mir war anfangs nicht bewusst, dass selbstverständlich jeder Nutzer mit einer CGNAT-IP nur einen Teil der Ports der Public-IP zugewiesen bekommt.
Man kann auch sagen: CGNAT ist der Versuch, den (aus heutiger Sicht) mit <=2^32 zu kleinen Adress-Space von IPv4 auf Kosten von Quellports zu erweitern. Damit werden Quellports zu einem knappen Gut. Es ist eine Flickwerk-Lösung aus dem Reparaturbetrieb des kaputten IPv4-Internets.
Es ist ein echtes Dual Stack. Allerdings mit einer IPv4 aus dem CGNAT Range.
<Klugscheiß> :
Offiziell heißt der Range 100.64.0.0/10 "IPv4 shared address space" - er ist analog RFC1918-Adressen privater Adress-Space, der im Internet nicht geroutet wird, siehe WIKIPEDIA.
Offiziell heißt das Hintereinander von NAT am eigenen Router (übersetzt private RFC1918-Adresse aus dem LAN auf die WAN-Portadresse des Routers aus 100.64.0.0/10) und CGNAT beim ISP (setzt WAN-Portadresse des Routers aus 100.64.0.0/10 auf eine "echte" öffentliche IP-Adresse um) NAT444 (weil es 2x NAT44 ist). Das ist das Verfahren bei DG.
Das wird gerne mit DS-Lite verwechselt: Da bekommt man für den WAN-Port des Routers nur noch eine IPv6-Adresse (und keine IPv4-Adresse), sowie für das LAN einen delegierten IPv6-Block. z.B. einen /56. IPv4 ist LAN-intern beliebig definierbar, z.B. 192.168.1.0/24. IPv4 Kommunikation mit dem Internet funktioniert mit DS-Lite, indem IPv4-Pakete über die IPv6-Verbindung zu einem CGNAT-Router beim ISP getunnelt werden. Der übersetzt dann die private IPv4-Adresse in einem öffentliche IP-Adresse, wie gehabt. Zusätzlich muss sich der CGNAT-Router in diesem Szenario in seiner NAT-Session-Table noch merken, welchem IPv6-Tunnel die private IP-Adresse zuzuordnen ist, damit alles eindeutig bleibt (schließlich können andere Kunden ja auch mit privaten IP-Adressen aus dem Beispiel-Range 192.168.1.0/24 aufschlagen). Bei DS-Lite wird also nur 1x "ge-nat-tet", nämlich im CGNAT-Router des ISP.
</Klugscheiß>.
Es hängen nicht viele Hosts dran, evtl. ein Subnet mit vielleicht 100 Hosts.
Klingt nach einer kleinen Firma. Da ist ein Privat-Anschluss vielleicht nicht mehr so ganz angemessen. Mit einem Business-Vertrag bekämst du mindestens eine öffentlichen IP-Adresse ohne CGNAT bzw. nur 1x NAT (bzw. genauer PAT) an deinem Router und einem vollständigen Range von 65K TCP- bzw. UDP-Quellports.
wenn die DG wenigstens echtes Dual Stack anbieten würde, gerne auch für Mehrkosten...
Also, es gibt doch auch bei DG Geschäftskundenanschlüsse.
root@g3-rig06:/home/marcel# netstat -rn
Kernel-IP-Routentabelle
Ziel Router Genmask Flags MSS Fenster irtt Iface
0.0.0.0 192.168.12.1 0.0.0.0 UG 0 0 0 enp2s0
192.168.12.0 0.0.0.0 255.255.252.0 U 0 0 0 enp2s0
root@g3-rig06:/home/marcel#
192.168.12.0/22 mit 1022 möglichen IP-Adressen ist nun allerdings auch kein kleines Netz. Wie viele Clients gibt es denn in dem Netz?
Wireshark hab ich mal laufen lassen und der Host im Netz der DG 94.31.72.86 meldet "Destination unreachable" und bricht somindest die Verbindung ab.
