Unitymedia NAS Zugriff mit DS-Lite und Connect Box

[kleina]

Hallo zusammen,

ich habe mir vor Kurzem die WD My Cloud Ex2 Ultra zugelegt. Die Einrichtung innerhalb meines Heimnetzwerkes funktionierte sehr einfach. Dann habe ich versucht den Cloud Zugriff zu aktivieren. Dazu habe ich ein Nutzerkonto bei WD algelegt. Meine WD My Cloud ziegt deen Verbindungsstatur "Relaisverbindung hergestellt" an.
Bei Unitymedia habe ich einen Anschluss mit DS-Lite und ich nutze die Connect Box.

Nun zu meiner Frage: Ich kann über den Web-Zugang von WD auf mein NAS zugreifen! Ich sehe alle Ordner und Dateien. Leider kann ich nur Dateien < 0.5 KB runterladen. Bei größeren Dateien nudelt mein Browser mehrere Minuten und bricht dann ohne Fehlermeldung ab. Das verhalten ist aus eternen IPv4 und IPv6 Netzen genau identisch. Ich habe bereits den WDSupport, sowie den Unitymedia-Support kontaktiert. WD meinte, dass der DS-Lite Anschluss Schuld sei, Unitymedia hat direkt abgeblockt und gemeint dafür wird kein Support angeboten.

Hat jemand von euch ein ähnlich Setup zum Laufen gebracht? Ich bin mit meinem Latein am Ende. :wand:

Ich hoffe ich konnte mein Problem erläutern. Ich freue mich über jede Hilfe.

Danke schonmal.

 

[Andreas1969]

Eigentlich sollte das über den Relais Server funktionieren.
Schuld wird hier UM sein, und zwar die Connect Box.
Die ist nämlich Schrott.


Gruß Andreas

 

[Leseratte10]

Nur Dateien < 0.5 KB, das klingt mir nach MTU...

Hat das NAS irgendwo ne Einstellung für die MTU? Wenn ja, stell die mal geringer, zu Testzwecken mal auf 1000 oder so.

 

[Andreas1969]

Das mit der MTU kommt mir bekannt vor.
Könnte ein Bug der Connect Box sein, ähnlich dem
VPN Bug der Fritzbox in Verbindung mit DSLITE.

DSLITE ist jedenfalls Schrott.
Am Besten Du kündigst UM und gehst zu einem
anderen Anbieter.
Dann lösen sich alle Probleme in Luft auf.

Gruß Andreas

 

[kleina]

Hey zusammen, Danke für die Vorschläge. Ich werd mal die MTU Einstellung versuchen. Ich hab sie nur noch nicht gefunden. Kanns sein, dass das bei Western Digital „Jumbo Frames“ heißt? Da steht leider schon auf dem Minimum (1500).
Wenn ich euch richtig versteh, sollt ich mal ne Fritzbox versuchen... Ich dachte halt ich könnt die Connect box verwenden wenn's die schon gratis dazu gibt... War wohl nix.
Und ich muss sagen der Service von UM war echt bescheiden... Als wäre ich de erste Mensch und würde was illegales machen wollen.

 

[harv]

Nun ja, die können es als "illegal" auslegen. Laut AGB ist das Betreiben von Serverdiensten nur im Businesstarif erlaubt, und genau das willst du ja - auf einen Dateiserver von aussen zugreifen. Zur Unterstützung bei solchen Problemen im Privatusertarif sind sie nicht verpflichtet. Wenn du es alleine zum Laufen bekommst...legal, illegal, sch*****gal

 

[Andreas1969]

Kanns sein, dass das bei Western Digital „Jumbo Frames“ heißt? Da steht leider schon auf dem Minimum (1500).

Genau da ist Dein Problem.
Dieser Schei... DSLITE Tunnel gibt nur eine MTU von
1460 her. :wand:
Und dieses Schei... AFTR beherrscht keine Fragmentierung :motz:
Du müsstest die MTU auf 1460 stellen, aber das
geht ja anscheinend nicht.
Da wird Dir auch eine Fritzbox nichts nutzen.

