Unitymedia IPv6 Konfiguration und Präfix bei der ConnectBox

[Evil.2000]

Hallo Alle zusammen!

Ich bin seit ca. 1 Jahr Kunde bei UM und habe laufend Probleme mit der Internetverbindung am Wochenende, wenn Hinz und Kunz surfen. Das geht soweit, daß ich kurzzeitig keine Seiten mehr ansutfen kann. Um der ganzen Sache mal etwas auf die Spur zu kommen habe ich ab und zu mittels traceroute geschaut, an welcher Stelle es hapert. Dabei komme ich für gewöhnlich 2 Hops weit, dann ist meist Schluss.
Da UM nur IPv6 verwendet und somit IPv4 in v6 mit DS-Lite kapselt, habe ich das CGN im Verdacht, daß es am WE bei zu hoher Auslastung in die Knie geht.
So weit so gut.
Um CGN zu einem großen Teil zu umschiffen bleibt mir nur die Umstellung meiner Netzwerkgeräte auf IPv6.
Jetzt kenne ich mich mit IPv4 recht gut aus, aber v6 hab ich bisher immer boykottiert und überall deaktiviert. Da mir jetzt aber nix anderes übrig bleibt muss ich mich nun wohl oder übel damit beschäftigen. Zum Glück tönt es ja von allen Seiten daß v6 der neue heiße Scheiß ist und quasi alles von allein geht.
Einfach nur ein Gerät an die ConnectBox anzustecken wäre aber auch zu einfach. Da ich UM nicht traue habe ich hinter der CB einen WRT160NL mit DD-WRT am laufen. Dahinter ist nun mein Netz.

Wenn ich das Konzept von v6 verstanden habe, hat UM von der RIPE das Präfix 2a02:908::/33 bekommen. Davon weist UM seinen Kunden einen Teil zu. Beim Blick auf meine CB zeigt sich folgendes Bild:

Heißt das nun, daß UM mir keinen Präfix zugewiesen hat (/128), also quasi nur meine CB eine v6 Adresse hat, aber damit keine Präfix Delegation zu meinem WRT macht?
Und weshalb wird mir dann mittels Stateless DHCPv6 ein Präfix zugewiesen?

Warum unterscheidet sich dieser Präfix denn von dem Präfix auf der Seite der WAN-Einstellungen?

Kann mir das jemand der sich mit der IPv6 Konfig von UM auskennt mal genau erklären?

Ich glaube wenn ich das verstanden habe, komme ich auch mit meiner WRT Konfiguration weiter.

Gruß und Dank schonmal.

Der Evil.

 

[monster]

/128 ist die WAN IP, /64 das zugewiesene Netz welches an der LAN Seite ist.
Beim Netgear Orbi hab ich IPV6 auf Auto Detect gestellt und somit ein Netz delegiert bekommen.

 

[Evil.2000]

Okay.
Mir ist noch unklar, warum auf der LAN-Seite Link Local Adressen existieren. Ich dachte jedes Interface eine globale IPv6 Adresse benötigt, gerade der Router.
Kann mir das jemand genauer erklären?

 

[#DiRK]

In the Internet Protocol Version 6 (IPv6), the address block fe80::/10 has been reserved for link-local unicast addressing.[1] Of the 64 bits of a link-local addresses' network component, the most significant 10 bits (1111111010) correspond to the IANA-reserved "global routing prefix" for link-local addresses, while the "subnet ID" (the remaining 54 bits) is zero.[8]

Unlike IPv4, IPv6 requires a link-local address on every network interface on which the IPv6 protocol is enabled, even when routable addresses are also assigned.[9] Consequently, IPv6 hosts usually have more than one IPv6 address assigned to each of their IPv6-enabled network interfaces. The link-local address is required for IPv6 sublayer operations of the Neighbor Discovery Protocol, as well as for some other IPv6-based protocols, such as DHCPv6.

Aus: https://en.wikipedia.org/wiki/Link-local_address

 

[#DiRK]

/128 ist die WAN IP, /64 das zugewiesene Netz welches an der LAN Seite ist.
Beim Netgear Orbi hab ich IPV6 auf Auto Detect gestellt und somit ein Netz delegiert bekommen.