Das dürfte dann dieser hier sein: 94.31.113.142
Das sind beides Adressen, die im CGNAT-Pool 94.31.64.0/18 (netname: DE-DGW-20100203) liegen. Wundert mich ein wenig, dass das Problem bei zwei CGNAT-Adressen auftritt. Welche Zeitspanne liegt denn zwischen den Beobachtungen der Verbindungsabbrüche bezogen auf diese unterschiedlichen CGNAT-Adressen? Normalerweise ist es so, dass man für relativ lange Zeiträume auf derselben CGNAT-Adresse hängt - in meinem Fall (94.31.113.235) z.B. seit 16.01.2025.
Das dürfte dann dieser hier sein: 94.31.113.142
Looks like ...
Dann kann ich mich ja freuen, hinter einem anderem CGNAT (94.31.113.235) zu hängen 
Ich bin gerade auf der Suche nach Quellen, die das CGNAT-Thema beleuchten. Hier z.B. geht es um das Thema, von dem ich spreche. Und hier noch ein wenig RFC-Hintergrund.
Spamhaus spricht hier auch despektierlich von "Clown Grade NAT" ...
Hier noch was zu CGNAT aus ISP-Sicht: Im 4. Absatz werden "port-block exceeded errors" erwähnt.
... spreche vom CGNAT-Router in der Infrastruktur der DG:
Das ist der, der dir hier unter "Ihre IPv4 Internet-Adresse ist höchstwahrscheinlich ..." angezeigt wird
ein Router im Netz von DG meldet "host unreachable" und damit bricht die Verbindung ab. Schön zu sehen wenn man z.B. auf http://www.bild.de geht und dort viele kleine Werbeanzeigen bzw. externe Bilder geladen werden - ca. 50% der Bilder werden nicht geladen und mit einer Fehlermeldung markiert. Refresht man dann einfach werden genau diese Bilder dann geladen, andere dafür aber nicht d.h. es wird immer nur ein Teil geladen und die anderen requests abgebrochen.
Hm, das ist genau das, was auftreten kann, wenn am CGNAT-Router zuviele Clients (=DG-Kunden) auf eine öffentliche IPv4-Adresse gemappt werden. Da gehen dann irgendwann die maximal ~65k TCP-Quellports aus ...
nur zum Verständnis... Was hat es mit dem 7000er Bereich auf sich? ist das schlechter wenn man da drin landet?
Siehe hier.
Ja, DG meldet ein Ende der oben gezeigten Störung in meinem Großraum Nürnberg für 06.02.2025 02:32 Uhr. Um 02:59 Uhr konnte meine FRITZ!Box dann wieder erfolgreich IPv6-Adressen beziehen.
Ich fragte nur deshalb, weil ich die Vermutung geäußert hatte, dass einige der hier im Forum diskutieren Fälle mit IPv6-Problemen auf den IPv6-Range 2a00:6020:7000::/36 einzugrenzen waren und DG dort vermutlich eine neue Adressvergabe-Strategie als in anderen IPv6-Ranges eingeführt hat. Möglicherweise haben sich die Probleme der anderen Fälle aus 2a00:6020:7000::/36 nun ja auch gelöst.
Es gibt für meinen "Großraum Nürnberg" nun immerhin schon eine Störungsmeldung auf der DG-Site:
Als Betreiber einer RIPE-Atlas-Probe habe ich für AS60294 der DG genauer noch einen weiteren Probe-Betreiber an einem DG-Anschluss gefunden, dessen Probe-Messungen zu IPv6 (IPv6-PING der DNS-Root-Nameserver) ab 04.02.2025 02:00:00 wie bei meiner Probe abbrechen.
Es scheinen die Anschlüsse im IPv6-Range "Nuernberg-BNG-Cluster2" = 2a00:6020:4700::/40 betroffen zu sein.
Und siehe da
nun kann ich mit IPv6 meine Fritzbox tadellos erreichen.
Site2Site, wireguard VPN und mein (temporärer) Zugang mit HTTPS sind alle funktionsfähig.
Nur interessehalber:
Du hast immer noch ein LAN-Präfix (/56) aus 2a00:6020:7380::/41 und eine WAN-Port-Adresse 2a00:6020:7380::/112?
Hallo zusammen,
es scheint, dass einige DG-Kunden seit 04.02.2025 (etwa 02:00 Uhr) von einem IPv6-Ausfall betroffen sind (z.B. SirfNix in #22, Taxan4711 in #30 und DigiAndi in #1), so auch ich.
Meine Fritzbox (kundeneigener Router mit WAN-Port am ONT) sagt:
Und ein Paketmitschnitt am WAN-Port zeigt:
Ich erhalte regelmäßig Router-Advertisements von der Gegenstelle (mit validem Inhalt: Gesetztes M-Flag und "Router lifetime" > 0 (1800s)). Mein Router sendet brav (und inzwischen mit maximalem Zeitabstand von 1 Stunde) DHCPv6-Solicits, erhält allerdings keine Antworten. Diese Situation kenne ich nur allzu gut, trat in der Vergangenheit schon gelegentlich auf, jedoch in meinem Fall noch nie so lang anhaltend wie aktuell.
Natürlich habe ich auf der DG-Site nach Störungsmeldungen gesucht, jedoch keine meinen Standort betreffende gefunden.
Vielleicht können weitere Betroffene ihre jeweiligen Fälle in diesem Thread ergänzen ...
, dann in letzter Konsequenz Kündigung.
Das würde ich trotz allem berechtigten Ärger über DG doch besser unterlassen, insbesondere dann, wenn DG dein Glasfaser-Monopolist ist. Vorschlag: Bestell dir den DG-Fritzbox-Mietrouter für eine minimale Laufzeit - dann ist DG in der Pflicht, dir IPv6 bereitzustellen (und kann sich nicht mit der Begründung "kundeneigener Router" herausreden) - und du hast dann m.E. einen deutlich wirkungsvolleren Hebel, im Falle der Nichterfüllung den Monatsbeitrag zu senken.
Ich meine Präfixlänge
Gemäß deinem beigefügten Bild ist die Antwort natürlich: /64
Aber du möchtest vermutlich die Größe des PD-Blocks für die LAN-Adressierung erfahren, also ob das ein üblicher /56 oder ggf. nur ein sparsamer /60 ist?
Hab VLAN ID 200 wieder reingenommen beim Router
Wenn du Port-based VLAN meinst, dass steht schon drin:
https://www.glasfaserforum.de/attachment/4628-grafik-png/
Satz 1: Ok, dann muss Port 26 ein "tagged member" von VLAN 200 sein, wie eingestellt.
Satz 2: Ja, das meinte ich: PVID = Port-based VLAN, obwohl diese Einstellung für tagged Ports nicht mehr so relevant ist (deckt den Fall ab, welchem VLAN ein Frame zugeordnet werden soll, wenn es untagged zum Port herein kommt - sowas sollte nicht mehr auftreten, wenn der Router mit VLAN 200 getaggte Frames sendet)
Dass habe ich jetzt eingestellt und im Router die Vlan ID 200 raus genommen, aber es funktioniert noch nicht.
Port 26 muss ein "untagged member" von VLAN 200 sein, wenn du im Router VLAN 200 herausgenommen hast. Außerdem musst du die PVID von Port 26 auf VLAN 200 einstellen.
Ok, dann müssen die Ethernet-Frames ingress/egress am SFT-Port mit VLAN 200 getagged sein.
Verwende also statt VLAN 100 das VLAN 200.
Außerdem muss der SFP-Port nun ein "tagged member" von VLAN 200 sein.
Den Router-Port kannst du auf "untagged member" von VLAN 200 belassen. Dann brauchst du am WAN-Port des Routers nichts mit VLAN konfigureren.
Wähle aus, welche Kategorien Du erlaubst. Für jede Kategorie kannst Du über „Details anzeigen“ sehen, welche Cookies und Skripte konkret geladen werden, welche Empfänger beteiligt sind und wie lange gespeichert wird.
Weitere Informationen: Datenschutzerklärung · Impressum
