Unitymedia Connectbox / IPv6 / FTP- Server

[Gast7444]

Hallo,

folgendes Szenario:

Connectbox (DS-Lite, WLAN aus, Telefon nicht angeschlossen) im Keller --> LAN PLC Verbindung in die Wohnung, eine Apple Airport Extreme Basistation als Bridge (oben) als WLAN AP / Switch

Im Keller ist an LAN 2 der Connectbox ein FTP Server (Zyxel NSA-325v2) angeschlossen.

Von IPv4 habe ich mich schon verabschiedet, also alles auf IPv6 umgestellt.

Problem:
Wenn die IPv6 Firewall eingeschaltet ist, komme ich von aussen nicht auf den FTP. Schalte ich sie aus, klappt es (vorausgesetzt man hat die IPv6 Adresse richtig eingegeben )!

Allerdings habe ich nirgens eine Möglichkeit gefunden die FW zu konfigurieren. --> Das ist doch nicht euer ERNST Unitymedia, oder?!
Aussgeschaltet lassen wäre ja nicht das Thema wenn die Box einen Bridge- Modus hätte, aber da ich die Routingfunktion der Connectbox in DE nicht ausschalten kann, müsste ich ja doppeltes NAT machen wenn ich eine Firewall / 2. Router hinterschalten würde - inakzeptabel.

Ich hoffe jemand hat eine Idee, wie das laufen könnte... Business Anschluss steht mir leider nicht mehr zu, da ich Aufgrund von Festanstellung --> Geschäftsaufgabe ... Außerdem brauche ich IPv4 eigentlich nicht...

 

[Andreas1969]

Business Anschluss steht mir leider nicht mehr zu, da ich Aufgrund von Festanstellung --> Geschäftsaufgabe ...

Den bekommst Du aber auch als Privatperson.
Mir wollen die den Business Anschluss jedes mal
aufquatschen, wenn ich mich beschwere.

Gruß Andreas

 

[tq1199]

Problem:
Wenn die IPv6 Firewall eingeschaltet ist, komme ich von aussen nicht auf den FTP. Schalte ich sie aus, klappt es (vorausgesetzt man hat die IPv6 Adresse richtig eingegeben )!

Allerdings habe ich nirgens eine Möglichkeit gefunden die FW zu konfigurieren. --> Das ist doch nicht euer ERNST Unitymedia, oder?!

Warum ist das ein Problem für dich? Dein Gerät mit FTP, hat eine öffentliche IPv6-Adresse und ist aus dem Internet direkt erreichbar. Im Zeitalter von IPv6 wird auf dem Router keine "Firewall" mehr benötigt.

Oder was willst Du mit einer "konfigurierbaren IPv6-Firewall" auf deinem Router/Modem", schützen?

 

[Gast7444]

Naja,

wie oben schon geschrieben ist ja in der Wohnung ein WLAN Accespoint + Switch im Bridgemodus. Dort melden sich Smartpones Laptops PCs etc. an. Die haben dann zumindest teilweise eine öffentlich erreichbare IPv6 Adresse...

Oder verstehe ich hier was falsch?

Aus Performance Gründen möchte ich kein "extra" Subnetz und möchte kein doppeltes NAT machen...


Angenommen ich könnte auf Office Internet 50 wechseln, kann die Fritzbox dann auch Router sein, oder ist die dann generell als Bridge konfiguiert, und man braucht einen Router dahinter? - Was wiederrum ungünstig wäre, da ja im Keller das NAS Laufwerk als FTP steht... und der Router erst oben in der Wohnung...

 

[tq1199]

wie oben schon geschrieben ist ja in der Wohnung ein WLAN Accespoint + Switch im Bridgemodus. Dort melden sich Smartpones Laptops PCs etc. an. Die haben dann zumindest teilweise eine öffentlich erreichbare IPv6 Adresse...

Oder verstehe ich hier was falsch?

Ob die anderen Geräte (auch ) eine öffentliche IPv6-Adresse haben, ist von deren Konfiguration abhängig.
Auch wenn diese Geräte eine öffentliche IPv6-Adresse hätten, sind diese nur dann aus dem Internet erreichbar, wenn basierend auf der Interface-ID dieser Geräte, eine IPv6-Freigabe konfiguriert/eingerichtet ist.

