Unitymedia Connectbox Pseudo-Bridge / DoubleNAT

[simonszu]

Ahoi,

ich bin ewiger Bestandskunde bei UM, und habe daher noch einen Anschluss mit nativer IPv4. Momentan den 2Play 120. Bei der neuesten Tarifanpassung habe ich gemerkt, dass ich jetzt effektiv zu viel zahle, und für das gleiche Geld auch 'ne 400er Leitung bekommen könnte. Der Twitteraccount von UM hat mir gesagt, das sei kein Problem, ich würde auch meine IPv4 behalten, müsse aber dann das Cisco-Modem gegen eine ConnectBox austauschen. Hm, ist erstmal ne Ansage, da ich UM-Hardware nach dem TC7200 nicht mehr wirklich vertraue. Ich las weiterhin, dass die Connectbox keinen Bridgemodus kann. Ich würde aber eigentlich gerne die Box so transparent wie möglich betreiben, um dahinter einen ordentlichen Router zu betreiben.

Nun habe ich ein hypothetisches Setup: Mein LAN hat das Subnetz 192.168.1.0/24, mit der 192.168.1.1 als Router und Standardgateway und Firewalling und WLAN. Wäre es möglich, dass ich der ConnectBox dann zB die 192.168.0.1 zuweisen würde, das WLAN in der CB abschalten würde, und einfach alle Ports von 0-65535 auf den Router forwarde? Dann müsste die Box doch eigentlich bei nativem v4 volltransparent arbeiten.

Daher nur kurz ne Rückfrage: Geht das? Kann ich in der CB eine so große Portrange öffnen? Kann ich den internen Subnetzbereich der Box einstellen? Und, kann ich das WLAN abschalten? Ich hatte mal wegen eines Modemdefekts für 2 Wochen eine TC7200, bis ich richtig Stress an der Hotline gemacht habe, da ging das nicht. Ich habe keine Lust auf ein WLAN mit Standardzugangsdaten, was mir das 2,4GHz Frequenzband hier noch weiter verstopft.

Läuft die Connectbox denn halbwegs zuverlässig? Falls hier jetzt auf einmal tausende entsetzte Stimmen ertönen sollten, die mir sagen "Nimm bloß nicht die Connectbox, keine schnellere Verbindung ist dieser Schmerz wert", dann ist das so - aber ich brauche halt mal Erfahrungen aus dem Feld, und keine Tests von der Computerbild, die meistens viel zu unkritisch und lasch testet.

Mit dem Gast-WLAN habe ich übrigens keine Probleme, ich habe auch schon einen Freifunkrouter zu Hause stehen, und da ich den Downstream eh nur in irgendwelchen Peaks voll ausreize (ich will eigentlich den Upstream haben), würde ich das dann auch angeschaltet lassen. Mir fehlen halt nur ein paar Argumente von Leuten, die das Gerät schon täglich nutzen. Wenn das Setup mit der oben beschriebenen Pseudotransparenz so nämlich klappen würde, und die CB, sagen wir, maximal 3 Minuten pro Woche irgendwann nachts nicht verfügbar ist, weil sie gerade ein Firmwareupdate bekommt, würde ich ein Upgrade meines Anschlusses nämlich durchaus in Erwägung ziehen.

 

[hajodele]

Wie das Verfahren bei der Connectbox heisst, weiss ich nicht.
Üblicherweise werden die Begriffe DMZ bzw. exposed Host verwendet.
Es werden aber logischerweise nicht alle Ports weitergeleitet. Einige benötigt die Connectbox oder jeder andere Router für die eigene Funktionalität.
Welche die Connectbox im einzelnen selbst braucht, kann ich dir aber nicht sagen.

Wie das mit dem WLAN aussieht weiss ich nicht.
Dadurch, dass diese anscheinend inzwischen für Wifispot eingerichtet wird, musst du wahrscheinlich die Funktion im Kundencenter deaktiveren um sie dauerhaft ausschalten zu können.

 

[addicted]

Die ConnectBox schränkt die weiterleitbaren Ports ein, es gibt eine Handvoll, die man nicht weiterleiten kann. Es gab ne Liste hier irgendwo in einem anderen Thread. In dem Thread geht's drum, dass die DMZ Funktion nicht richtig funktioniert, der lohnt sich also in jedem Fall zu lesen!