Hast Dir leider den falschen Anbieter für Dein
Vorhaben ausgesucht.
Kannst Du bei Dir kein VDSL bekommen?

Gruß Andreas

 

[kleina]

Alles klar, das ist doch wenigstens mal ne Erklärung. Danke sehr.
Trozdem Mist...
Was würde mir VDSL den bringen? Ist da dir MTU höher? (Sorry, wenn die Fragen dumm sind, ich hab noch wenig Erfahrung auf dem Gebiet).

 

[Andreas1969]

Da hast Du kein DSLITE, sondern echten Dual - Stack.

Da gibt es solche Probleme nicht.


Gruß Andreas

 

[Leseratte10]

Naja dass es bei DS-Lite ne geringere MTU gibt ist ganz normal und nicht schuld von UM. Ich würde eher sagen, schechtes NAS gekauft wenn man keine MTU einstellen kann < 1500.

 

[addicted]

Die MTU für IPv6 muss mindestens 1280 Byte sein, bei v4 kann man deutlich weiter runter gehen. Würde ich aber auch nicht machen, wenn es nicht notwendig ist.
Im Kabelnetz hast Du mit 1500 Byte normalerweise keine Probleme. Ob die AFTR da nochmal einschränken, weiß ich nicht, aber falls für den DSLight Tunnel Fragmentierung notwendig ist, dann macht das System das normalerwiese auch. Man darf halt kein DF setzen; hoffen wir mal, dass das NAS das nicht tut.

Von Jumbo Frames spricht man, wenn man mehr als 1500 Byte Nutzdaten in einem Ethernetpaket unterbringen will. Sonst ist es ein normales Frame.
Jumbo Frames muss jedes Gerät in Dein Netzwerk unterstützen und aktiviert haben (auf der ConnectBox kann man das nicht), und die Einstellung gilt auch nur bis zum Router, weil mit Frame ein Ethernetpaket gemeint ist, nicht ein IP Paket.

Das NAS solltest Du per IPv6 ansprechen, dazu muss es in der Firewall der ConnectBox freigegeben werden.

Und wenn Du Deine Daten durch eine WD Relais schicken musst, wieso nimmst Du dann nicht gleich Dropbox oder sowas?

 

[F-orced-customer]

SOHO NAS sind meist nur für LAN ausgelegt, nicht WAN. Würd ich auch schon aus Sicherheitsgründen nicht anders betreiben.

 

[MartinDJR]

Und dieses Schei... AFTR beherrscht keine Fragmentierung :motz:

Genauer gesagt müsste der B4 (und der sitzt in der ConnectBox oder in der FritzBox) Fragmentierung beherrschen und der AFTR fragmentierte Pakete empfangen können.

Die eigentliche Fragmentierung müsste aber im heimischen Router vorgenommen werden, nicht im AFTR.

Im Kabelnetz hast Du mit 1500 Byte normalerweise keine Probleme. Ob die AFTR da nochmal einschränken, weiß ich nicht,

Das Kabelnetz kann maximal 1500 Byte übertragen. Da IPv4-Pakete bei DS-Lite in IPv6-Paketen getunnelt werden, kommt beim Tunneln noch der IPv6-Header von 40 Bytes Länge dazu. Daher darf der NAS maximal Pakete von 1460 Bytes Länge senden, damit das IPv6-Paket am Ende maximal 1500 Bytes lang wird.

aber falls für den DSLight Tunnel Fragmentierung notwendig ist, dann macht das System das normalerwiese auch.

... falls der AFTR Pakete korrekt defragmentieren kann.

Prinzipiell kann ein NAT (und somit auch der AFTR) im Gegensatz zu einem non-NAT-Router nur komplette Pakete routen und keine Fragmente.

DSLITE ist jedenfalls Schrott.

Sehr schlechte Nachrichten für dich:

Sobald den großen Providern die IPv4-Adressen ausgegangen sein werden, wirst du auch dort nur noch DS-Lite oder sogar nur IPv4-CGNAT bekommen.

In anderen Ländern gibt es bereits viele Anbieter, die für Privatkunden nur IPv4-CGNAT anbieten. Teilweise übrigens mit einer MTU, die unter 1000 liegt und nicht bei 1460.

... und IPv4-CGNAT hat im Vergleich zu IPv6 nur Nachteile und keinen einzigen Vorteil!

 

[F-orced-customer]

Und im Vergleich zu DS-Lite? Ohne komplexen Tunnel und (De)fragmentierer sollte CGNAT doch Anwendungsfreundlicher sein?

Ausserdem braucht es mehr Druck auf die Hoster, nur 1 von 3 sites die ich gerade offen habe kann IPv6 :nein:

 

[addicted]

Im Kabelnetz hast Du mit 1500 Byte normalerweise keine Probleme. Ob die AFTR da nochmal einschränken, weiß ich nicht,

Das Kabelnetz kann maximal 1500 Byte übertragen. Da IPv4-Pakete bei DS-Lite in IPv6-Paketen getunnelt werden, kommt beim Tunneln noch der IPv6-Header von 40 Bytes Länge dazu. Daher darf der NAS maximal Pakete von 1460 Bytes Länge senden, damit das IPv6-Paket am Ende maximal 1500 Bytes lang wird.

Das mag ich so nicht stehen lassen:
Selbstverständlich darf das NAS, sofern auf der eingehenden Schnittstelle (LAN) des Routers unterstützt, soviele Bytes pro Paket senden wie es will - also z.B. insb. Jumbo Frames, welche je nach Hersteller knapp über 9000 Byte groß sein können.
Dafür ist Fragmentierung ja da.

aber falls für den DSLight Tunnel Fragmentierung notwendig ist, dann macht das System das normalerwiese auch.

... falls der AFTR Pakete korrekt defragmentieren kann.

Prinzipiell kann ein NAT (und somit auch der AFTR) im Gegensatz zu einem non-NAT-Router nur komplette Pakete routen und keine Fragmente.

In RFC6333 sind Fragmentation und Defragmentation jeweils ein MUST in B4 und AFTR, und zwar für die v6 Pakete, die den v4 Traffic transportieren. v4 (De-)Fragmentierung wird den Endpunkten überlassen (bzw. dann halt den normalen Fragmentierungsregeln beim Weitersenden).

Das NAT muss die Pakete nur zusammenbauen, wenn es innerhalb des Payload irgendwas übersetzen will, sonst kann es einfach die Fragmente weiterleiten (sobald es den Header gesehen und bearbeitet hat).
RFC 4787 z.B. erwähnt das Weiterleiten von einzelnen Fragmenten explizit.

 

[Andreas1969]

Preisfrage: Wenn doch das AFTR angeblich alle Pakete
1:1 weiterleitet, warum funktioniert dann eine
VPN-VERBINDUNG zwischen 2 Fritten
(Eine DSLITE und die Andere IPV4) nicht?

Da bin ich aber mal auf die Antwort gespannt.

Gruß Andreas

 

[F-orced-customer]

IPSec VPN über NAT braucht IKE v2.

In RFC6333 sind Fragmentation und Defragmentation jeweils ein MUST in B4 und AFTR,

Das ist PCP auch, UM kümmerts aber nicht.

 

[MartinDJR]

Und im Vergleich zu DS-Lite? Ohne komplexen Tunnel

Ob du einen IPv4-Frame jetzt in einem IPv6-Paket tunnelst (DS-Lite), in einem PPPoA-Frame (DSL), in einem Ethernet-Frame (IPv4-Kabelmodem) oder sonst irgendwie, ist eigentlich egal.

Weder IPv4 noch IPv6 können "direkt" übertragen werden. Sie werden immer irgendwie "getunnelt".

und (De)fragmentierer

Die mindest-MRU eines Routers bei IPv4 ist 576 Bytes. Die bei IPv6 ist 1280 Bytes.

Daraus ergibt sich, dass Pakete mit bis zu 1240 Bytes bei DS-Lite auf jeden Fall unfragmentiert durchkommen, bei reinem IPv4-NAT der Router aber bereits bei 577 Bytes eine Fragmentierung verlangen kann - oder Pakete mit mehr als 576 Bytes ganz abweisen (siehe unten).