D.h. dein Orbi hat (auf der WAN-Seite) eine V6-Adresse im /64er Netz der Connectbox, richtig?

Welche V6-Adressen haben denn die Geräte, welche dann an den Orbi (auf der LAN-Seite) angeschlossen sind? Das (bereits delegierte) /64er Netz ist ja bereits "vergeben".

 

[monster]

/128 ist die WAN IP, /64 das zugewiesene Netz welches an der LAN Seite ist.
Beim Netgear Orbi hab ich IPV6 auf Auto Detect gestellt und somit ein Netz delegiert bekommen.

D.h. dein Orbi hat (auf der WAN-Seite) eine V6-Adresse im /64er Netz der Connectbox, richtig?

Welche V6-Adressen haben denn die Geräte, welche dann an den Orbi (auf der LAN-Seite) angeschlossen sind? Das (bereits delegierte) /64er Netz ist ja bereits "vergeben".

Die info kann ich Dir später geben wenn ich vor Ort bin :zwinker:
Mein Tunnel Gateway hat eine /64 lt. ifconfig.
Ich schau später nach wie, was und welche Netze delegiert sind.

 

[monster]

Wollte ja noch etwas liefern:

connectbox: 2a02:908:1865:9b60::/64
orbi wan: 2a02:908:1865:9b60xxxxxxx/64
orbi lan: 2a02:908:1865:9b7cxxxxxxxx/64

 

[#DiRK]

Wollte ja noch etwas liefern:

connectbox: 2a02:908:1865:9b60::/64
orbi wan: 2a02:908:1865:9b60xxxxxxx/64
orbi lan: 2a02:908:1865:9b7cxxxxxxxx/64

Ok, das überzeugt selbst einen Skeptiker wie mich. ;-)

Das ist echt krass. Ich versuche schon seit längerem meine ConnectBox ebenfalls zu einer Prefix-Delegation zu "überreden" - jedoch ohne Erfolg.

Ich habe bereits:
- mehrere Tage alle DHCP-Pakete gesniffed und untersucht (kriege immer "No prefix available"-Fehlermeldung)
- mehrere DHCPv6-Clients verwendet (ISC, dibbler, wide-dhcpv6)
- Rapid Commit ausgeschaltet
- unterschiedliche Präfixe angefordert (von /56 - /64 und auto)
- Nur ein Device an die CB angeschlossen (via Ethernet, Wifi aus) und CB mehrmals resettet
- UM Hotspot über Kundencenter deaktiviert / aktiviert
- Hotline / Chat angefragt (Kein Ergebnis - wie immer)
- CB-Firewall ein- und ausgeschaltet sowie ICMPv6 und DHCPv6 Pakete manuell in der Firewall freigeschaltet
- CB DHCPv4 ein- und ausgeschaltet
- CB DHCPv6 mehrmals zwischen Stateless und Statefull gewechselt (wobei bei Stateless richtigerweise gar keine DHCPv6-Pakete gesendet werden)
- geflucht und geweint

Hat alles nix geholfen. Nun bin ich mit meinem Latein am Ende.

Wenn jemand noch eine Idee hat, dann gerne her damit. Mein ewige Dankbarkeit ist ihm sicher.

Ansonsten warte ich einfach auf mein TC4400 Modem und löse lieber das DS-Lite Problem. ;-)

 

[tq1199]

Ich habe bereits:
- mehrere Tage alle DHCP-Pakete gesniffed und untersucht (kriege immer "No prefix available"-Fehlermeldung)
- mehrere DHCPv6-Clients verwendet (ISC, dibbler, wide-dhcpv6)
- Rapid Commit ausgeschaltet
- unterschiedliche Präfixe angefordert (von /56 - /64 und auto)

Versuch mal mit einem "Neighbor Discovery Protocol tool", mit dem man RS's senden und RA's anzeigen lassen kann. Z. B.:

<i>
</i>sudo ndptool -v -i wlan0 monitor

und danach:

<i>
</i>sudo ndptool -v -i wlan0 -t rs send

(oder gleichwertig).

