Unitymedia suche einfach nur ein Kabel Modem für DOCSIS 3.0

[tom001]

die AVM 6430 für 159€ gibt´s wohl jetzt zum kauf, meint ihr die könnte man in die Bridge Modus an einem UM DS Lite versetzten? Beim AVM Telefon sagte man bzgl.der 6490 das ginge nicht. Sehe gerade die 6430 hat "nur" 16-4 Kanalbündelung, meine 6490 läuft aktuell auf 22-5!

 

[GoaSkin]

die AVM 6430 für 159€ gibt´s wohl jetzt zum kauf, meint ihr die könnte man in die Bridge Modus an einem UM DS Lite versetzten? Beim AVM Telefon sagte man bzgl.der 6490 das ginge nicht. Sehe gerade die 6430 hat "nur" 16-4 Kanalbündelung, meine 6490 läuft aktuell auf 22-5!

Wie gesagt: Um den Bridge-Modus nutzen zu können, muss nicht nur der Router für den Bridge-Modus konfiguriert werden, sondern auch das Routing für die gegebene Internet-Verbindung auf der Gegenseite. Versetzt man eine Fritzbox einseitig in den Bridge-Modus, so hat man eine Art nicht nutzbare Internetverbindung. Bridge-Modus bedeutet: Router erhält eine IP aus dem Bereich 10.x.x.x und sobald ein Client per DHCP eine IP anfordert, wird nicht nur eine IP vergeben, sondern an der Gegenseite auch eine Route gesetzt (DHCP-IP wird über die 10er IP zum Ziel geleitet). Alternativ zur 10er IP können auch zusätzliche echte IPs verschwendet werden, was bei manchen Business-Anschlüssen der Fall ist. Da hat man einen IP-Block von Unitymedia und sieht im Modem-Setup, dass das Modem DOCSIS-Seitig noch einmal eine ganz andere IP hat.

 

[tom001]

ok vielen Dank GoaSkin, nun habe auch ich es verstanden. Somit wird das wenn ich es nunmehr richtig verstanden habe bei einem DS Lite Anschluß eh nichts mit dem Bridge Modus. Wäre aber mit einem wirklich reinen Kabelmodem möglich? Oder?

 

[GoaSkin]

Bridge-Modus wäre auch mit einer Fritzbox möglich, wenn Unitymedia den Anschluss entsprechend konfiguriert. Allerdings wird man als Kunde kaum bewirken können, dass einem Unitymedia einem diesen Gefallen tut. Kaum heisst mit einem langem Kampf eventuell irgendwann. Von einem Bridge-Modus dürften die meisten Hotliner weder jemals etwa gehört haben, noch haben Diese die Möglichkeit, dies mal eben in ihrer Kunden-Bearbeitungs-Maske einzugeben. Das müsste schon an die richtige Stelle hoch eskaliert werden und - falls es dazu kommt - sich diese auch darauf einlassen.

Anders ist das bei Kabel Deutschland. Dort kann der Kunde sogar im Kundencenter zwischen Bridge-Modus und Router-Modus wechseln.


Was nun IPv6 betrifft, ist das Problem ein Anderes. Hier wird DHCP nicht genutzt, um eine einzelne IP zu ziehen, sondern ein ganzes Netz. Wie beim IPv4-Bridge-Modus auch, gibt es allgemein ein Präfix, das der Router per SLAAC delegiert und DOCSIS-seitig eine andere IP, die als Routing-Ziel für diesen Präfix dient. Kleiner Unterschied ist, dass sich der Router die IP-Range per DHCP zunächst selbst holt, was zunächst auch so Sinn der Sache ist. Unitymedia vergibt dem Router meist ein /57-Präfix, wobei für Autoconf (SLAAC) nur ein /64er Präfix erforderlich ist; sinngemäß, weil es bei IPv6 die Praxis ist, dass ein IPv6-Router an nachgeschaltete Router - ebenfalls per DHCP - kleinere Präfixe nachdelegieren soll. Faktisch funktioniert das aber mit keinem der Router, die Unitymedia ausgibt, richtig. Dies jedoch nicht, weil der Zugang anders geschaltet werden muss, sondern es die Hardware einfach nicht bringt.