Lediglich wenn die MTU/MRU von der Technologie her vorgegeben sind (z.B. 1500 bei Ethernet, WLAN und Kabelmodem) ergibt sich ein Vorteil für non-DS-Lite.

sollte CGNAT doch Anwendungsfreundlicher sein?

Die beiden Hauptnachteile von CGNAT:

• Keine Erreichbarkeit von Außen; bei DS-Lite ist man immerhin noch per IPv6 von Außen erreichbar und kann ggf. Portmapper-Dienste wie "feste-ip" verwenden, sofern der andere Rechner IPv4-only ist
• Wenn man auf eine Website zugreift, die IPv6 kann, ist man mit DS-Lite deutlich schneller als mit CGNAT (eine Studie von Facebook besagt 10%-15% im Durchschnitt; ich selbst habe Erfahrungen mit CGNAT machen dürfen und kann dir sagen, dass der Worst-Case deutlich schlechter ist!)

Preisfrage: Wenn doch das AFTR angeblich alle Pakete
1:1 weiterleitet

Preisfrage: Woher hast du die Info, dass ein AFTR überhaupt alle Pakete weiterleitet?

Ein AFTR ist ein NAT - und NATs können prinzipiell nicht alle Pakete weiterleiten.

Bei CGNAT hättest du aber dasselbe Problem.

In RFC6333 sind Fragmentation und Defragmentation jeweils ein MUST in B4 und AFTR,

Lies dir Kapitel 5.3 in RFC 6333 nochmal genau durch:

• Das IPv4-Paket darf auf keinen Fall fragmentiert werden
• Das umgebende IPv6-Paket wird vom AFTR bzw. dem B4 fragmentiert, wenn:
• Das IPv4-Paket nicht länger ist als die IPv4-MTU/MRU von AFTR und B4 und ...
• ... das dadurch entstehende IPv6-Paket länger wäre als die IPv6-MTU/MRU

Laut RFC 761, Kapitel 3.1, sind IPv4-MTUs/MRUs im Bereich 576 bis 65535 - also auch 1460 - zulässig.

Wenn der AFTR auf IPv4-Seite einen IPv4-MTU/MRU von 1460 hat und auf IPv6-Seite (Kabelnetz!) einen MTU/MRU von 1500, muss er nicht in der Lage sein, Pakete zu fragmentieren.

Das ist ja gerade einer der Hauptnachteile an NATs: Die prinzipielle Beschränkung auf eine maximale Paketlänge und die Tatsache, dass nur bestimmte Pakettypen geroutet werden können!

Das ist PCP auch, UM kümmerts aber nicht.

Könntest du mir das RFC zeigen, in dem steht, dass PCP ein verpflichtendes Feature für einen (CG)NAT bzw. AFTR ist?

In RFC6887 (PCP), Kapitel 2.1, steht zumindest das Wort "can", was bedeutet, dass es laut diesem RFC ein optionales Feature ist.

Zum Vergleich: In RFC 6540 wird das Wort "MUST" (großgeschrieben) verwendet, um zu definieren, dass es bei neuen Internet-Anschlüssen verpflichtend ist, dass IPv6 nicht nur vorhanden sein muss, sondern mindestens dieselbe Bandbreite und Funktionalität aufweist wie IPv4.

Das kümmert die meisten Provider heutzutage nicht - auch UM bei den "Bussiness"-Angeboten.

 

[addicted]

Ob du einen IPv4-Frame jetzt in einem IPv6-Paket tunnelst (DS-Lite), in einem PPPoA-Frame (DSL), in einem Ethernet-Frame (IPv4-Kabelmodem) oder sonst irgendwie, ist eigentlich egal.

Weder IPv4 noch IPv6 können "direkt" übertragen werden. Sie werden immer irgendwie "getunnelt".

Da würde ich widersprechen, weil ich das Einbetten von z.B. IP in Ethernetpaketen nicht als Tunneln bezeichnen würde. Da ist für mich die Grenze zwischen Layer2 und Layer3.
Du sagst ja auch nicht HTTP würde durch IPv4 oder IPv6 getunnelt.
PPP und 4in6/6in4 wären hingegen Tunnel, da hast du Recht.