 

[Gast7444]

[/quote]...eine IPv6-Freigabe konfiguriert/eingerichtet ist.[/quote]

Kannst Du mir etwas mehr darüber sagen?

Besteht denn nicht, das einige Geräte einfach falsch konfiguriert sind. Und wo richtet man diese Freigaben ein? In der ConnectBox? Für das NAS habe ich jedenfalls keine eingerichtet... oder passiert das über UPnP?

Ich hab irgendwie bedenken die FW einfach aus zu lassen...

 

[MartinDJR]

Wenn die IPv6 Firewall eingeschaltet ist, komme ich von aussen nicht auf den FTP. Schalte ich sie aus, klappt es (vorausgesetzt man hat die IPv6 Adresse richtig eingegeben )!

Allerdings habe ich nirgens eine Möglichkeit gefunden die FW zu konfigurieren. --> Das ist doch nicht euer ERNST Unitymedia, oder?!

Beim TC7200 gab es tatsächlich nur zwei Möglichkeiten: "Firewall an" und "Firewall aus". Bei "Firewall an" wurden alle (IPv6-) Verbindungen von Außen geblockt.

Von der ConnectBox habe ich aber bereits Screenshots von einer Firewall-Einstellung gesehen. Dort konnte man ziemlich genau einstellen, was man will.

Falls dein Rechner allerdings keine feste IPv6-Adresse hat (wahrscheinlich), musst du einen bestimmten Port (z.B. 21) für alle Rechner freischalten. Oder du müsstest dir ein Programm schreiben, das einen Webzugriff auf die ConnectBox simuliert und die Firewall-Einstellungen bei einer Änderung der IPv6-Adresse automatisch anpasst.

In folgendem Thread habe ich einem anderen User ein paar Fragen dazu beantwortet:

http://unitymedia-helpdesk.de/forum/viewtopic.php?f=20&t=7600&view=previous

Dort ist auch der Screenshot.

müsste ich ja doppeltes NAT machen wenn ich eine Firewall / 2. Router hinterschalten würde - inakzeptabel.

Das würde kaum was bringen: Wenn du einen "marktüblichen" Router verwendest, hättest du hinter dem 2. Router kein IPv6 mehr, sondern nur noch IPv4, was an einem DS-Lite-Anschluss alles andere als günstig ist.

Den bekommst Du aber auch als Privatperson.
Mir wollen die den Business Anschluss jedes mal aufquatschen, wenn ich mich beschwere.

... würde allerdings nur dann was bringen, wenn "sasch" KEIN IPv6 benötigt, da man bei UM IPv6 NUR zusammen mit einem Privatkundenanschluss bekommt.

Warum ist das ein Problem für dich? Dein Gerät mit FTP, hat eine öffentliche IPv6-Adresse und ist aus dem Internet direkt erreichbar.

... wegen der Firewall. Siehe unten.

Im Zeitalter von IPv6 wird auf dem Router keine "Firewall" mehr benötigt.

Wie kommst du auf diese Idee?

Gegen Ende meines Studiums (um 2003) war es üblich, keinen Router zu verwenden, sondern den PC direkt mit dem Modem ins Internet zu verbinden. Entsprechend hatte der PC eine globale IP-Adresse und war wie bei IPv6 von jedem anderen Internet-Anschluss aus direkt ansprechbar.

Damals hat irgendwer herausgefunden, dass man zu Rechnern mit dem damals meistbenutzten Betriebssystem (TM) ein bestimmtes IP-Paket schicken kann, daraufhin eine TCP-Verbindung aufbauen und einen Virus installieren...

...was dann auch von irgendwem gemacht wurde. Es wurden massenhaft Rechner infiziert!

Zwischen IPv4 und IPv6 gibt es an dieser Stelle keinen Unterschied: Mit Firewall ist der Rechner gegen solche Angriffe geschützt, ohne Firewall nicht.

 

[tq1199]

Warum ist das ein Problem für dich? Dein Gerät mit FTP, hat eine öffentliche IPv6-Adresse und ist aus dem Internet direkt erreichbar.