 

[#DiRK]

Ich habe bereits:
- mehrere Tage alle DHCP-Pakete gesniffed und untersucht (kriege immer "No prefix available"-Fehlermeldung)
- mehrere DHCPv6-Clients verwendet (ISC, dibbler, wide-dhcpv6)
- Rapid Commit ausgeschaltet
- unterschiedliche Präfixe angefordert (von /56 - /64 und auto)

Versuch mal mit einem "Neighbor Discovery Protocol tool", mit dem man RS's senden und RA's anzeigen lassen kann. Z. B.:

<i>
</i>sudo ndptool -v -i wlan0 monitor

und danach:

<i>
</i>sudo ndptool -v -i wlan0 -t rs send

(oder gleichwertig).

Das musst du mir erläutern. Was haben denn NDP-Nachrichten mit PD zu tun?

Natürlich erhalte ich RA-Nachrichten auf dem WAN-Anschluss, welche von der ConnectBox geschickt werden. Da ist auch der Präfix drin, den die CB vergibt. Dennoch benötige ich einen weiteren Präfix, welchen ich dann für die LAN-Seite vergeben kann. Der sollte meines Wissens ausschließlich über DHCPv6 bereit gestellt werden.

 

[tq1199]

Dennoch benötige ich einen weiteren Präfix, welchen ich dann ...

Was genau meinst Du mit "weiteren Präfix"?

Der sollte meines Wissens ausschließlich über DHCPv6 bereit gestellt werden.

Beim OS deines Gerätes? Evtl. gibt es dann ein Problem mit dem v6-DHCP-Client, auf deinem Gerät.

 

[#DiRK]

Dennoch benötige ich einen weiteren Präfix, welchen ich dann ...

Was genau meinst Du mit "weiteren Präfix"?

Der sollte meines Wissens ausschließlich über DHCPv6 bereit gestellt werden.

Beim OS deines Gerätes? Evtl. gibt es dann ein Problem mit dem v6-DHCP-Client, auf deinem Gerät.

1 Präfix für das Netz: CB und eigener Router (durch die CB mittels RA oder DHCPv6 verwaltet)
1 Präfix für das Netz: eigener Router + alle anderen Endgeräte (zusäzlicher Präfix von der Connect Box mittels DHCPv6 PD zur Verfügung gestellt)

 

[tq1199]

... eigener Router + alle anderen Endgeräte (zusäzlicher Präfix von der Connect Box mittels DHCPv6 PD zur Verfügung gestellt)

D. h., mit einem Gerät im LAN deines eigenen Routers, bekommst Du keine RA-Nachrichten?

 

[#DiRK]

... eigener Router + alle anderen Endgeräte (zusäzlicher Präfix von der Connect Box mittels DHCPv6 PD zur Verfügung gestellt)

D. h., mit einem Gerät im LAN deines eigenen Routers, bekommst Du keine RA-Nachrichten?

Das ist korrekt. Ich bekomme keine RA-Nachrichten von der CB. RAs sind immer nur für ein Subnet und das Router-LAN ist ein anderes Subnet. Das ist eben das Doofe, wenn man 2 Router hintereinander schaltet. :-(

 

[monster]

Zugegebenerweise sind meine IPv6 Kenntnisse leider noch rudimentär, aber ist das nicht am einfachsten so das die CB stateless vergibt und der Router dahinter auch?
Da "basteln" sich ja die Clients ihre v6 selbst anhand des Prefix und teilweise der eigenen MAC?

Wobei mich bei meinem Setup auch wundert das 9b60 auf der WAN Seite und 9b7c auf der LAN Seite ist. Das ist doch eigentlich ein anderes Netz?

 

[tq1199]

Da "basteln" sich ja die Clients ihre v6 selbst anhand des Prefix und teilweise der eigenen MAC?

Ja, das wäre nicht das Problem, denn die IPv6-Adresse könnte man ja z. B. (evtl. nur für einen Test) auch manuell (z. B. mit ip -6 addr add ...) zuweisen. Aber für eine brauchbare Nutzung (der IPv6-Adresse), muss auch das ipv6-Routing (... aus dem LAN des eigenen Routers) funktionieren bzw. konfiguriert werden.

 

[monster]

Das funzt ja auf diese weise bei mir.

 

[tq1199]

Das funzt ja auf diese weise bei mir.