 

[tom001]

schön für die Jungs die Kabel Deutschland nutzten können. Heißt also ich muss wirklich auf ein reines Kabelmodem warten, damit ich meine Fritzbox abschalten kann, und die Internetverbindung mit meinem Unifi USG aufbauen kann um das doppelte NAT bei mir zuhause zu verhindern...

 

[SpaceRat]

Die Fritz!Boxen können gar keinen Bridge-Modus.
Das könnte mit ein Grund sein, warum man ihn nicht kriegt

Das ist eine Bridge:

Wie man sieht erfolgt bridging in den ersten beiden Layern des OSI-Schichtenmodells, TCP, IP usw. spielen da gar keine Rolle.
Es werden einfach nur die physikalische Ebene (OSI-Schicht 1) des einen mit der physikalischen Ebene des anderen Segmentes verbunden.

Bei einem Kabel-Modem wäre die erste das HFC (Hybrid-Fibre-Coax) des Kabelnetzbetreibers und das zweite das Gigabit-Ethernet bis zum WAN-Port des Routers.

Was AVM da in den Fritz!Boxen "Bridge" nennt, ist keine.

 

[SpaceRat]

schön für die Jungs die Kabel Deutschland nutzten können. Heißt also ich muss wirklich auf ein reines Kabelmodem warten, damit ich meine Fritzbox abschalten kann, und die Internetverbindung mit meinem Unifi USG aufbauen kann um das doppelte NAT bei mir zuhause zu verhindern...

Reines Kabel-Modem, worauf ich die Hoffnung inzwischen fast aufgegeben habe, oder einen der Router die wirklich Bridge-Modus können.

Die Weigerung von Unitymedia, die Leihgeräte doch bitteschön einfach in den Bridge-Modus zu versetzen - wie das auch VF/KD tut - kann also zu der paradoxen Situation führen, daß man sich einen Technicolor-Router kauft um einen Technicolor-Router loszuwerden, denn den gekauften sollte man in den Bridge-Modus versetzt bekommen.

 

[addicted]

Wie gesagt: Um den Bridge-Modus nutzen zu können, muss nicht nur der Router für den Bridge-Modus konfiguriert werden, sondern auch das Routing für die gegebene Internet-Verbindung auf der Gegenseite.

Wie gesagt: Dafür gibt es keinerlei Belege, aber stattdessen einige Indizien dagegen.

Dazu ist Deine Erklärung, dass die "DHCP-IP an eine 10er IP geroutet wird" schlicht falsch. Das CMTS spricht ARP, welches von von einer Bridge transparent weitergereicht wird.
Auch eine Fritzbox kann man problemlos zu einer Bridge machen - dann aber anders, als UM das scheinbar bei Businesskunden umgesetzt hat. Ich kann mir vorstellen, dass AVM darauf keine Lust hast, denn die verkaufen die Dinger immerhin als Feature-Monster.
In ordentlich würde man dem Ding dann natürlich ne VLAN-Konfiguration verpassen, dann kann man alles machen und gleichzeitig Bridge nutzen. Aber das überfordert dann wieder den durchschnittlichen FB Käufer auf Bild-Niveau wenn man es nicht wegabstrahiert :/

Mal gucken, ob ich nächste Woche an ein TG2492 komme, da sollte Bridge Mode gehen.

 

[GoaSkin]

Was ein Netzwerkbridge im klassischen Sinne betrifft, dürfte bei DOCSIS überhaupt nicht möglich sein. Die Provisionierung und Freischaltung eines Modems basieren auf der MAC-Adresse des Modems. Würde an der DOCSIS-Gegenstelle die MAC-Adresse des Modems nicht auftauchen und stattdessen die eines Ethernet-Interfaces, dürfte Diese mit einem DHCP-Request überhaupt nichts anfangen können.