DSLight bei UM kümmert sich vermutlich nur um IP Pakete mit Typ TCP oder UDP, bestimmt auch noch ICMP. Wenn eine VPN Lösung was anderes braucht (z.B. IPsec), dann geht's nicht.

Wenn der AFTR auf IPv4-Seite einen IPv4-MTU/MRU von 1460 hat und auf IPv6-Seite (Kabelnetz!) einen MTU/MRU von 1500, muss er nicht in der Lage sein, Pakete zu fragmentieren.

"Wenn [...], muss er nicht in der Lage sein"?
Die Spec hängt doch nicht davon ab, was konfiguriert ist ... Das kann man aus RFC6333 nicht rauslesen, auch nicht wenn man die refenzierte 2473 dazu nimmt.

Ein AFTR ist ein NAT - und NATs können prinzipiell nicht alle Pakete weiterleiten.

Hier widerspreche ich einfach nur deshalb, weil Du das so forsch formulierst, aber garkeinen Hinweis lieferst, wie Du darauf kommst. Welche (IP) Pakete denn nicht, und was ist der konkrete Grund?

 

[F-orced-customer]

Könntest du mir das RFC zeigen, in dem steht, dass PCP ein verpflichtendes Feature für einen (CG)NAT bzw. AFTR ist?

Klar, http://www.unitymediaforum.de/viewtopic.php?p=355145#p355145 , https://tools.ietf.org/html/rfc6908#section-2.11

 

[MartinDJR]

Da würde ich widersprechen, weil ich das Einbetten von z.B. IP in Ethernetpaketen nicht als Tunneln bezeichnen würde. Da ist für mich die Grenze zwischen Layer2 und Layer3.

Bei den ganzen Tunneling-Technologien ist immer die Frage, wo die Grenze zwischen Layer 2 und Layer 3 ist. Meiner Meinung nach kommt es dabei auf die Sichtweise an: Aus Sicht des PCs ist das umgebende IPv6-Paket Layer 2, aus Sicht des Kabelnetzes ist das innere IPv4-Paket Layer 4.

Im Endeffekt ist es aber egal, wie man die Nummerierung vornimmt: Bei DSL hat man zum Beispiel nicht "den Layer 2", sondern Layer 2 besteht aus mindestens drei Layern (ATM, AAL, PPPoA), meines Wissens manchmal sogar vier.

Bei DS-Lite wird eben Layer 3 in zwei Teil-Layer unterteilt - na und?

DSLight bei UM kümmert sich vermutlich nur um IP Pakete mit Typ TCP oder UDP, bestimmt auch noch ICMP. Wenn eine VPN Lösung was anderes braucht (z.B. IPsec), dann geht's nicht.

Wie ich geschrieben habe, ist es ein prinzipielles Problem von NATs, dass diese nur bestimmte Pakettypen routen können - siehe unten.

Das Problem hättest du bei reinem CGNAT und am IPv4-WLAN-Hotspot aber auch.

Die Spec hängt doch nicht davon ab, was konfiguriert ist ... Das kann man aus RFC6333 nicht rauslesen, auch nicht wenn man die refenzierte 2473 dazu nimmt.

RFC 2473 (Abschnitt 8.2) beschreibt auch, wie Pakete abgewiesen werden müssen, wenn das innere IPv4-Paket für den entpackenden Rechner (also den AFTR) zu lang ist.

Leider habe ich in keiner RFC eine Aussage darüber gefunden, ob ein NAT die volle Paketgröße von 65535 Bytes routen können muss oder ob er bereits ab 577 (oder eben 1461) Bytes Pakete als "zu groß" abweisen darf.

Außerdem wissen wir nicht, ob die Begrenzung auf 1460 Bytes auf AFTR-Seite oder in der ConnectBox oder FritzBox liegt.

Ein AFTR ist ein NAT - und NATs können prinzipiell nicht alle Pakete weiterleiten.

Hier widerspreche ich einfach nur deshalb, weil Du das so forsch formulierst, aber garkeinen Hinweis lieferst, wie Du darauf kommst. Welche (IP) Pakete denn nicht, und was ist der konkrete Grund?