Mit einem zusätzlichen Router? Wie sind dann auf dem (IPv6-)Endgerät, die Ausgaben von:

<i>
</i>ip -6 r
mtr -6nr -c 1 ubuntuusers.de

(oder gleichwertig)?

 

[#DiRK]

Zugegebenerweise sind meine IPv6 Kenntnisse leider noch rudimentär, aber ist das nicht am einfachsten so das die CB stateless vergibt und der Router dahinter auch?
Da "basteln" sich ja die Clients ihre v6 selbst anhand des Prefix und teilweise der eigenen MAC?

Wobei mich bei meinem Setup auch wundert das 9b60 auf der WAN Seite und 9b7c auf der LAN Seite ist. Das ist doch eigentlich ein anderes Netz?

Korrekt. Genau darum geht es. D.h. UM schickt dir irgendwie 2 Präfix (=Netze). Eines "nutzt" die CB und das andere dein Orbi.

 

[#DiRK]

Da "basteln" sich ja die Clients ihre v6 selbst anhand des Prefix und teilweise der eigenen MAC?

Ja, das wäre nicht das Problem, denn die IPv6-Adresse könnte man ja z. B. (evtl. nur für einen Test) auch manuell (z. B. mit ip -6 addr add ...) zuweisen. Aber für eine brauchbare Nutzung (der IPv6-Adresse), muss auch das ipv6-Routing (... aus dem LAN des eigenen Routers) funktionieren bzw. konfiguriert werden.

Wie soll der Eigen-Router routen, wenn auf der WAN-Seite und auf der LAN-Seite jeweils das gleiche Netz (Präfix) ist? Zumal auch die ConnectBox den zweiten Präfix (Netz) kennen muss und alle Pakete dann an den Eigen-Router schicken muss.

 

[monster]

root@vuuno4k:~# ip -6 r
2002:c0a8:b2::/64 dev eth0 metric 256 expires 2264sec
2a02:908:1865:9b60::/64 dev eth0 metric 256 expires 522952sec
2a02:908:1865:9b7c::/64 dev eth0 metric 256 expires 491371sec
ff00::/8 dev eth0 metric 256
default via fe80::925c:44ff:fe72:124c dev eth0 metric 1024 expires 1685sec
unreachable default dev lo metric -1 error -101

mtr hat die büchse die ich grad nutze nicht, daher traceroute

root@vuuno4k:~# traceroute -6 ubuntuusers.de
traceroute to ubuntuusers.de (2001:780:0:25:dead:beef:cafe:1), 30 hops max, 16 byte packets
1 compalhub.home (2a02:908:1865:9b60:xxx:xxxx:xxxx:xxxx) 10.784 ms 1.177 ms 1.410 ms
2 2a02:908:1800:6::1 (2a02:908:1800:6::1) 11.368 ms 11.557 ms 10.063 ms
3 2a02:908:0:13b::1 (2a02:908:0:13b::1) 9.771 ms 12.740 ms 9.822 ms
4 7113a-mx960-02.dar.unity-media.net (2a02:908::18:2) 10.031 ms 15.019 ms 9.822 ms
5 de-fra04d-rc1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8015) 9.991 ms 11.022 ms 9.749 ms
6 de-fra04a-rc1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8066) 39.911 ms 10.945 ms 9.955 ms
7 de-fra01b-ri1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8042) 10.009 ms 11.982 ms 9.913 ms
8 ae0.cr10-fra2.ip6.gtt.net (2001:668:0:3:ffff:0:4d43:534d) 25.002 ms 15.692 ms 9.859 ms
9 2001:668:0:2:ffff:0:5995:8fea (2001:668:0:2:ffff:0:5995:8fea) 9.988 ms 12.435 ms 9.928 ms
10 2001:668:0:3:ffff:0:8d88:6206 (2001:668:0:3:ffff:0:8d88:6206) 9.590 ms 9.737 ms 10.854 ms
11 ae2-0-rt4-nbg3.core.noris.net (2001:780:5:1e::1) 17.123 ms 15.321 ms 12.223 ms
12 ha.ubuntu-eu.org (2001:780:0:25:dead:beef:cafe:1) 14.933 ms 13.386 ms 14.912 ms