Vielmehr scheint sogar die Fritzbox einen echten Bridge zu versuchen, wenn man einen LAN-Port auf Bridge schaltet. Ich habe das mal ausprobiert, eine Linux-Büchse an LAN2 zu klemmen und Diesen als Bridge-Port zu definieren. Da werden DHCP-Anfragen überhaupt nicht beantwortet. Stellt man das LAN-Interface jedoch in den Promisc-Modus und lässt tcpdump oder iptraf laufen, taucht hier Traffic von irgendwelchen fremden Unitymedia-IPs im Monitoring auf.

 

[Gizeh775]

Was ein Netzwerkbridge im klassischen Sinne betrifft, dürfte bei DOCSIS überhaupt nicht möglich sein. Die Provisionierung und Freischaltung eines Modems basieren auf der MAC-Adresse des Modems. Würde an der DOCSIS-Gegenstelle die MAC-Adresse des Modems nicht auftauchen und stattdessen die eines Ethernet-Interfaces, dürfte Diese mit einem DHCP-Request überhaupt nichts anfangen können....

Also mal ein kleines Beispiel:
Cisco Modem an UM Kabelanschluss:
Ich starte es 10x neu und bekomme 10x die gleiche IP zugewiesen. Router am Modem nicht gewechselt.
Nun wechsle ich den Router, starte das Modem neu -> Neue IP-Adresse.

Siehe da, die MAC des angeschlossenen Endgerätes spielt sehr wohl eine Rolle.
Das DOCSIS Konstrukt OSI Schicht 1 &2 ist an das Modem gerichtet, aber 3 & 4 macht dann der Router. Natürlich kann ich mich da auch komplett täuschen, aber ich denke das müsste schon so hinkommen

...Stellt man das LAN-Interface jedoch in den Promisc-Modus und lässt tcpdump oder iptraf laufen, taucht hier Traffic von irgendwelchen fremden Unitymedia-IPs im Monitoring auf.

Also "fremd" kann es doch gar nicht sein, die FritzBox kann ja nur den für dich bestimmten "Traffic" in dein LAN umsetzen, also Traffic von anderen Kunden ist das definitiv nicht.
Das was du da hast wird Traffic aus deinem eigenen Netzwerk sein, aus der FritzBox stammen oder aber sehr wohl Traffic der an dich gerichtet ist.

 

[addicted]

Broadcast ist nicht verschlüsselt. Das wäre eher konktraproduktiv.
Broadcast gibt's auf der Schnittstelle z.B. ARP und ggf. auch DHCP. Unicast-Pakete für andere Geräte als Dein Modem dürftest Du aber nicht sehen, denn die sind verschlüsselt (solange im Netz "Privacy" aktiv ist).

Das Modem ist immer auch ein Client im Docsis Netz. Es muss z.B. einen Zeitserver erreichen, für Telefonie einen SIP Server (je nach PacketCable Version), TFTP Server für Firmware/Config.
Das Modem hat bei UM (KBW weiß ich nicht) immer eine IP aus einem 10er Netz.

Gleichzeitig stellt das Modem aber auch eine Bridge bereit zwischen dem Uplinknetz und dem LAN bereit.
Ich weiß nicht, wie das auf dem Modem getrennt wird. Ob einfach über die Modem-MAC festgelegt wird (z.B. Absender Modem-MAC: Modemnetz, alle anderen MACs: Benutzernetz), oder ob Docsis irgendwie zwei virtuelle Netze beinhaltet. Kann man bestimmt nachlesen, die Spec ist ja ewig ausführlich.

Bridge- oder Modem-Mode bedeutet in jedem Fall, dass das Interface, auf dem ein Modem-Router-Kombigerät seine öffentliche IP (nicht im 10er Netz) bekommt, extern auf LANx gelegt wird. Das lässt sich vollkommen trivial intern im Gerät machen und hat rein garnichts mit der Konfiguration auf Providerseite zu tun.

 

[Gizeh775]

Broadcast ist nicht verschlüsselt. Das wäre eher konktraproduktiv.
Broadcast gibt's auf der Schnittstelle z.B. ARP und ggf. auch DHCP. Unicast-Pakete für andere Geräte als Dein Modem dürftest Du aber nicht sehen, denn die sind verschlüsselt (solange im Netz "Privacy" aktiv ist).....