... wegen der Firewall. Siehe unten.

Im Zeitalter von IPv6 wird auf dem Router keine "Firewall" mehr benötigt.

Wie kommst du auf diese Idee?

Gegen Ende meines Studiums (um 2003) war es üblich, keinen Router zu verwenden, sondern den PC direkt mit dem Modem ins Internet zu verbinden. Entsprechend hatte der PC eine globale IP-Adresse und war wie bei IPv6 von jedem anderen Internet-Anschluss aus direkt ansprechbar.

Damals hat irgendwer herausgefunden, dass man zu Rechnern mit dem damals meistbenutzten Betriebssystem (TM) ein bestimmtes IP-Paket schicken kann, daraufhin eine TCP-Verbindung aufbauen und einen Virus installieren...

...was dann auch von irgendwem gemacht wurde. Es wurden massenhaft Rechner infiziert!

Zwischen IPv4 und IPv6 gibt es an dieser Stelle keinen Unterschied: Mit Firewall ist der Rechner gegen solche Angriffe geschützt, ohne Firewall nicht.

Dann solltest Du mal "Firewall" definieren, denn ein Router ist keine Firewall. Und ich behaupte jetzt mal, dass mein Server oder mein PC, den ich direkt in das Internet stelle, besser abgesichert als ein (Zwangs)router auf dessen Firmware ich überhaupt keinen Einfluss habe bzw. den ich auch nur bedingt konfigurieren kann.

 

[Gast7444]

... hmm und was machen wir jetzt?

es geht mir ja noch nicht mal so um meine Geräte... die könnte ich ja entsprechend konfigurieren... Aber meinen Gästen möchte ich sicher nicht eine potentielle Gefahr anbieten... ob und wie gut der Schutz von den UM Geräten gegeben ist, sei mal dahingestellt. Aber ich denke die Firewall einfach so ausgeschaltet zu lassen ist (zumindest wenn das tatsächlich genauso wie bei IPv4 einzusätzen ist) grob fahrlässig. Es wäre meiner Ansicht nach schon das mindestest, was man als Anschlussinhaber beachten sollte.

 

[tq1199]

... Aber meinen Gästen möchte ich sicher nicht eine potentielle Gefahr anbieten...

BTW: Wie schützen deine Gäste ihre Geräte (Tablets, Smartphones, etc.) wenn sie damit z. B. in einem öffentlichen (freien) WLAN unterwegs sind?

 

[Gast7444]

... Aber meinen Gästen möchte ich sicher nicht eine potentielle Gefahr anbieten...

BTW: Wie schützen deine Gäste ihre Geräte (Tablets, Smartphones, etc.) wenn sie damit z. B. in einem öffentlichen (freien) WLAN unterwegs sind?

Ich vermute je nach Bildungsstand, und Gottvertrauen wenig bis gar nicht.... die verlassen sich dann schon mal gerne auf den Anbieter des freien WLANs bzw. den Hersteller ihrer DV Ausstattung... - so nach dem Motto "wird schon nix passieren" oder "eben mal kurz nur..."

 

[tq1199]

..., und Gottvertrauen wenig bis gar nicht....

OK, aber dann würde ich an deiner Stelle, Geräte die so ungeschützt unterwegs waren, nicht in mein (W)LAN/VPN lassen. :zwinker:

 

[SpaceRat]

Dann solltest Du mal "Firewall" definieren, denn ein Router ist keine Firewall.

Das ist - wenn wir von Haarspaltereien absehen - natürlich völliger Käse.

Ein Router beinhaltet tatsächlich nicht zwangsläufig auch eine Firewall und im Profi-Segment (Also wo die Teile ins 19"-Rack geschraubt werden ...) ist eine Trennung tatsächlich üblich.

Im Consumer-Bereich hingegen beinhaltet jeder auch nur rudimentär funktionsfähige Router auch eine Firewall-Funktionalität, mindestens in dem Maße, daß eingehende Pakete nur als Antworten auf ausgehende Pakete zugelassen sind.
Sieht man ja daran, daß selbst die Elektronikschrott-Geräte Drecknikotzlor DK7200, Übel Evil und DisconnectBox soviel können.