Ports gibt es ausserdem nur bei TCP/UDP, daher ist die CB für den nachgeschalteten Router nicht transparent - es dürfte z.B. so sein, dass ICMP nicht weitergeleitet wird, von anderen Protokollen (wie GRE oder Teile von IPSEC) ganz zu schweigen.
Wenn Dir TCP/UDP (abzüglicher einer handvoll Ports) aber reichen, kannst Du das durchaus so machen.

Ansonsten gibt es momentan kein Modem oder etwas modemähnliches zu erwerben, was man dann als eigenes Gerät am Anschluss verwenden könnte.

 

[Andreas1969]

Ich würde dem TE empfehlen bei dem Cisco zu bleiben und mit dem Tarifwechsel auf 400 MBIT'S zu warten, bis ein entsprechendes Modem am Markt verfügbar ist, oder UM sich bereiterklärt, den Modem Modus in der ConnectBox freizugeben.

 

[Jens_K]

Da die Überlegungen des TE im Prinzip genau mit meinen übereinstimmen, will ich auch hier kurz von meinen Erfahrungen mit der ConnectBox berichten.

Mich hat auch der höhere Upstream gereizt, zudem ist der neue Tarif für 24 Monate noch etwas günstiger als der bisherige.
Alt: 3play Premium 200 mit Cisco EPC3208 und Horizon V1 (die aber nur für TV genutzt wird)
Neu: 3play FLY 400 mit ConnectBox und Horizon V2 (wieder nur TV)

Hinter dem bisherigen Cisco Modem (das nebenbei bemerkt monate-, teils jahrelang ohne Reset einfach nur funktionierte) war eine FritzBox 7390 als Router, die das hausinterne Netz betrieben hat (Telefon vom Cisco wurde durchgeschleift).

Da das Cisco aber wegen der fehlenden Kanäle nichts jenseits der 200 Mbps abbilden kann, kam halt eine Connect Box ins Haus.
Nach dem üblichen anfänglichen Aktivierungs-Chaos bei Tarifwechseln lief sie auch.

In der Admin-Oberfläche der CB konnte ich das WLAN deaktivieren und die 7390, die nun an LAN1 mit der CB verbunden war (wohlgemerkt: nicht als IP-Client sondern weiterhin als eigenständiger Router), als "DMZ" eintragen. Dadurch haben wirklich alle Funktionen der FB wie bisher funktioniert. Portweiterleitungen, VPN Zugang vom Smartphone ins Netz der FB, Telefon, Heimnetz Aktoren per DECT, ... alles wie vorher.

Das einzige Manko war die Geschwindigkeit.

Direkt per LAN an der CB lagen 430 Mbps an.
Hinter der 7390 waren es dann nur noch magere 160 Mbps.

Testweise habe ich auch eine (neue) 7490 ausprobiert, weil ich dachte wegen doppeltem NAT ist die CPU der 7390 überfordert. Aber auch mit der 7490 habe ich das selbe Ergebnis bekommen.

Ich habe dann nach einigen Test-Tagen eine eigene 6490 angeschlossen und provisionieren lassen. Damit funktioniert alles so wie gewohnt - ist halt ein Gerät weniger.

Was übrigens mit der CB auch nicht funktioniert hätte war die DDNS Funktion der nachgelagerten FB. Die WAN-IP ist nur der CB bekannt, die hat aber keine Möglichkeit, einen DDNS Host zu aktualisieren.
Das hätte bei mir das NAS übernommen, wäre jetzt kein Drama gewesen - aber erwähnen wollte ich es kurz.

Unterm Strich kann ich von der CB aber eigentlich nur abraten.

 

[Andreas1969]

Was übrigens mit der CB auch nicht funktioniert hätte war die DDNS Funktion der nachgelagerten FB. Die WAN-IP ist nur der CB bekannt, die hat aber keine Möglichkeit, einen DDNS Host zu aktualisieren.

Was in dieser Konstellation auch nicht geht:
Es lässt sich kein IPV6 Tunnel in der Fritzbox einrichten.
Somit hat man dann keinen Zugriff auf reine IPV6 Server.

Daher würde ich auch dringend von der ConnectBox abraten, es sei denn, UM würde endlich den Modem Modus freigeben. :wand:

 

[addicted]

Was übrigens mit der CB auch nicht funktioniert hätte war die DDNS Funktion der nachgelagerten FB. Die WAN-IP ist nur der CB bekannt, die hat aber keine Möglichkeit, einen DDNS Host zu aktualisieren.

Was in dieser Konstellation auch nicht geht:
Es lässt sich kein IPV6 Tunnel in der Fritzbox einrichten.

Sind übrigens beides Probleme der Fritzbox - die CB tut wenigstens nicht so, als könne sie dynamisch DNS aktualisieren oder VPN Tunnel aufbauen - die Fritzbox tut so, kann es in sehr vielen Fällen aber dann doch nicht. Ist eigentlich typisch für Start-Ups, dass man Dinge nur zu 80% fertig hat, aber AVM ist schon etwas länger im Geschäft und sollte es eigentlich besser können.

 

[Jens_K]

Sind übrigens beides Probleme der Fritzbox - die CB tut wenigstens nicht so, als könne sie dynamisch DNS aktualisieren oder VPN Tunnel aufbauen - die Fritzbox tut so, kann es in sehr vielen Fällen aber dann doch nicht.

Meine FritzBox tut nicht nur so, als könne Sie DDNS aktualisieren, sie tut es auch wirklich - noch dazu genauso wie erwartet.
Auch einen VPN Tunnel kann meine Box korrekt aufbauen.

Insofern weiß ich nicht, was Du mit den "sehr vielen Fällen" meinst.

 

[addicted]

Was übrigens mit der CB auch nicht funktioniert hätte war die DDNS Funktion der nachgelagerten FB.

Du schreibst hier selbst, das es in diesem Fall nicht geht.

"sehr viele Fälle" sind sicherlich übertrieben, da gebe ich Dir Recht. Aber es gibt genug andere Beispiele, in denen ein Feature nicht zu Ende umgesetzt war. Mein Lieblingsbeispiel (mittlerweile gefixt): Die FB machte zwar PD für nachgelagerte Router, öffnete die weitergegebenen Netze aber nicht in der Firewall.

 

[Jens_K]

Was übrigens mit der CB auch nicht funktioniert hätte war die DDNS Funktion der nachgelagerten FB.

Du schreibst hier selbst, das es in diesem Fall nicht geht.

Wie auch ... wenn die FB nicht die öffentliche IP kennt, wie sollte sie dann einen DDNS Account aktualisieren?
In dieser Konstellation mache ich ihr noch nicht mal einen Vorwurf

 

[addicted]

wenn die FB nicht die öffentliche IP kennt, wie sollte sie dann einen DDNS Account aktualisieren?

So wie alle anderen Clients auch: Den Server die IP bestimmen lassen.

 

[hajodele]

wenn die FB nicht die öffentliche IP kennt, wie sollte sie dann einen DDNS Account aktualisieren?

So wie alle anderen Clients auch: Den Server die IP bestimmen lassen.

Wie sollte man auch anderst einen IPv6-Client mit einem DDNS-Namen versehen?

 

[addicted]

Was hat das mit IPv6 zu tun?
Bei v6 hast Du doch eher noch die Adressen direkt auf den Endgeräten anliegen als bei v4, so dass jeder Client seine eigenen Adressen kennen könnte?

Es ging um eine FB mit v4 hinter einem NAT Router.

 

[hajodele]

Was hat das mit IPv6 zu tun?
Bei v6 hast Du doch eher noch die Adressen direkt auf den Endgeräten anliegen als bei v4, so dass jeder Client seine eigenen Adressen kennen könnte?

Es ging um eine FB mit v4 hinter einem NAT Router.

Ich wollte eigentlich nur deine Aussage bestätigen und da ist mir auf die Schnelle nur dieses Beispiel eingefallen.

 

[simonszu]

Alles klar, danke für eure Antworten, dann weiß ich bescheid. DMZ einrichten wäre kein Problem bei mir, und der ddns-Client von OpenWRT kann auch konfiguriert werden, einen externen Server zu requesten, um die eigene IP herauszufinden, aber wenns da doch geschwindigkeitsmäßig so starke Einbußen gibt, dann bleib ich bei meinem jetzigen Tarif.

Hach, ein Internetprovider mit vernünftiger Geschwindigkeit in nicht-scheiße, sowas scheint es in Deutschland tatsächlich nicht zu geben. :kratz:

 

[addicted]

Hach, ein Internetprovider mit vernünftiger Geschwindigkeit in nicht-scheiße, sowas scheint es in Deutschland tatsächlich nicht zu geben. :kratz:

Natürlich gibt es das. Das willst Du nur nicht bezahlen.

 

[simonszu]

Natürlich gibt es das. Das willst Du nur nicht bezahlen.

Das kommt stark drauf an, was es kostet, und was ich dafür kriege. Hast du Details? Nur so zum Vergleich?

 

[addicted]

Das kommt schon auch ein bisschen auf Deine Definition von "nicht-scheiße" an.

UM bietet Businesskunden z.B. schon einiges mehr als Privatkunden. Neben den auf der Webseite ersichtlichen Paketen gibt es noch weitere, die nur auf Anfrage mitgeteilt werden. Die beginnen, je nach Vertragslaufzeit, deutlich oberhalb der Office 400 Pakete. Und Glasfaser legen die Dir auch, wenn Du möchtest.

Hör Dich einfach mal an Deinem Wohnort um. Oft gibt es kleine lokale Anbieter, die sich in der Business-Ecke bewegen.

 

[simonszu]

Gut, ich gebe zu, meine Anforderungen waren etwas schwammig, ja.
Was ich grundlegend möchte: Ein Kabel, was aus der Wand fällt, und wo möglichst transparent ein Ethernet-Port für mich drin ist. Die Fritte bei den Businessanschlüssen ist mir da schon zu hochgegriffen. Das Cisco-Modem, oder damals die Motorolas waren da schon eher mein Fall, weil sie einfach nur "dumm" von einem Protokoll aufs andere gebridget haben.
Auf Providerseite hätte ich gerne ordentliches Peering, nach Möglichkeit ne native IPv4 (ist im Internetentwicklungsland Deutschland leider immer noch nötig, um ordentlich alles nutzen zu können), sowie vernünftig implementiertes IPv6. Die Telekom vergibt z.B. bei jeder Neu-Einwahl eine neue v6-IP, angeblich aus Privatsphäregründen, was Bullshit ist. v6 hat Privacy schon ab Werk drin, dieser Workaround, dass bei jeder Neueinwahl eine neue IP vergeben wird, ist ein Relikt aus v4-Zeiten, und schlichtweg unnötig. Desweiteren peert die Telekom immer noch kacke mit dem Youtube-AS. Nicht, dass ich Youtube jetzt essentiell wichtig ansehen würde, aber das ist eventuell nur die Spitze des Eisberges.
Kein Carrier Grade NAT, eine vernünftige Nachhaltigkeitspolitik bezüglich Breitbandausbau (Hybrid LTE mag zwar momentan der heiße Scheiß bei Internet-über-Telefon-Providern sein, aber auch da haste üblicherweise CGN), und absolute Netzneutralität (wenn ich meinen Traffic priorisieren möchte, regel ich das, soweit möglich, selbst, und will keine StreamOn-Pakete oder ähnlichen Nonsense hinzu buchen) wären dazu auch noch nice.

Unitymedia besticht halt gegenüber den anderen ISPs massiv mit der Geschwindigkeit. 400MBit kann man halt aus nem 80 Jahre alten Kupferdrahtpaar nicht wirklich gut rausquetschen. Desweiteren hat man da keinerlei Kompetenzgerangel zwischen Netzbesitzer (Telekom) und Level-2-and-above-Resellern wie 1&1, etc, wo man tagelang auf nen Techniker warten muss, weil die Telekom als Betreiber der letzten Meile halt die Technikereinsätze für Fremdkunden nicht allzu hoch priorisiert.
Dass Unitymedia gerade mit dem Unmut der Kunden wegen DS-Lite kämpfen muss, ist halt doof. Das wird sich irgendwann legen, wenn v6 weiter verbreitet ist. Dennoch hätten sie eine Option anbieten können, wo Leute, die es haben möchten, für nen 5er oder so pro Monat ne native v4-IP nachbuchen können. Dafür muss man dann halt ein anderes Provisionierungsprofil erstellen, klar.
Oder halt gerade meine angesprochenen Probleme. Ich habe noch einen Altvertrag mit nativer IPv4. Dennoch würde ich nur eine intransparent arbeitende Hardware provisioniert bekommen, die nicht bridgen kann, weil das für das 95%ige "Internet ist doch eh nur Facebook und Handyspiele"-Zahlvieh voll ausreicht. Ich kann weiterhin nicht vernünftig IPv6 über einen 6in4-Tunnel nachrüsten, weil UM diese Pakete entweder drosselt, oder dermaßen schlecht mit Hurricane Electric peert, dass da nicht mehr als 60MBit über die Leitung kommen. Dafür brauche ich dann auch keinen 400MBit Tarif.

Ich bin tatsächlich regelmäßig am überlegen, mir einfach einen Businessvertrag bei UM zu besorgen - aber dann kriegste wieder ne Fritte aufs Auge gedrückt. Ich habe keine Ahnung, ob man die ordentlich bridgen lassen kann. Weiterhin habe ich von Bekannten, die das Teil in nem Privatkundenvertrag bei UM mit Telefonoption haben, nix gutes über das Teil gehört. Ich brauche keinen vollintegrierten Telefonserver in einem Plastikbombergehäuse, ich mach das am Ende sowieso selbst über meinen Homeserver.

Du siehst, ich habe Ansprüche. Ist vermutlich eine Berufskrankheit, wenn man 8-9 Stunden pro Tag ein europaweites WAN administriert, will man auch zu Hause keinen billigen Consumerkram haben. Ja, es gibt regionale Anbieter, die auch Verträge mit ordentlichen Konditionen haben, aber dann ist halt wieder die "80 Jahre alte Kupferdoppelader"-Geschichte im Spiel. Mehr als 50MBit fallen hier aus der Telefonbuchse nicht raus, und wenn das große T irgendwann anfangen sollte, zu vektorisieren (tun sie hier noch nicht), dann habe ich eh nur noch die Wahl zwischen dem großen T, oder UM.

Mit Neid blicke ich da in die Richtung unseres Nachbarstaates mit dem rotweißen Kreuz, wo du mittlerweile sehr ordentliches FTTH mit symmetrischen Gigabitgeschwindigkeiten bekommst, und wo du wirklich nur eine "dumme" Bridge im Wohnzimmer hast, die von Glasfaser auf Ethernet übersetzt. Aber das wirste hier in Deutschland so wohl niemals kriegen.

 

[addicted]

Ich bin tatsächlich regelmäßig am überlegen, mir einfach einen Businessvertrag bei UM zu besorgen - aber dann kriegste wieder ne Fritte aufs Auge gedrückt. Ich habe keine Ahnung, ob man die ordentlich bridgen lassen kann. Weiterhin habe ich von Bekannten, die das Teil in nem Privatkundenvertrag bei UM mit Telefonoption haben, nix gutes über das Teil gehört. Ich brauche keinen vollintegrierten Telefonserver in einem Plastikbombergehäuse, ich mach das am Ende sowieso selbst über meinen Homeserver.

Das läuft dann so: Die Fritzbox nimmt sich eine IP, und Du kannst deren LAN Ports einzeln als "Bridge" deklarieren. Das Gerät hinter einem Bridge-Port musst Du von Hand konfigurieren, also ohne DHCP. Die IP Adressen inkl. Gateway bekommst du mitgeteilt. Das ist dann Dein Ethernet-Port.
Soweit ich weiß kannst Du dann einfach die restlichen statischen IPs (beim Tarif mit 5 Stück) alle aus dem gleichen Port fallen lassen.
Telefonie verbleibt auf der Fritzbox, aber die kannst Du ja ungenutzt lassen oder ausleiten.
Ich bin nicht sicher, was für ein Endgerät bei einem Vertrag ohne Telefonie genutzt wird. Aber laut Sternchentext musst Du für statische IPs immer einen eigenen Router anschließen, sollte also ähnlich laufen.
Ich habe keinen Schimmer, welches Endgerät UM bei den höherpreisigen, nicht öffentlichen Tarifen (13 IPv4 Adressen) einsetzt. Ggf. kann die Businesshotline das beantworten.

Ja, es gibt regionale Anbieter, die auch Verträge mit ordentlichen Konditionen haben, aber dann ist halt wieder die "80 Jahre alte Kupferdoppelader"-Geschichte im Spiel.

Ich weiß nicht wo Du wohnst, aber oft gibt's noch mehr Möglichkeiten. Ist halt ne Geldfrage.
Ich könnte z.B. Richtfunk bis 500MBit/s symmetrisch bekommen. Neben dem Hauptproblem, dass ich in einer Mietwohnung lebe und die Antenne aufs Dach müsste, ist das aber auch kostentechnisch nicht so ganz trivial zu stemmen.
Aber: Auf der Leitung wäre dann DualStack (z.B. /29 und /48), wenn ich will mit BGP Fulltable, kein Shaping, keine Firewall (gibt's aber optional). Wenn ich PI Space hätte würden sie mir den auch darüber routen, und ich könnte mir im RZ Hardware unterstellen oder VMs mieten, und zu dahin ein privates VLAN haben.
Das ist, abgesehen vom Bezahlen, schon fast so als wär's mein eigener Provider

Mit Neid blicke ich da in die Richtung unseres Nachbarstaates mit dem rotweißen Kreuz, wo du mittlerweile sehr ordentliches FTTH mit symmetrischen Gigabitgeschwindigkeiten bekommst,

Ich vermute Du denkst an Init7. Die wirken wirklich klasse.