Nein, der Ablauf ist folgender:

Einschalten ->
Downstreamkanal suchen (wo find ich leckere Daten) ->
Den Upstremkanal ansprechen den ich im Downstream gefunden hab (Hiiii hier bin ich) ->
CMTS antwortet und merkt sich an welchem Node die Nudel hängt (ja wer bist du denn) ->
An dem Punkt findet das Ranging und bereits eine provisorische Verschlüsselung statt.
(und war war noch kein einziges Ethernet Paket dabei.)
Weiter geht der Verbindungsaufbau

Zertifikat des Modems geht an das CMTS ->
Zertifikat ok? Verschlüsselung wird aufgebaut ->
IP verteilen, darf ich überhaupt hier sein/Konfiguration empfangen usw...

Kabelmodem und CMTS sprechen DOCSIS - nicht Ethernet
Man muss sich Kabelmodem und CMTS wie Dolmetscher vorstellen die in eine andere Sprache übersetzen und dazu noch in einen Dialekt den nur sie beide verstehen

 

[addicted]

Du schreibst "Nein" und dann eine lange Liste an Dingen, über die ich garnicht gesprochen habe...?

Du hast natürlich recht, dass CMTS und CMTA Docsis reden, das hatte ich nicht bedacht. Von aussen sieht das für mich zumindest einem Ethernet sehr ähnlich.

Ich glaube aber, wir sind uns einig, dass es zwei getrennte Kanäle gibt, einen für "das Modem" und einen für "das Endgerät", und zwar auch in Kombigeräten. Und der für das Endgerät ist definitiv Ethernet.

Falls wir uns da nicht einig sind, muss jemand die Spec lesen.

 

[Gizeh775]

Du schreibst "Nein" und dann eine lange Liste an Dingen, über die ich garnicht gesprochen habe...?

Du hast natürlich recht, dass CMTS und CMTA Docsis reden, das hatte ich nicht bedacht. Von aussen sieht das für mich zumindest einem Ethernet sehr ähnlich.

Ich glaube aber, wir sind uns einig, dass es zwei getrennte Kanäle gibt, einen für "das Modem" und einen für "das Endgerät", und zwar auch in Kombigeräten. Und der für das Endgerät ist definitiv Ethernet.

Falls wir uns da nicht einig sind, muss jemand die Spec lesen.

Natürlich sprechen sie Ethernet, aber damit das Ethernet vom Kabelmodem zur CMTS kommt muss es in DOCSIS verpackt werden und oben habe ich dir gezeigt, dass jede Verbindung grundsätzlich verschlüsselt ist in DOCSIS.

 

[addicted]

Ah, Du widersprichst meiner Aussage, dass Broadcast nicht verschlüsselt ist.

Wie wird denn dann Broadcast verschlüsselt? Alle kriegen vorher den Key mitgeteilt? Oder jeder kriegt eine individuell verschlüsselte Kopie (was es ja dann zu Unicast macht)?

 

[GoaSkin]

Müsste man die DOCSIS-Spezifikationen lesen, aber ich kann mir vorstellen, dass eine Verschlüsselung nur die höheren Protokollschichten betrifft. Es macht keinen Sinn, Non-IP Hilfsprotokolle wie ARP oder DHCP zu verschlüsseln. Und wenn alle den selben Schlüssel nutzen, ist verschlüsselt und nicht verschlüsselt gehupft wie gesprungen.

 

[Gizeh775]

Ah, Du widersprichst meiner Aussage, dass Broadcast nicht verschlüsselt ist.

Wie wird denn dann Broadcast verschlüsselt? Alle kriegen vorher den Key mitgeteilt? Oder jeder kriegt eine individuell verschlüsselte Kopie (was es ja dann zu Unicast macht)?

Müsste man die DOCSIS-Spezifikationen lesen, aber ich kann mir vorstellen, dass eine Verschlüsselung nur die höheren Protokollschichten betrifft. Es macht keinen Sinn, Non-IP Hilfsprotokolle wie ARP oder DHCP zu verschlüsseln. Und wenn alle den selben Schlüssel nutzen, ist verschlüsselt und nicht verschlüsselt gehupft wie gesprungen.