root@vuuno4k:~# route -A inet6
Kernel IPv6 routing table
Destination Next Hop Flags Metric Ref Use Iface
::1/128 :: U 0 0 1 lo
2002:c0a8:b2:0:xxx:xxxx:xxxx:xxxx/128 :: U 0 0 1 lo
2002:c0a8:b2::/64 :: UA 256 0 0 eth0
2a02:908:1865:9b60:xxx:xxxx:xxxx:xxxx/128 :: U 0 39 1 lo
2a02:908:1865:9b60::/64 :: UA 256 0 0 eth0
2a02:908:1865:9b7c:xxx:xxxx:xxxx:xxxx/128 :: U 0 0 1 lo
2a02:908:1865:9b7c::/64 :: UA 256 0 0 eth0
ff02::1/128 :: UC 0 1 0 eth0
ff02::c/128 :: UC 0 23 0 eth0
ff00::/8 :: U 256 0 2 eth0
::/0 fe80::925c:44ff:fe72:124c UGDA 1024 0 0 eth0

ifconfig zeigt das 2 inet6 adressen da sind. einmal 9b60, einmal 9b7c. Beide hinten dann wieder gleich.

 

[tq1199]

<i>
</i>root@vuuno4k:~# traceroute -6 ubuntuusers.de
traceroute to ubuntuusers.de (2001:780:0:25:dead:beef:cafe:1), 30 hops max, 16 byte packets 1 compalhub.home (2a02:908:1865:9b60:xxx:xxxx:xxxx:xxxx) 10.784 ms 1.177 ms 1.410 ms 2 2a02:908:1800:6::1 (2a02:908:1800:6::1) 11.368 ms 11.557 ms 10.063 ms 3 2a02:908:0:13b::1 (2a02:908:0:13b::1) 9.771 ms 12.740 ms 9.822 ms
...

ifconfig zeigt das 2 inet6 adressen da sind. einmal 9b60, einmal 9b7c. Beide hinten dann wieder gleich.

Ok, d. h. die 9b7c ist am traceroute nicht beteiligt. Nur die 9b60 von der connectbox.

Der eigene (v6-)Router (bzw. sein IPv6-LAN) ist für seine Endgeräte bzgl. v6-Internetzugang, "transparent"?

 

[#DiRK]

root@vuuno4k:~# ip -6 r
2002:c0a8:b2::/64 dev eth0 metric 256 expires 2264sec
2a02:908:1865:9b60::/64 dev eth0 metric 256 expires 522952sec
2a02:908:1865:9b7c::/64 dev eth0 metric 256 expires 491371sec
ff00::/8 dev eth0 metric 256
default via fe80::925c:44ff:fe72:124c dev eth0 metric 1024 expires 1685sec
unreachable default dev lo metric -1 error -101

mtr hat die büchse die ich grad nutze nicht, daher traceroute

root@vuuno4k:~# traceroute -6 ubuntuusers.de
traceroute to ubuntuusers.de (2001:780:0:25:dead:beef:cafe:1), 30 hops max, 16 byte packets
1 compalhub.home (2a02:908:1865:9b60:xxx:xxxx:xxxx:xxxx) 10.784 ms 1.177 ms 1.410 ms
2 2a02:908:1800:6::1 (2a02:908:1800:6::1) 11.368 ms 11.557 ms 10.063 ms
3 2a02:908:0:13b::1 (2a02:908:0:13b::1) 9.771 ms 12.740 ms 9.822 ms
4 7113a-mx960-02.dar.unity-media.net (2a02:908::18:2) 10.031 ms 15.019 ms 9.822 ms
5 de-fra04d-rc1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8015) 9.991 ms 11.022 ms 9.749 ms
6 de-fra04a-rc1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8066) 39.911 ms 10.945 ms 9.955 ms
7 de-fra01b-ri1-lo0-0.v6.aorta.net (2001:730:2d00::5474:8042) 10.009 ms 11.982 ms 9.913 ms
8 ae0.cr10-fra2.ip6.gtt.net (2001:668:0:3:ffff:0:4d43:534d) 25.002 ms 15.692 ms 9.859 ms
9 2001:668:0:2:ffff:0:5995:8fea (2001:668:0:2:ffff:0:5995:8fea) 9.988 ms 12.435 ms 9.928 ms
10 2001:668:0:3:ffff:0:8d88:6206 (2001:668:0:3:ffff:0:8d88:6206) 9.590 ms 9.737 ms 10.854 ms
11 ae2-0-rt4-nbg3.core.noris.net (2001:780:5:1e::1) 17.123 ms 15.321 ms 12.223 ms
12 ha.ubuntu-eu.org (2001:780:0:25:dead:beef:cafe:1) 14.933 ms 13.386 ms 14.912 ms