Der technische Hintergrund ist an einem Beispiel recht einfach zu verstehen:

Nehmen wir an, du hast in deinem Home-Netzwerk (klassischer IPv4-Internet-Anschluss mit NAT-Router) zwei Rechner, mit denen du jeweils eine PPTP-Verbindung zum selben VPN-Server aufbaust. Die Pakete von deinem Rechner zum VPN-Server könnte der NAT noch routen.

Aber was ist mit den zurückkommenden Paketen?

GRE-Pakete enthalten im Gegensatz zu TCP- oder UDP-Paketen keine Portnummer (bzw. nur eine verschlüssete, die der NAT nicht entschlüsseln kann). Wie soll der NAT wissen, an welchen Rechner das zurückkommende Paket weitergeleitet werden soll?

Das geht nicht.

Das gleiche Problem hast du auch mit "Protokolltypen", die der NAT nicht kennt - selbst wenn eine Portnummer vorhanden ist, da der NAT in diesem Fall noch nicht einmal wissen kann, ob das Paket überhaupt eine Portnummer enthält. Welche Portnummer das Paket hat, schon zweimal nicht.

Neuere Home-Router (z.B. FritzBox) behelfen sich bei IPv4-Internet-Anschlüssen bei PPTP dadurch, dass sie nur einem Rechner gleichzeitig eine PPTP-Verbindung erlauben, während alle anderen Rechner (auch beim Senden) geblockt werden.

Du kannst dir vorstellen, dass bei CGNAT oder AFTR diese Variante nicht praktikabel ist, wenn mehrere Kunden eine VPN-Verbindung aufbauen wollen.

Das Ganze ließe sich auch bei anderen Layer-4-Protokollen so machen. Allerdings enthalten einige Layer-4-Protokolle (z.B. UDP und TCP) noch eine Checksumme über Layer-3-Daten (z.B. IP-Adressen), die falsch wäre, wenn der NAT diese Checksumme nicht neu berechnet. Das kann der NAT aber nur bei "bekannten" Layer-4-Protokollen machen, da er ja nicht wissen kann, ob ein unbekanntes Protokoll überhaupt eine Checksumme hat und auch nicht, und natürlich auch nicht, welche Bytes im Paket die Checksumme sind.

 

[Andreas1969]

Du kannst dir vorstellen, dass bei CGNAT oder AFTR diese Variante nicht praktikabel ist, wenn mehrere Kunden eine VPN-Verbindung aufbauen wollen.

Fazit aus dem Ganzen: DSLite und AFTR ist beides Schrott!!! :motz:
Es ist seitens UM eine Frechheit, so etwas den Kunden anzubieten, bzw. zuzumuten. :wand:


Gruß Andreas

 

[HardyG418]

Du kannst dir vorstellen, dass bei CGNAT oder AFTR diese Variante nicht praktikabel ist, wenn mehrere Kunden eine VPN-Verbindung aufbauen wollen.

Fazit aus dem Ganzen: DSLite und AFTR ist beides Schrott!!! :motz:
Es ist seitens UM eine Frechheit, so etwas den Kunden anzubieten, bzw. zuzumuten. :wand:


Gruß Andreas

das es Schrott ist, wissen wir ja alle - nur bringen solche Beiträge niemanden weiter ...auch nicht, wenn du es immer wieder und überall hinschreibst... :hammer:

 

[kleina]

Hi, ich danke allen, die hier ihre Meinung kundtun. Leider bringen mir die Beiträge seit geraumer Zeit nichts mehr in Bezug auf mein ursprüngliches Problem... Mit anderen Worten, per UM DS-Lite kann ich kein NAS betreiben?
Das ist schade und steht in Artikeln/ Foren, die ich vor dem Kauf zu Rate gezogen hatte anders drin. Das enttäuscht mich sehr, aber was will man machen.
Wenn jemand eine Lösung findet ein NAS (Ich nutze WD MyCloud Ex2 Ultra) unter den genannten Rahmenbedingungn zu betreiben, bin ich weiterhin dankbar.

 

[Andreas1969]

Da hilf Dir nur eins weiter:
Kündigen und den Anbieter wechseln. :super:

Gruß Andreas