Weil die Docsis Spezifikation, genauer die "Docsis 3.0/3.1 Security Specification (Media Access Control)" spätestens nach der Registrierung nur verschlüsselte Kommunikation vorsieht.

Wenn man jetzt diesen "Broadcast" (Ethernet IPv4 Broadcast) nimmt, weiß ja die CMTS an wen es gehen soll, an ALLE Schnittstellen. (Ob es diesen überhaupt gibt ist ein ganz anderes Thema)
Das CMTS weiß wo Schnittstellen hängen, x Kabelmodems an Node A, y Kabelmodems an Node B usw..... Diese Modems sind schließlich ALLE bei ihm registriert, durchlaufen gerade den Registrierungsprozess oder wurden einfach abgelehnt und auf ruhig geschaltet.
Wenn ich diesen Broadcast also wirklich machen möchte, dann verpackt das CMTS alle Meldungen in einen DOCSIS Media Access Control Frame und schickt diese an ALLE angemeldeten Kabelmodems.
Diese Kabelmodems müssen es dann demodulieren, entschlüsseln und an ihre entsprechende Schnittstelle weitergeben.

 

[addicted]

Wenn man jetzt diesen "Broadcast" (Ethernet IPv4 Broadcast) nimmt, weiß ja die CMTS an wen es gehen soll, an ALLE Schnittstellen.

Ethernet Broadcast läuft über die MAC Adresse ff:ff:ff:ff:ff:ff

Bei v6 gibt es eine Menge Multicast, aber weil UM mir kein Dual-Stack schaltet kann ich nicht sehen ob auf der Modem-Schnittstelle davon irgendwas rumfliegt. Müsste ich vielleicht mit nem Neukundenanschluss mal ausprobieren ...

Wenn ich diesen Broadcast also wirklich machen möchte, dann verpackt das CMTS alle Meldungen in einen DOCSIS Media Access Control Frame und schickt diese an ALLE angemeldeten Kabelmodems.
Diese Kabelmodems müssen es dann demodulieren, entschlüsseln und an ihre entsprechende Schnittstelle weitergeben.

Wandelt Broadcast also in Unicast um. Kann man so machen, jau.

Ist mMn Verschwendung, aber ich hab Docsis ja auch nicht entworfen. Ich seh das so wie GoaSkin: Broadcast braucht man nicht verschlüsseln, geht ja eh an alle

 

[tuxflux85]

Laut DOCSIS 3.0 Specification "MAC and Upper Layer Protocols Interface Specification" (CM-SP-MULPIv3.0-I29-151210) (e.g. Fit 9-1) liegt der "Link Security" Layer oberhalb des "Cable MAC" Layers, was vom Prinzip her ermoeglicht einzelne MAC Datagramme verschluesselt und andere unverschluesselt zu versenden.

Fuer Multicast Traffic ist die Section 9.2.3 Downstream Multicast Traffic Encryption sehr interessant. Im Prinzip steht dort niedergeschrieben, dass die CMTS mit den Kunden CMs eine gemeinsame Verschluesselung fuer einen Multicastflow aushandelt. Auf den Punkt gebracht wird es mit " A CMTS MAY encrypt unicast, broadcast, or multicast traffic with a Primary, Static, or Dynamic SA. A CM is expected to decrypt unicast, broadcast, or multicast traffic with the appropriate known SA, regardless of the SA type.".

Ein DOCSIS Modem (CM) ist im Prinzip nur eine simple L2 Bridge aber aufgrund der Verschluesselung des Datenstroms wird die konkrete Umsetzung auf der DOCSIS Seite zumindest bei Broad- und Multicast recht aufwendig. Da man bei der Spezifikation von DOCSIS Multicast fuer die Realisierung von IPTV definitiv bedacht hat, hat man sich auch gedanken darueber gemacht, wie man die Bandbreite effizient nutzt und multiple gleiche Aussendungen unterbindet. Laut Spezifikation soll ein Multicast nur dann mehrfach ausgesendet werden, wenn man einen DOCSIS 2.0 und 3.0 Mischbetrieb hat (bei 3.1 wird es vermutlich aehnlich aussehen).

