Eigener Router hinter Connect Box 3 (via IPv6)

max4711 · 2024-01-03T16:09:30+00:00

Sunrise Community - I clienti aiutano gli altri clienti per tutto ciò che riguarda la televisione, Internet, il telefono e il cellulare. Registratevi ora!

max4711

Ich habe einen Kabelanschluss mit Connect Box 3. Ich muss/möchte gerne einen eigenen Router dahinter betreiben (konkret eine Fritz!Box 4060). Der Anschluss läuft momentan mit IPv6 (was auch erst mal kein Problem wäre; vorausgesetzt ich kriege mein Setup so zum Laufen).

Wenn man die Fritz!Box einfach an die Connect Box hängt (beide mit Werkseinstellungen) und alle weiteren Clients dann mit der Fritz!Box verbindet, funktioniert das Internet zwar grundsätzlich - es kommt aber immer wieder zu nervigen Problemen bei diversen Geräten, die sich dann bei genauerer Analyse mit Wireshark auf erfolglose TCP-Verbindungsversuche via IPv6 zurückführen liessen. Daraufhin habe ich folgendes festgestellt:

Die Fritz!Box selbst und auch alle ihre Clients erhalten globale IPv6-Adressen, die auch zum Präfix des in der Connect Box ersichtlichen Subnets passen
Innerhalb des Netzes der Fritz!Box ist Kommunikation via IPv6 möglich
Connect Box kann externe Hosts via IPv6 anpingen
Verbindungsversuche von Clients der Fritz!Box mit externen Hosts via IPv6 scheitern aber grundsätzlich
Die Connect Box verwendet ein /64er-Präfix

In anderen Beiträgen hier im Forum (die sich allerdings auf Connect Box ½ bezogen haben) habe ich gelesen, dass die Connect Box keine Prefix Delegation (mehr?!) unterstützt. Auch ist es nicht (mehr?!) möglich, ein /60er-Block zu verwenden und “IPv6 Rapid Commit” wird auch nicht unterstützt. Bridge-Modus für die Connect Box gibt’s auch nur im IPv4-Betrieb. So weit, so blöd.

Dennoch habe ich mich gefragt, ob es nicht möglich wäre, Connect Box 3 und Fritz!Box im IPv6-Betrieb miteinander zu verwenden. IPv6-Adressen haben die Clients der Fritz!Box ja, insofern ist mir nicht ganz klar, warum es denn überhaupt hakt. (Ich interpretiere die Weboberfläche der Fritz!Box so, dass sie sich standardmässig via Router Advertisements ihren Clients als Router bekanntgibt - und sie müsste dazu ja auch über die zum Routing notwendigen Informationen verfügen.)

Hat jemand Erfahrungen mit dem Betrieb von Connect Box 3 (via IPv6) in Verbindung mit einem nachgelagerten Router (idealerweise einer Fritz!Box, aber ich bin für jede Idee dankbar…)? Oder kann mir erklären, warum das nicht so funktionieren kann, wie ich mir das vorstelle?

Schon mal vorab vielen Dank! 🙂

pato

Gibt gerne mal Probleme, wie du schon bemerkt hast. Aus diesem Grund würde ich auf IPv4 umstellen lassen.

max4711

Okay - schade, dass es keine “modernere” Lösung zu geben scheint. Dann werde ich das wohl machen und zurück auf IPv4 umschalten lassen. Trotzdem vielen Dank dir!

Renatof

Vielleicht hilft das weiter: https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7582-int/573_IPv6-in-FRITZ-Box-einrichten/

millernet

Lass dir die Connect Box 3 (CB3) von DS light auf IPv4 only umstellen und aktiviere anschliessend den Modem-Modus. Danach vergibt die CB3 per DHCP eine public IPv4 am WAN-Port deiner Fritzbox (FB).

Zu IPv6: Ich beschäftige mich seit einigen Wochen intensiv mit dem Thema. Ich habe ebenfalls (public) IPv4 only resp. die CB3 im Modem-Modus an einer pfSense Appliance. IPv6 hole ich mir über Hurricane Electric resp. tunnelbroker.net mit einem /48-Prefix. Funktioniert auch alles wunderbar, wären da nicht einige erhebliche Nachteile:

Auf IPv6 kann man heute noch verzichten und kann praktisch alle Internet-Dienste ohne Einschränkungen mit IPv4 nutzen. Wenn man aber IPv4 auf seinem Netzwerkinterface deaktiviert und nur per IPv6 unterwegs ist, merkt man, wie difunctional das Internet wird. Viele Dieste laufen schlicht und ergreifend bis heute nicht auf IPv6. Selbst wenn die Website geladen wird, heisst dies noch nicht, dass auch der komplette Content resp. alle Elemente der Webseite mit IPv6 funktionieren. Nicht mal swisscom.ch funktioniert vollständig. Digitec.ch, Blick.ch oder Brack.ch sind gar nicht erreichbar etc. Bei gewissen Websites sind zwar AAAA-DNS-Einträge für www.migros.ch vorhanden, aber nicht migros.ch usw. Das IPv6 only Internet funktioniert bis heute nicht, weil sich auch auf Serverseite niemand um dessen Implementierung wirklich kümmert.
IPv6 funktioniert bis heute bei keinem der drei Mobilnetzbetreiber. Es wird herumgedoktert und getestet, aber vollständig implementiert ist es bei keinem. Sämtliche Smartphones und damit ein grösserer Teil des Traffics laufen seit je her per IPv4 über CGNAT. Ich kann mir auch vorstellen warum: Ohne Firewall seitens Provider resp. dort wo heute die CGNAT sitzt, wird IPv6 zu einem Sicherheitsproblem resp. die entsprechenden Endgeräte (Router, Smartphones, Smartwatches etc.) sind durch das end-to-end-Prinzip von IPv6 direkt exponiert und müssen zwingend mit einer aktiven, sauber konfigurierten und sicheren (e.g Updates) Firewall ausgestattet sein. Somit müsste der Provider eigentlich eine Firewall mit Konfigurationsmöglichkeiten für den Endkunden zur Verfügung stellen. Nur Endkunden, welche ihre Geräte wirklich exponieren wollen, sollten die Firewall auf Seite des Providers deaktivieren. Andernfalls gilt eine strikte Initiierung einer Session durch das Endgerät, wie aktuell mit der CGNAT über IPv4 auch.
Dual-WAN resp. ein failover kann für Privat- oder KMU-Anwender nur über NPTv6 (Network Prefix Translation) realisiert werden. Da diverse Dienste aber die Source IP irgendwo in Layer 5 - 7 noch mitsenden und mit der NPT bei einem failover plötzlich der Prefix ändert, kommt es zu erheblichen Problemen. Einzige Lösung: Provider Independent (PI) address space mit BGP peering. Nur schon die PI address kostet locker 2000.- Fr. / Jahr. Vom BGP peering wollen wir erst gar nicht sprechen. Alternativ kann man mit Multi-Homing etwas für jedes Endgerät “basteln” oder per SLAAC dynamisch “um-” oder “abhängen” und hoffen, dass die Clients mitkommen usw. Da es bei Mobilfunk eigentlich nur IPv4 über CGNAT gibt, kann man eine Dual-IPv6-WAN-Lösung mit NPTv6 über einen gewöhnlichen Tunnelbroker auch nicht realisieren, da dieser eine öffentliche IPv4 benötigt usw.
Bei Swisscom Business Internet Services mit der Option “Ausfallsicherung Internet Backup” wird IPv6 komplett deaktiviert resp. beim Failover auf 4G gar nicht unterstützt. Diese Option ist bei Geschäftskunden ziemlich verbreitet.
Schlecht resp. ohne notwendiges Hintergrundwissen implementiertes IPv6 ist gefährlich: https://www.nist.gov/publications/guidelines-secure-deployment-ipv6

max4711

Vielen Dank für die sehr ausführliche Antwort! Die beschriebenen Beobachtungen und Hinweise passen leider sehr gut zu dem, was mir aufgefallen ist. Ich habe den Anschluss daher mittlerweile auf IPv4 umstellen lassen und die CB3 in den Modem Mode versetzt.

Das alles zwar im Wissen, dass ich mit IPv4 keine Probleme/Einschränkungen zu erwarten habe, aber doch mit der Frage, in welchem Jahr wir denn eigentlich Leben (und ja ich weiss, Sunrise ist nicht der einzige ISP mit miserablem IPv6-Support)…

millernet

So ist es leider. IPv6 ist auch nach 30 Jahren für viele noch Neuland und solange man sich zu Tode NATen kann, bleibt man halt bei IPv4. IPv6 ist kein business case resp. Mehrwert, denn man einem Endkunden verkaufen kann. IPv6 wird sich erst vollwertig durchsetzen, wenn es wichtige Dienste gibt, welche IPv6 only laufen resp. mit IPv4 eine eingeschränkte user experience haben. IPv4 per CGNAT und IPv6 als DS lite ist so ziemlich der Standardweg, um einen normalen residential Internetanschluss heute bereitzustellen. Bei Premium-Anbietern wie Swisscom gibt es zumindest auf Anfrage einen vollwertigen DS (Dual Stack) mit einer public IPv4 und IPv6 inkl. /58 und Prefix Delegation für den eigenen Router. Profis oder solche, die es werden wollen, gehen zu Init7 und Fiber7. Die 0815 Jünger von Init7 haben neu Easy7 mit CGNAT. Ausserdem gibt es noch iWay, Green und Co. , welche alle auf Nachfrage oder sicher als Business Produkt einen vollwertigen DS bieten können.