- Connect Box Beitrag #376
Spiniis
- Beiträge
- 5
- Punkte Reaktionen
- 0
Dir ist schon klar, dass wenn UPnP nicht geht, man zu hole punching greift. Damit kommen sie trotzdem durch die stateful firewall, nur funktionieren schlechter, da nun z.B. TCP Pakete in UDP gepackt werden. Anstatt direkte eingehende Verbindungen hast du nun falsche ausgehende Verbindungen über irgendeinem zentralen STUN-Server, die per zusätzliche keep-alive Pakete offen gehalten werden müssen. Alles nicht im Sinne des TCP/IP-Modells des Internets.Firewallregeln sauber definieren und man braucht kein UPnP. Ich will selbst bestimmen/wissen welche Ports ein Gerät nutzen möchte und nicht einfach sachen "komm mach halt mal" :nein:
Der Hauptkritikpunkt von UPnP sind miese Implementierungen und zu weite Spezifikaktionen die mehr erlauben als eigentlich gewünscht. Zum Beispiel dass jemand von außerhalb Ports öffnen kann, dass Geräte Ports für andere Geräte als sich selbst öffnen können usw. Bei pfSense hast du das nicht. PMT-NAT und insbesondere das neue PCP räumen es auch weitestgehend aus.
Zudem wird manuelles port forwarding meist schlecht dokumentiert in Zeiten von UPnP oder hole punching.
Die ganze Idee hinter stateful firewalls ist fraglich, als ob listen() gefährlicher als connect() ist. Gab es halt damals fast kostenlos mit NAT und Anfangs der 2000ern gab es noch system services mit remote code execution Lücken, die ein uneingeschränktes listen() auf globale IP-Adressen hatten. Bei IPv6 sollte man das wieder überdenken und echte end-to-end Verbindungen ohne Ballast ermöglichen.
Bei Grenzfällen wie inkompetente Programmen und Geräte z.B. IP-Kameras bei Aldi sollte die Lösung heißen diese einfach nicht zu verwenden - nicht dass sie IPv6 und PCP konnten.
Nochmals danke.
Der Screenshot zu IP und Port Filter ist aber wieder der gleiche. Wenn auf 'Eine neue Regel erstellen' sollte ein anderes Untermenü erscheinen.
Sehr schade, dass der DHCPv6 Server keine fixen Adressen vergeben kann. Dadurch das es SLAAC gibt, braucht man ihn eigentlich nicht. Höchstens sinnvoll für Prefix Delegation, wenn man Router-Kaskaden bauen will.
Hier alle offenen Fragen:
- Erlaubt die IPv6 Firewall das Öffnen von Ports für Interface Identifiers - nicht die ganze IPv6 Adresse?
- Wird NAT-PMP unterstützt?
(eigentlich sinnlos bei DS-Lite, da keine eigene globale IPv4 Adresse und CGN alle Ports zu hat) - WIrd PCP unterstützt?
wesentlich sinnvoller als UPnP/NAT-PMP da IPv6 Unterstützung
würde in der Theorie eingehende IPv4 Verbindungen bei DS-Lite erlauben, wenn UM's AFTR Server dies in Zukunft auch unterstützt - Öffnet NAT-PMP/UPnP Ports in der IPv6 Firewall?
(schlechter Workaround für DS-Lite: anstatt sinnlos IPv4 Ports weiterzuleiten - wie angewiesen, die Ports für IPv6 zu öffnen und hoffen das Programm kann IPv6) - Sieht man irgendwo das von UM zugewiesene IPv6 Prefix?
müsste ein /59 Prefix sein - Welchen Kanal zeigt ein Endgerät bei Kanalbreite 80Mhz und jeweils Kanal 36, 40, 44 und 48 an?
- Zeigt der Router die IPv6 von Geräte an, die sich per SLAAC selbst konfiguriert haben?
- Geht UPnP im Gastnetzwerk?
- Wird bei DS-Lite noch eine IPv4 Firewall angezeigt?
- Kommt das WLAN mit multicasts zurecht?
sprich Umwandling zu unicasts, nicht broadcasts, die das ganze WLAN lahmlegen
bräuchte igmp-snooping (IPv4) und MLD (IPv6) zum Erkennen von multicasts - Was kommt bei http://ipv6-test.com/ raus?
wird icmp durchgelassen? gibt es Optionen dafür? - Was macht die Connect Box ohne Koaxkabel?
könnte man sie vorübergehend als AP verwenden - Kommt man irgendwie in das Debugmenü
gibt es etwa einen versteckten admin account wie bei den älteren Modem