Ist der Router darüber hinaus sogar "annähernd anständig", dann kann er auch einzelne Ports für neue eingehende Verbindungen auf einzelnen IPv6-Zieladressen freigeben.
Das nutzt einem wohl nur begrenzt etwas, denn da vorgesehen war, bei IPv6 auch dem Blödsinn mit den dynamischen IPs ein Ende zu machen, können fast alle Router diese Freigaben nur für vollständig eingegebene IPv6-Adressen konfigurieren. Diese dürfen sich also nicht ändern, das tun sie aber in Deutschland ...

Es gibt drei Router-Hersteller/Firmware-Hersteller, bei denen es dafür eine programmatische Lösung gibt:

• AVM
  Hier werden die Freigaben immer nur anhand des Suffixes/Host-Teils der IPv6 eingerichtet und passen sich dem gerade aktuellen dynamischen Präfix automagisch an.
• ZyXEL/Hitron
  Hier können IPv6-Freigaben optional so eingerichtet werden, daß sie sich verändernden Präfixen automatisch "folgen".
• OpenWrt/LEDE
  Per se können diese Firmwares IPv6-Freigaben auch nur für komplette und damit feste IPv6-Adressen.
  Aber da man hierbei Herr im Hause bleibt, kann man das Umschreiben der ip6tables per Script lösen.
  Nicht schön und feierlich, aber es geht ...

Und ich behaupte jetzt mal, dass mein Server oder mein PC, den ich direkt in das Internet stelle, besser abgesichert als ein (Zwangs)router auf dessen Firmware ich überhaupt keinen Einfluss habe bzw. den ich auch nur bedingt konfigurieren kann.

Mit Verlaub, aber das ist Schwachfug sonder Gleichen.
Als man noch genau einen PC direkt ans DSL-Modem gehängt hat, hätte man tatsächlich noch alle Dienste abschalten können, die im Internet nix verloren haben.
Wo nichts ist/kein Dienst lauscht, braucht man natürlich auch keine Firewall, um etwas zu blocken.

Aber:
Schaltet man an einem der UM-Schrottrouter in seiner Verzweiflung die IPv6-Firewall ganz ab, dann hängen ja i.d.R. immer noch mehrere Geräte dahinter, die sowas wie ein LAN/Heimnetz bilden.
Natürlich könnte man alle diese Rechner wie in den 90ern einzeln verrammeln, aber das tut ja in der wahren Welt keiner¹. Man will ja im LAN auf seinen Sat-Receiver, sein NAS, usw. zugreifen können.
Und die Absicherung im Sinne von "Halte Port 445 offen, aber erlaube nur die Clients a, b und c aus dem Heimnetz, aber nicht die Angreifer 1 bis 9 Milliarden aus dem Internet" ist nix für Laien und Hobby-ITler.

1. Ich weiß, daß Ausnahmen die Regel bestätigen.

 

[F-orced-customer]

Im Zeitalter von IPv6 wird auf dem Router keine "Firewall" mehr benötigt.

 

[MartinDJR]

die Elektronikschrott-Geräte ... DisconnectBox

Eine Zwischenfrage mal:

Über den TC7200 und vor allem den uBee habe ich bereits genügend Beschwerden gelesen, über die ConnectBox noch keine.

Ist die ConnectBox nun ein brauchbarer Router oder nicht?

Immerhin hat die ConnectBox meines Wissens sogar eine relativ frei konfigurierbare Firewall...

Hier werden die Freigaben immer nur anhand des Suffixes/Host-Teils der IPv6 eingerichtet

Ich frage mich, warum es keine Firewalls gibt, bei denen man anstatt der IPv6-Adresse die MAC-Adresse des Zielgerätes angeben kann...

 

[SpaceRat]

Ich frage mich, warum es keine Firewalls gibt, bei denen man anstatt der IPv6-Adresse die MAC-Adresse des Zielgerätes angeben kann...

Was großartig anderes ist das Suffix ja nicht:

Solange keine Bullshit Extensions ("Privacy" Extensions) verwendet werden gilt:
MAC (48) -> Mittig ff:fe rein und dann in 4er-Blocks geschrieben, siebtes Bit von links invertieren => modified EUI-64 = Host-Suffix.

Und eingeben muß man die ja bei der Fritz!Box auch nicht, man wählt einfach aus der Drop-Down-Liste der bekannten Rechner aus.

 

[addicted]

Ich frage mich, warum es keine Firewalls gibt, bei denen man anstatt der IPv6-Adresse die MAC-Adresse des Zielgerätes angeben kann...

Was großartig anderes ist das Suffix ja nicht:

Ich weiß nicht, was Du gegen PE hast, aber ich fände das auch eine gute Idee.

Leider wird die Ziel-MAC innerhalb der Xtables noch nicht zur Verfügung stehen. Man könnte vielleicht kurz im ARP/Neighbor Cache gucken, aber gerade für unbekannte neue Verbindungen klappt das ja nicht

 

[MartinDJR]

Leider wird die Ziel-MAC innerhalb der Xtables noch nicht zur Verfügung stehen. Man könnte vielleicht kurz im ARP/Neighbor Cache gucken, aber gerade für unbekannte neue Verbindungen klappt das ja nicht

Wenn der Router ein IP-Paket (egal ob IPv4 oder IPv6) an den PC/Server/... weiterleiten muss (also bei allen eingehenden Paketen), muss er ja sowieso erst einmal die zugehörige MAC-Adresse (per ARP oder eben Neighbor Discovery) abfragen, wenn er sie noch nicht kennt.

Bevor das IP-Paket an den Rechner weitergeschickt wird, kennt der Router die MAC-Adresse.

 

[addicted]

Die Firewall ist fertig bevor die MAC ermittelt wird. In Kombination mit ebtables könnte es aber evtl. einen Weg geben.

 

[MartinDJR]

Die Firewall ist fertig bevor die MAC ermittelt wird. In Kombination mit ebtables könnte es aber evtl. einen Weg geben.

Bei aktuellen Routern ist die Firewall fertig, bevor die MAC ermittelt wird.

Es gibt aber keinen mir ersichtlichen technischen Grund, warum man keine Router bauen können sollte, bei der die Firewall Pakete auch noch nach der Ermittlung der MAC-Adresse blocken kann.

 

[addicted]

Performance ist ein Grund, der zumindest mir ersichtlich ist.

 

[MartinDJR]

Performance ist ein Grund, der zumindest mir ersichtlich ist.

Ich habe mir mal durchgedacht, wie eine derartige Firewall funktionieren würde:

Der Grund "Höhere Performance" (bzw. "Geringerer Speicher- und Rechenzeitbedarf") würde sogar eher für MAC-basierte Firewall-Regeln als dagegen sprechen.

Datendurchsatz und Latenzzeiten wären in beiden Fällen gleich.

 

[SpaceRat]

Ein Problem könnte werden, daß MAC-Adressen leider nur theoretisch eindeutig sind.

Bei diversem China-Tand haben alle Exemplare dieselbe MAC, was für richtig Spaß im Netzwerk sorgt, sobald zwei davon im Netz sind.
Dabei ist "China-Tand" schon weit gefaßt, z.B. gehören da auch bestimmte Receiver der eigentlich renommierten Marke "Topfield" dazu.

 

[MartinDJR]

Ein Problem könnte werden, daß MAC-Adressen leider nur theoretisch eindeutig sind.

Bei diversem China-Tand haben alle Exemplare dieselbe MAC, ...

Innerhalb eines lokalen Netzwerkes müssen alle Geräte eine eindeutige MAC-Adresse haben. Zur Not muss man diese manuell einstellen (was übrigens sogar laut Norm erlaubt ist...).

Tatsächlich würde das Ganze nicht funktionieren (auch mit eindeutigen MAC-Adressen nicht), wenn man hinter dem Router noch einen zweiten Router hat. Da die meisten billigen Router aber wohl sowieso kein Prefix Delegation haben, dürfte das eher ein theoretisches Problem sein.

 

[addicted]

Das Problem ist, dass die Ziel-MAC nicht Teil des Paketes ist, welches Du beurteilen willst. Du musst diese Info dazu holen. Und das geht noch nicht mal in allen Fällen.

Man filtert ja auch nicht basierend auf den DNS-Namen.