root@vuuno4k:~# route -A inet6
Kernel IPv6 routing table
Destination Next Hop Flags Metric Ref Use Iface
::1/128 :: U 0 0 1 lo
2002:c0a8:b2:0:xxx:xxxx:xxxx:xxxx/128 :: U 0 0 1 lo
2002:c0a8:b2::/64 :: UA 256 0 0 eth0
2a02:908:1865:9b60:xxx:xxxx:xxxx:xxxx/128 :: U 0 39 1 lo
2a02:908:1865:9b60::/64 :: UA 256 0 0 eth0
2a02:908:1865:9b7c:xxx:xxxx:xxxx:xxxx/128 :: U 0 0 1 lo
2a02:908:1865:9b7c::/64 :: UA 256 0 0 eth0
ff02::1/128 :: UC 0 1 0 eth0
ff02::c/128 :: UC 0 23 0 eth0
ff00::/8 :: U 256 0 2 eth0
::/0 fe80::925c:44ff:fe72:124c UGDA 1024 0 0 eth0

ifconfig zeigt das 2 inet6 adressen da sind. einmal 9b60, einmal 9b7c. Beide hinten dann wieder gleich.

Folgende Anmerkungen:

root@vuuno4k:~# route -A inet6
Kernel IPv6 routing table
Destination Next Hop Flags Metric Ref Use Iface
....
::/0 fe80::925c:44ff:fe72:124c UGDA 1024 0 0 eth0

und

root@vuuno4k:~# ip -6 r
...
default via fe80::925c:44ff:fe72:124c dev eth0 metric 1024 expires 1685sec

zeigen beide, dass die Default Route auf das Gateway mit der Link-local Adresse fe80::925c:44ff:fe72:124c geht.

Eine Konvertierung der Link-local Adresse zeigt, die Mac Adresse: 90:5C:44:72:12:4C.
Profis erkennen gleich an der MAC-Adresse dass diese "Compal Broadband Networks, Inc." "gehört".
D.h. beides Mal geht die Default Route an die ConnectBox und nicht den Orbi-Router.

D.h. aber auch, dass wenn (physisch) der Orbi "zwischendrin" hängt, er einfach die V6 Pakete gebridged hat oder Brouted (siehe auch https://github.com/cvmiller/v6brouter).
Das hat @tq1199 weiter unten vermutet.
Das geht zwar auch, ist aber nicht die Lösung zum Problem und hat zudem enorme Sicherheitsbedenken, da nun KEINE v6 Firewall vorhanden ist.
(Daher würde ich zwingend anraten, bei allen Geräte im LAN auf Privacy Extensions zu achten, da sonst recht schnell die Kollegen von der Portscanner-Fraktion aktiv werden können)

Das insgesamt 2 IP-Adressen bzw. Präfixe angezeigt werden ist meines Erachtens eher eine Schlamperei seitens ConnectBox, welche die Lifetime der "alten" Präfixe nicht entsprechend verringert hat.

 

[monster]

Das die ConnectBox ne Schlame ist dürfte bekannt sein ;-)

Aber.... ist denn nicht v6 FW auf der CB aktiv?

Ich könnte auch mal versuchen auf dem Orbi ein 6to4 Tunnel einzurichten. Die Option gibt es ....

 

[Andreas1969]

Ich könnte auch mal versuchen auf dem Orbi ein 6to4 Tunnel einzurichten. Die Option gibt es ....

Das halte ich für überhaupt keine gute Idee :traurig:
Das wäre ja Tunnel in Tunnel, wenn es denn überhaupt funktioniert.
Der gesamte V6 Traffic würde ja dann auch noch getunnelt über's AFTR laufen :wand: