC7200.<br/>
<br/>
Wichtige Knackpunkte, um die Routerkonfig halbwegs zu verstehen, sind aus meiner (beschränkten) Sicht folgende: Nicht nur auf der LAN-Seite ist DHCPv6 relay mode nötig ( wie ich zuerst dachte), sondern zusätzlich auch auf seiner WAN-Seite. Die verschiedenen Einstelloptionen in den Textfiles und ihre Repräsentanz in der GUI (luci) sind ziemlich verwirrend. Manche Deiner Optionen, SpaceRat, konnte man über die GUI glaube ich gar nicht erreichen. -- In der default-config von dnsmaq-full fehlten Einträge zum odhcpd, welche in der Konfig des "normalen" dnsmasq noch vorhanden waren. -- In der GUI tauchen die deaktivierten DHCPv4 - und aktivierten DHCPv6-Optionen unter 'Interfaces WAN' statt WAN6 auf. Alles wenig intuitiv und verwirrend, aber mit Anstrengung noch halbwegs nachzuvollziehen. Allerdings sind diese relay-modes wohl auch sehr ungebräuchlich, da ist die usability von luci zu verschmerzen.<br/>
<br/>
Grundlegend scheint die Thread-Frage damit erstmal beantwortet zu sein.<br/>
<br/>
Weiteres lässt sich irgendwann mal klären, wie eventuell sporadisch wechselnde Prefixe oder die Entfernung der Google-Server aus obigen Konfigs (falls man das vorzieht).<br/>
<br/>
LG<br/>
<br/>
PS: Diese schrägen /62 tauchen auf dem Client-PC mit obigen Konfigs nun auch nicht mehr auf. Ich vermute mal, das sind diese unerwünscht delegierten Prefixe, von denen Du schriebst.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r>Hello again,<br/>
<br/>
ich habe nochmal ein wenig geschaut, welche Freiheitsgrade man in Richtung Hardware und Software mit dem Relay-Setup noch hat. Dazu habe ich mir jetzt noch einen TP-Link WR1043NDv2 geliehen. Dieser ist das Nachfolgemodell von v1 und hat neben dem schwarzblauen (statt weißen) Gehäuse nun zwei echte Ethernet-Interfaces (statt einem einzigen, welches nur virtuell durch zwei VLANs geteilt ist).<br/>
<br/>
Installiert habe ich darauf diesmal den aktuellen Release Candidate (rc1) von OpenWrt Chaos Calmer, es muß also nicht unbedingt die bleeding-edge Entwicklerversion sein, wie beim letzten Mal. Auch muss man nicht zwingend das Paket dnsmasq-full installieren, es reicht bei mir für die Relay-Funktionalität auch die etwas abgespeckte Paketvariante dnsmasq-dhcpv6.<br/>
<br/>
Minimal "abgeschliffen" habe ich noch die dhcp config, da folgende Option der default ist und daher nicht explizit eingetragen sein muß:
<CODE><s>

</s><i>
</i>option ra_management '1'
<e>

</e></CODE>
(natürlich macht das bewusste Eintragen aber schon Sinn, wenn man die absolute Kontrolle will)<br/>
<br/>
Die relevanten Konfigs für network und dhcp des neuen Router-Modells WR1043NDv2 sehen bei mir jetzt so aus:
<CODE><s>

</s><i>
</i>etc/config/network:
config interface 'loopback' option ifname 'lo' option proto 'static' option ipaddr '127.0.0.1' option netmask '255.0.0.0'
config globals 'globals' option ula_prefix 'fd3b:25c9:2d1c::/48'
config interface 'lan' option ifname 'eth1' option force_link '1' option type 'bridge' option proto 'static' option ipaddr '192.168.1.1' option netmask '255.255.255.0' option ip6assign '64' option delegate '0'
config interface 'wan' option ifname 'eth0' option _orig_ifname 'eth0' option _orig_bridge 'false' option proto 'static' option ipaddr '192.168.0.11' option netmask '255.255.255.0' option gateway '192.168.0.1' option dns '8.8.8.8 8.8.4.4'
config interface 'wan6' option ifname 'eth0' option proto 'dhcpv6' option reqaddress 'none' option reqprefix 'no' option peerdns '0' option dns '2001:4860:4860::8888 2001:4860:4860::8844'
[...]
---------------------------------------
etc/config/dhcp:
config interface 'loopback' option ifname 'lo' option proto 'static' option ipaddr '127.0.0.1' option netmask '255.0.0.0'
config globals 'globals' option ula_prefix 'fd3b:25c9:2d1c::/48'
config interface 'lan' option ifname 'eth1' option force_link '1' option type 'bridge' option proto 'static' option ipaddr '192.168.1.1' option netmask '255.255.255.0' option ip6assign '64' option delegate '0'
config interface 'wan' option ifname 'eth0' option _orig_ifname 'eth0' option _orig_bridge 'false' option proto 'static' option ipaddr '192.168.0.11' option netmask '255.255.255.0' option gateway '192.168.0.1' option dns '8.8.8.8 8.8.4.4'
config interface 'wan6' option ifname 'eth0' option proto 'dhcpv6' option reqaddress 'none' option reqprefix 'no' option peerdns '0' option dns '2001:4860:4860::8888 2001:4860:4860::8844'
config dhcp 'wan6' option interface 'wan' option ignore '1' option ra 'relay' option dhcpv6 'relay' option ndp 'relay' option master '1'
---------------------------------------------
<e>

</e></CODE>

Der vom TC7200 übergebene /64 Prefix ist übrigens seit meinem letzten Beitrag vor 2 Tagen noch der gleiche geblieben. Gibt es Erfahrungswerte, nach welcher Zeitspanne der sich ändert? Oder kann es einem "passieren", daß man einen konstanten IPv6-Prefix von Unitymedia bekommt?<br/>
<br/>
LG<br/>
<br/>
PS: @SpaceRat, Du hattest noch eine Option "list rebind_domain 'lan'" eingetragen -- ist das nur eine individuelle Geschichte in Deinem privaten Netzwerk oder steckt da mehr dahinter?</r>

 

[SpaceRat]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>Der vom TC7200 übergebene /64 Prefix ist übrigens seit meinem letzten Beitrag vor 2 Tagen noch der gleiche geblieben. Gibt es Erfahrungswerte, nach welcher Zeitspanne der sich ändert? Oder kann es einem "passieren", daß man einen konstanten IPv6-Prefix von Unitymedia bekommt?<e>

</e></QUOTE>
Es gibt bestimmt Erfahrungswerte, Du wirst ja auch welche machen <E></E><br/>
Konstant ist es nicht, aber ich glaube es hält schon eine ganze Weile.<br/>
<br/>
Die Änderungen sind auch nicht sofort zu erkennen, da minimal.<br/>
Nach dem bißchen Erfahrung daß ich mit IPv6-Adressvergabe bei UM habe würde ich sagen: Dein /56, /57 oder /58 rotiert langsam durch ein übergeordnetes /40 oder kleiner.<br/>

<QUOTE author="Ulimit"><s>

</s>PS: @SpaceRat, Du hattest noch eine Option "list rebind_domain 'lan'" eingetragen -- ist das nur eine individuelle Geschichte in Deinem privaten Netzwerk oder steckt da mehr dahinter?<e>

</e></QUOTE>
Eine Rebind-Attacke ist das Versauen eines DNS-Servers mit lokalen IPs als Rückgabewert, d.h. für den externen Server Z würde eine lokale IP zurückgeliefert.<br/>
Das kann man dann per Cross-Site-Scripting u.ä. ausnutzen, damit ein Client in Deinem LAN einem externen Server X Daten von einem LAN-internen Server Y zuspielt, während der Client meint, auf besagten externen Server Z zuzugreifen.<br/>
<br/>
Das wird verhindert, indem der DNS-Server/-Proxy im LAN keine internen IPs an Clients zurückmeldet.<br/>
Ich bin mir jetzt nicht ganz sicher ob dnsmasq das für seine LAN-Domäne (In dem Beispiel "lan") automatisch ausläßt (Da sind die internen IPs ja gewünscht) oder nicht. Daher der Eintrag des lokalen LANs "lan" in die Liste der rebind domains.<br/>
"lan" ist ja bei OpenWrt die Voreinstellung für das, was bei der Fritz!Box "box" bzw. "fritz.box" ist.<br/>
<br/>
Was da übrigens auch noch mit rein muß sind sämtliche DynDNS-Hostnames, die Du so nutzt!<br/>
<br/>
Beispiel:<br/>
Du legst einen DynDNS-Host <URL url="http://www.ulimit.mooo.com">www.ulimit.mooo.com</URL> für einen Web-Server in Deinem LAN an und aktualisierst diesen mit dessen aktueller IPv6, beim aktuellen Präfix 2001:db8:dead:beef::/64 z.B. 2001:db8:dead:beef:21:09ff:fe03:1234.<br/>
Wenn Du nun diesen Hostname <URL url="http://www.ulimit.mooo.com">www.ulimit.mooo.com</URL> auch aus Deinem LAN heraus aufrufen willst - das ist ja das Schöne an IPv6, daß es keine unterschiedlichen Adressen intern/extern mehr gibt, also alle Hosts weltweit und damit auch im eigenen LAN gültig sind - dann wird dnsmasq die zurückgemeldete IPv6 2001:db8:dead:beef:21:09ff:fe03:1234 je nach Einstellung ebenfalls als Rebind-Angriff werden, da sie im eigenen LAN liegt.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="SpaceRat"><s>

</s>
Es gibt bestimmt Erfahrungswerte, Du wirst ja auch welche machen <E></E>
<e>

</e></QUOTE>

Yep, ich kriege zufällig gerade einen neuen rein <E></E> : mindestens 4 Tage ist das /64 jetzt unverändert. Was mich anfangs irritiert hatte, war das delegierte /62, aber dieser Prefix ist ja jetzt weg.<br/>

<QUOTE author="SpaceRat"><s>

</s>
Konstant ist es nicht, aber ich glaube es hält schon eine ganze Weile.
<e>

</e></QUOTE>

Wer bietet mehr? <E></E><br/>

<QUOTE author="SpaceRat"><s>

</s>
Eine Rebind-Attacke ist das Versauen eines DNS-Servers mit lokalen IPs als Rückgabewert, d.h. für den externen Server Z würde eine lokale IP zurückgeliefert.<br/>
Das kann man dann per Cross-Site-Scripting u.ä. ausnutzen, damit ein Client in Deinem LAN einem externen Server X Daten von einem LAN-internen Server Y zuspielt, während der Client meint, auf besagten externen Server Z zuzugreifen.<br/>
<br/>
Das wird verhindert, indem der DNS-Server/-Proxy im LAN keine internen IPs an Clients zurückmeldet.<br/>
Ich bin mir jetzt nicht ganz sicher ob dnsmasq das für seine LAN-Domäne (In dem Beispiel "lan") automatisch ausläßt (Da sind die internen IPs ja gewünscht) oder nicht. Daher der Eintrag des lokalen LANs "lan" in die Liste der rebind domains.<br/>
"lan" ist ja bei OpenWrt die Voreinstellung für das, was bei der Fritz!Box "box" bzw. "fritz.box" ist.<br/>
<br/>
Was da übrigens auch noch mit rein muß sind sämtliche DynDNS-Hostnames, die Du so nutzt!<br/>
<br/>
Beispiel:<br/>
Du legst einen DynDNS-Host <URL url="http://www.ulimit.mooo.com">http://www.ulimit.mooo.com</URL> für einen Web-Server in Deinem LAN an und aktualisierst diesen mit dessen aktueller IPv6, beim aktuellen Präfix 2001:db8:dead:beef::/64 z.B. 2001:db8:dead:beef:21:09ff:fe03:1234.<br/>
Wenn Du nun diesen Hostname <URL url="http://www.ulimit.mooo.com">http://www.ulimit.mooo.com</URL> auch aus Deinem LAN heraus aufrufen willst - das ist ja das Schöne an IPv6, daß es keine unterschiedlichen Adressen intern/extern mehr gibt, also alle Hosts weltweit und damit auch im eigenen LAN gültig sind - dann wird dnsmasq die zurückgemeldete IPv6 2001:db8:dead:beef:21:09ff:fe03:1234 je nach Einstellung ebenfalls als Rebind-Angriff werden, da sie im eigenen LAN liegt.
<e>

</e></QUOTE>

Sehr gute Erklärungen, vielen Dank, SpaceRat! In der GUI nennt sich die Option 'Domain whitelist' (hab's gerade erst gefunden) und ist kommentiert mit "List of domains to allow RFC1918 responses for". Da die Option per default leer ist, werden erstmal generell keine domains aufgelöst, wenn die gelieferte Adresse aus RFC1918 stammt. Demnach beträfe die Option eigentlich nur die IPv4-Adressen aus:
<LIST><s>

• </s>
  <LI>10.0.0.0/8<br/>
  172.16.0.0/12<br/>
  192.168.0.0/16</LI>
  <e>

</e></LIST>

... und keine IPv6-Adressen. Ich denke, ich werde das jetzt erstmal so lassen, und keine domain dort "whitelisten" (auch nicht 'lan'). Soltte ich deswegen dann irgendwann auf Probleme stossen, werde ich mich an Deine weisen Worte erinnern (hoffentlich <E></E> ) und entsprechend handeln.<br/>
<br/>
LG</r>

 

[SpaceRat]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>Sehr gute Erklärungen, vielen Dank, SpaceRat! In der GUI nennt sich die Option 'Domain whitelist' (hab's gerade erst gefunden) und ist kommentiert mit "List of domains to allow RFC1918 responses for". Da die Option per default leer ist, werden erstmal generell keine domains aufgelöst, wenn die gelieferte Adresse aus RFC1918 stammt. Demnach beträfe die Option eigentlich nur die IPv4-Adressen aus:<e>

</e></QUOTE>
Wenn das Wörtchen "wenn" nicht wäre ... oder in diesem Fall das Wörtchen "eigentlich".<br/>
<br/>
Zumindest die Fritz!Box dehnt den Rebind-Schutz auch auf "IPv6-Adressen die aus dem eigenen LAN stammen" aus.<br/>
<br/>
Und vom Prinzip her hat AVM damit auch Recht:<br/>
Angenommen Du hast einen Xampp-Server auf ::affe (Ich mach's mal mit möglichst kurzen Addis, wird mir zu lästig sonst), der auch nur aus dem LAN erreichbar sein soll, also keine Firewall-Regel kriegt. Du hast sogar den Server so abgesichert, daß er nur Anfragen aus dem LAN beantwortet ...<br/>
<br/>
Nun surfst Du aber auf die Seite von jemandem der etwas von diesem Server wissen will, sagen wir auf <URL url="http://www.seineseite.de">www.seineseite.de</URL>.<br/>
Dann kann er dafür sorgen, daß Dein Webbrowser<br/>
- erst Deinen Xampp-Server befragt (Darf er ja, er - also der Rechner auf dem Dein Browser läuft - ist ja in Deinem LAN)<br/>
und<br/>
- die Daten dann per POST an den Web-Server sendet, den Du gerade besuchst,<br/>
nur indem er dafür sorgt, daß z.B. images.seineseite.de auf die IPv6 Deines Xampp-Servers aufgelöst wird.<br/>
<br/>
Die Rebind-Problematik besteht also durchaus, auch wenn das Beispiel natürlich etwas konstruiert ist, denn wer sollte einen Web-Server aufsetzen, nur um Deinen Xampp-Server zu befragen, wieso solltest Du ausgerechnet seinen Server besuchen und woher weiß er die IPv6 Deines Xampp-Servers?<br/>
<br/>
Wir können es aber auch deutlich weniger abwegig machen:<br/>
Angenommen Du hast einen Enigma2-Receiver, suchst Hilfe beim Einrichten für IPv6 im digital-eliteboard und postest - trottelig wie Du bist - irgendwo die IPv6 Deines Enigma2-Receivers, damit wäre der Punkt woher man die IPv6 hat schonmal geklärt.<br/>
Der User "HilfreicherDieb" erklärt Dir dieses jenes und welches und rät Dir, doch mal auf der Seite <URL url="http://www.testcam.de">www.testcam.de</URL> irgendeinen Test zur Eingrenzung Deines Problems zu machen.<br/>
Irgendwo auf seiner Seite steckt ein Script, welches folgende Adresse nachladen will:
<CODE><s>

</s>http://test1.testcam.de/file?file=/etc/tuxbox/config/oscam/oscam.server<e>

</e></CODE>
Kenner sehen gleich was er da vorhat, nämlich die Datei mit den CS-Servern von einer E2-Box herunterzuladen, augenscheinlich zwar nicht von Deiner sondern von der Box mit der Adresse test1.testcam.de ...<br/>
... aber was passiert wohl, wenn der DNS-Eintrag dafür auf die IPv6 zeigt, die Du vorher trottelig ins Forum gepackt hast?<br/>
Richtig, dann lädt Dein Browser eben diese Datei herunter. Ein weiteres Script auf <URL url="http://www.testcam.de">www.testcam.de</URL> sorgt dann dafür, daß Du die Datei postwendend dorthin hochlädst ...<br/>
<br/>
Das ist nicht ganz so trivial, aber offensichtlich ist die Menschheit so blöde, daß inzwischen ja sogar Spam-Mails verschickt werden, in denen sich unverhohlen ein Link mit dem Titel "Download Virus" befindet ...<br/>
<br/>
Ergo:<br/>
Es macht schon Sinn, den Rebind-Schutz so zu interpretieren, daß auch das lokale IPv6-Subnetz davon erfaßt wird.<br/>
<br/>

<QUOTE author="Ulimit"><s>

</s>keine domain dort "whitelisten" (auch nicht 'lan').<e>

</e></QUOTE>
Das hingegen ist eigentlich schon sinnvoll (Wenn nicht lan oder was auch immer Du für Dein LAN eingestellt hast automatisch freigegeben werden).<br/>
<br/>
Man will ja eigentlich schon, daß man im LAN nicht mit IPs hantieren muß, um auf Gerät X zuzugreifen.<br/>
Wenn ich auf meinen Receiver zugreife, dann soll der schon unter <CODE><s>

</s>http://e2box/<e>

</e></CODE> oder wie auch immer er wirklich heißt im LAN erreichbar sein, da jedes Mal 192.168.99.5 eingeben zu müssen wäre ja irgendwie dämlich.</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="SpaceRat"><s>

</s>
Zumindest die Fritz!Box dehnt den Rebind-Schutz auch auf "IPv6-Adressen die aus dem eigenen LAN stammen" aus.
<e>

</e></QUOTE>

Um sich Gewissheit zu verschaffen, wird wohl ein echter Test am besten sein. Ich habe Zugriff auf einen externen Nameserver im Internet und könnte dort mal testweise einen Address-Record eintragen, der auf eine IPv6-Adresse in meinem Unitymedia-Netz zeigt. Wenn ich dann von meinem "geschützten" LAN aus auf einen gleichnamigen Webserver in meinem lokalen Netzwerk zugreifen will, dürfte ich für diesen Webserver ja keine Namensauflösung bekommen, wenn eine Rebind-Protection greift.<br/>
<br/>
Das wäre allerdings auch irgendwie blöd, wenn ich meinen eigenen Webserver zuhause nicht genauso ansprechen könnte, wie jeder andere User es vom Internet aus könnte. - Sollte der Webserver jedoch lokal Webseiten über diese aufgelöste IPv6-Adresse ausliefern, dann bestünde eine Anfälligkeit für Rebind-Attacken (wenn ich Dich richtig verstehe).<br/>
<br/>
Mein Test wird allerdings ein oder zwei Tage auf sich warten lassen, da ich eine sehr lange Time-To-Live auf dem DNS habe (bis also Änderungen aktualisiert sind).<br/>

<QUOTE author="SpaceRat"><s>

</s>
(Wenn nicht lan oder was auch immer Du für Dein LAN eingestellt hast automatisch freigegeben werden).
<e>

</e></QUOTE>

Die lokale Domain muß man IMHO nicht nochmal extra "whitelisten". Trage ich z.B. den hostnamen 'alice' mit einer Adresse 192.168.1.50 (RFC1918) in die hosts auf dem OpenWrt-Router ein, kann ich den Namen alice oder auch alice.lan im LAN ohne Probleme auflösen. Maßgeblich sind dafür offenbar die zwei GUI-Optionen:<br/>

<LIST><s>

• </s>
  <LI>Local server /lan/<br/>
  Local domain lan</LI>
  <e>

</e></LIST></r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>
Um sich Gewissheit zu verschaffen, wird wohl ein echter Test am besten sein.
<e>

</e></QUOTE>

Der Test zeigt, daß der lokale IPv6-Webserver seine Namesauflösung über den OpenWrt-Router aus dem Internet erhält. Der lokale Browser greift dann über die zurückgemeldete, globale IPv6-Adresse auf den lokalen Webserver zu.</r>

 

[Fruchtzwerg]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s> Es gibt zur näheren Erläuterung auch nicht einen einzelnen Modus "IPv6-Relay", sondern es sind midestens drei Optionen, die sich in diesem Zusammenhang einzeln einstellen lassen:<br/>
<br/>
Router Advertisement-Service: relay mode<br/>
DHCPv6-Service: relay mode<br/>
NDP-Proxy: relay mode
<e>

</e></QUOTE>

Ich klinke mich hier mal ein, denn ich habe exakt das selbe Problem: ipv6/ds-lite und ein Heimserver, der von außen erreicht werden soll. Zwischen der FB6490 und dem Server hängt ein OpenWRT, der verschiedene Netze bei mir per VLAN trennt. Der WAN des OpenWRT ist dann die FB, und beide Router sind mit einer Funkbrücke verbunden, wobei der OpenWRT als Client im Netz der FB angemeldet ist. <br/>
<br/>
Die OpenWRT-Version ist bei mir 14.07. Wo finde ich die erste der oben genannten 3 Optionen im Menü?<br/>
<br/>
Ich muss gestehen, daß ich mit ip6 noch nicht so viel Erfahrung habe, wie ich gerne hätte. <E</E> Darum wäre ich sehr dankbar, wenn jemand, der sich damit auskennt, eine Anleitung "für dummies" schreiben oder darauf verlinken würde, am besten mit Bildern, wie man das mit der Luci-Oberfläche hinbekommt, oder die entsprechenden Dateien aus /etc/config/ zusammenschreibt, und mit reichlich Kommentaren versieht, so daß man es auch als weniger geübter Netzwerker nachvollziehen kann.<br/>
<br/>
Wichtig wären auch Dinge wie: wo kriege ich diese Netzwerk-ID her, die die FB beim Eintrag der Weiterleitung gerne hätte?</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Fruchtzwerg"><s>

</s>
Die OpenWRT-Version ist bei mir 14.07. Wo finde ich die erste der oben genannten 3 Optionen im Menü?
<e>

</e></QUOTE>

Zunächst würde ich von 14.07 auf Chaos Calmer (z.B.15.05-rc1) upgraden, gerade die IPv6-Optionen sind dort fortgeschrittener. (Einfach das OpenWrt-Image mit "sysupgrade" im Namen für Dein Router-Modell besorgen und in der GUI/luci drüberbügeln).<br/>
<br/>
Die relay-Optionen beziehen sich auf DHCPv6 und müssen, wie ich schon schrieb, sowohl auf dem äußeren sowie dem inneren Interface des Routers gesetzt werden. Also unter DHCP-Server von LAN und DHCP-Server von WAN/WAN6.<br/>

<QUOTE author="Fruchtzwerg"><s>

</s>
Ich muss gestehen, daß ich mit ip6 noch nicht so viel Erfahrung habe, wie ich gerne hätte. <E</E> Darum wäre ich sehr dankbar, wenn jemand, der sich damit auskennt, eine Anleitung "für dummies" schreiben oder darauf verlinken würde, am besten mit Bildern, wie man das mit der Luci-Oberfläche hinbekommt, oder die entsprechenden Dateien aus /etc/config/ zusammenschreibt, und mit reichlich Kommentaren versieht, so daß man es auch als weniger geübter Netzwerker nachvollziehen kann.
<e>

</e></QUOTE>

... dann würde ich Dir empfehlen, zunächst die von mir bereits erwähnten Pakete in OpenWrt nachzuinstallieren und dann einfach die /etc/config/dhcp und /etc/config/network direkt zu übernehmen, wie sie hier im Thread bereits stehen .... also direkt zu kopieren oder ggf. noch zu editieren, wenn Deine physikalischen Interfaces anders heißen sollten. Von dort aus würde Dir sicher Vieles klarer, weil Du dann sehen würdest, wo die ganzen Optionen in der GUI abgebildet sind. Aber free lunch zu erwarten, dürfte bei der Komplexität des Themas nicht funktionieren (zumindest diesen Thread wirst Du leider vollständig lesen müssen).<br/>
<br/>
Ich muß aber Deine Hoffnungen noch mehr dämpfen. Mit dem Setup kann man zwar geschützt durch seine eigene Firewall IPv6 in- und outgoing betreiben, aber nach einigen Tagen kann sich schonmal die IPv6-Adresse des UM-Zwangsrouters ändern, und dann müsste man entweder mit einem automatischen Skript darauf reagieren oder mit einem DynDNS für IPv6 arbeiten. Letzteres werde ich in nächster Zeit einmal ausprobieren, würde für meine Ansprüche eventuell ausreichen. <br/>

<QUOTE author="Fruchtzwerg"><s>

</s>
Wichtig wären auch Dinge wie: wo kriege ich diese Netzwerk-ID her, die die FB beim Eintrag der Weiterleitung gerne hätte?
<e>

</e></QUOTE>

Dazu kann ich leider nichts sagen, da ich einen TC7200 bekommen habe.</r>

 

[Fruchtzwerg]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r>Danke für die Antwort. <E></E><br/>
<br/>
Es gibt zwei Probleme: <br/>
<br/>
1. Für meine TP-Link ist die Version 15 noch nicht verfügbar. <br/>
2. Ich habe Geräte im Netzwerk, die definitiv nicht ip6-fähig sind. <br/>
<br/>
Das erste Problem wäre wohl nur eine Frage der Zeit. Was aber mache ich mit den ip4-Geräten? Darunter ist eines, das auch von außen erreichbar sein soll, aber selber nicht das innere Netz erreichen soll. (DMZ) Ich schätze, da habe ich überhaupt keine Chance, oder?</r>

 

[Ulimit]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Fruchtzwerg"><s>

</s> Was aber mache ich mit den ip4-Geräten? Darunter ist eines, das auch von außen erreichbar sein soll, aber selber nicht das innere Netz erreichen soll. (DMZ) Ich schätze, da habe ich überhaupt keine Chance, oder?
<e>

</e></QUOTE>

Hi, in diesem Thread geht es nur um "IPv6-Nutzung". Wenn Du IPv4-Services betreiben willst, müsstest Du einen eigenen Thread dafür aufmachen. Sicherlich gibt es zur IPv4-Problematik auch schon einige alte Beiträge. Meine persönliche Einschätzung ist, daß man nur mit einer privaten IP (RFC1918) von Unitymedia schlechte Karten hat.</r>

 

[Fruchtzwerg]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Ulimit"><s>

</s>Hi, in diesem Thread geht es nur um "IPv6-Nutzung". <e>

</e></QUOTE>

Darum geht es ja auch bei mir. <E></E><br/>
<br/>
Ich habe ja IPv6 von UM bekommen, und muss jetzt eine Lösung für mein vorhandenes Netzwerk finden, oder der Vertrag widerrufen. Einige meiner/unserer Geräte sind zu IPv6 fähig, einige nicht. Zum Glück sind unter den "unfähigen" die weniger wichtigen Geräte, aber die sind eben trotzdem nicht absolut unwichtig. Die Geräte, die V6 können, könnten evtl einen Teil der Funktionen der anderen Geräte mit übernehmen, aber auch eben nur einen Teil. <br/>
<br/>
Wichtig wäre jetzt erst mal, überhaupt eine Erreichbarkeit von außen für einige der IPv6-Geräte zu schaffen, und diese Erreichbarkeit für alle möglichen Endgeräte im Internet zu gewährleisten, also ohne, daß dort Zusatzprogramme oder Apps installiert werden müssen.<br/>
<br/>
Wenn das schon mal nicht geht, hat sich für mich das Thema Unitymedia sowieso erledigt.</r>

 

[hajodele]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r><QUOTE author="Fruchtzwerg"><s>

</s>Das erste Problem wäre wohl nur eine Frage der Zeit. Was aber mache ich mit den ip4-Geräten?<e>

</e></QUOTE>
Vielleicht ist so was das Gegebene: <URL url="http://www.feste-ip.net/">http://www.feste-ip.net/</URL></r>

 

[Fruchtzwerg]

Re: IPv6-Nutzung geschützt durch privaten Router überhaupt m

<r>Ja, danke, das hatte ich schon gesehen. Aber eine weitere Kostenstelle wollte ich nicht aufmachen.<br/>
<br/>
Ich sehe gerade noch mal diesen Satz auf der Seite: <br/>

<QUOTE><s>

</s>Geräte hinter Ihrem Anschluss sind von IPv4 Geräten nicht mehr erreichbar.<e>

</e></QUOTE>

Wenn das stimmt, dann sind alle Mobiltelefone schon mal raus aus dem Rennen, und das hieße dann für mich "Tschüss, Unitymedia!" <E>:traurig:</E></r>