 

[addicted]

Danke, dass Du Dir die Mühe gemacht hast, nachzulesen und hier zu berichten!

 

[GoaSkin]

So, ich habe mal ein kleines Experiment gemacht: An der von UM gelieferten Fritzbox 6490 im Menü Internet -> Zugangsart -> Bridge-Anschlüsse den Anschluss LAN 4 auf Bridge umgeschaltet und einen Linux-Rechner drangeklemmt.

Der Rechner bekommt weder einen DHCPv4-, noch einen DHCPv6-Request beantwortet. Dann habe ich das Netzwerk-Interface einmal in den Promisc-Modus versetzt und tcpdump laufen lassen. Wie man sieht, hängt der Rechner in keinem toten Netzwerksegment, wobei sich aber der sichtbare Traffic auf ARP-Requests beschränkt:

<i>
</i>...
01:10:27.440698 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 178.201.156.xxx tell 178.201.156.1, length 46
01:10:27.483803 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 10.6.130.xxx tell 10.6.128.1, length 46
01:10:27.503786 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 178.201.158.xxx tell 178.201.156.1, length 46
01:10:27.543789 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 178.201.159.xxx tell 178.201.156.1, length 46
01:10:27.563770 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 178.201.156.xxx tell 178.201.156.1, length 46
01:10:27.623730 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 178.201.158.xxx tell 178.201.156.1, length 46
...

(letztes Oktett unkenntlich gemacht)

Ich habe eigentlich einen DS-Lite Anschluss, aber bei diesen IPs handelt es sich um IPv4-Adressen von Unitymedia. Hat jemand eine Idee, was da wirklich passiert, wenn man einen Bridge-Port in der FB aktiviert?

Btw. die Option "Bridge-Anschlüsse" hat in meiner FB nie gefehlt. Ich musste mir diesen Menüpunkt überhaupt nicht reinmodden oder reinhacken. Ist aber auch eines der ersten Exemplare, die UM an Privatkunden ausgegeben hat.

 

[Andreas1969]

Welche FW läuft denn auf Deiner Box? :kratz:

Die aktuelle 6.50?

Gruß Andreas

 

[addicted]

Der Rechner bekommt weder einen DHCPv4-, noch einen DHCPv6-Request beantwortet. Dann habe ich das Netzwerk-Interface einmal in den Promisc-Modus versetzt und tcpdump laufen lassen. Wie man sieht, hängt der Rechner in keinem toten Netzwerksegment, wobei sich aber der sichtbare Traffic auf ARP-Requests beschränkt

Das sieht an einem unprovisionierten Modem genau so aus, dort sieht man aber sporadisch (wie sie eben erfolgen) auch noch DHCP Pakete, die via Broadcast vom CMTS kommen (DHCP Offer). Filter einfach mal auf "port 67 or port 68" und warte ein paar Minuten.

Ich weiß leider nicht ob UM auf dem Segment selbständig RAs verschickt (die man dann ebenfalls sehen könnte), oder nur auf RS antwortet, aber mein Verdacht ist, dass die FB im Bridge Mode überhaupt keine IPv6 Pakete durchlässt.

Letztlich kann es noch Unterschiede zwischen BW und NRW/HE geben, ich habe leider nur die NRW-Sicht.

 

[GoaSkin]

Welche FW läuft denn auf Deiner Box? :kratz:

Die aktuelle 6.50?

Gruß Andreas

Ja, 6.50.

Hatte aber den Bridge-Modus auch schon einmal mit einer älteren Firmware (damals noch altes Layout) ausprobiert.

 

[Andreas1969]

Ja, 6.50.

Hatte aber den Bridge-Modus auch schon einmal mit einer älteren Firmware (damals noch altes Layout) ausprobiert.

Komisch, daß das geht.
Scheint so, als hätte die Box eine andere HW Rev. sodass der UM Beschnitt nicht in allen Bereichen greift. :kratz:

Gruß Andreas