Na, auf dem Hoist der als Server dienen soll muss man schon manuell einen (gerne auch nur zusaetzlichen) festen IPv6 Interface-Identifier konfigurieren... damit braucht man dann nicht mehr den Umweg ueber die (ebenfalls nicht invariablen) MAC Adressen gehen zu muessen. Aber das hilft halt nur wenn die Firewall erlaubt Praefix-Bits zu ignorieren...
Ich nehme an, dass du mit dem Interface Identifier eben jene 64-Bits meinst, welche aus der MAC-Adresse sich bildet, aka EUI64 mit SLAAC?
Leider kann MikroTik bis heute kein Stateful DHCPv6.. und via SLAAC wüsste ich nicht, dass man per DUID eine feste IPv6-Adresse vergeben könnte. Maximal durch EUI64 predictable. Aber dann bräuchte man immer noch das Skript von flamy
Perfekt 
Vielen Dank, das war mir nicht so klar. Dann macht es auf jeden Fall Sinn mit dem Skript. Ich nehme an, dass die IPv6-Adressen via SLAAC und EUI64 vergeben wird, damit es 'predictable' bleibt?
Mich würde interessieren, was dein Einsatzzweck der Adresslist hier ist. Für Clients wie Port Forwarding? DNS? Welche Einträge nutzt du hier in der IPv6 Firewall mit den Adresslisten?
Alternativ wäre ja RouterOS mit dem RB5009 von MikroTik zu überlegen.
Ich wüsste nicht, dass automatisch die ipv6 in einer Adressliste, bei einer Änderung des Präfixes geändert wird.
Das stimmt natürlich. Aber was genau ist hier dein Einsatzzweck mit den Adresslisten? Für eine Statefull Firewall ist nicht notwendig.
In einem Punkt stimmt es aber schon. Das Grundproblem bei sehr vielen Unternehmen ist die fehlende transparente Kommunikation gegenüber dem Kunden. 10 Tage keine Antwort? Nicht mal ein Status? Ist einfach nur traurig.
Welcher große ISP hat heute noch klassische 24 Stunden Trennung? Davon abgesehen lässt doch doch pauschal gar keine Antwort geben..
Störung wurde offenbar (teilweise?) behoben. Waren wohl ein paar mehr Personen betroffen.
Auffällig ist, dass der erste HOP statt der gewohnten 1ms immer noch im Bereich schwankend bis zu 20ms hängt.
[EDIT]
Scheinbar sind jetzt die Nachwehen endgültig vorbei. Schade ist natürlich, wie immer, dass htp die Kunden über solch eine Störung nicht informiert..
Ich war bei den Nachbarn, selbes Problem dort.
Hat jemand aktuell noch Probleme mit htp? Bei mir gibt es massive Probleme auf einmal. Das erste Mal überhaupt in dem Ausmaß.
Latenzen liegen im Bereich ~ 100-150ms. Speedtest schwankt zwischen 50-200 Mbit. (Gebucht sind 1000/500).
Da ich ein RB5009 habe, habe ich zum Test eine 5590 wieder angeschlossen, aber die Probleme bestehen auch dort. Direkt auf dem RB5009 habe ich auch die schlechten Latenzen, daher würde ich mal mein Netzwerk ausschließen.
[Blockierte Grafik: https://www.speedtest.net/result/16935209713.png]
|------------------------------------------------------------------------------------------|
| WinMTR statistics |
| Host - % | Sent | Recv | Best | Avrg | Wrst | Last |
|------------------------------------------------|------|------|------|------|------|------|
| dyn.ipv6.net-htp.de - 0 | 11 | 11 | 0 | 0 | 0 | 0 |
| 2a02:560:1:1::26 - 15 | 7 | 6 | 0 | 73 | 79 | 78 |
| 2a02:560:1:2b::1 - 0 | 11 | 11 | 64 | 75 | 89 | 72 |
| 2a02:560:1:c::2 - 0 | 11 | 11 | 64 | 76 | 86 | 72 |
| 2a02:560:1:e2::2 - 0 | 11 | 11 | 67 | 73 | 82 | 74 |
| Request timed out. - 100 | 2 | 0 | 0 | 0 | 0 | 0 |
| Request timed out. - 100 | 2 | 0 | 0 | 0 | 0 | 0 |
| Request timed out. - 100 | 2 | 0 | 0 | 0 | 0 | 0 |
| 2a02:2e0:3fe:0:c::1 - 0 | 11 | 11 | 114 | 153 | 168 | 167 |
| redirector.heise.de - 0 | 11 | 11 | 112 | 152 | 169 | 164 |
|________________________________________________|______|______|______|______|______|______|
WinMTR v1.00 GPLv2 (original by Appnor MSP - Fully Managed Hosting & Cloud Provider)|------------------------------------------------------------------------------------------|
| WinMTR statistics |
| Host - % | Sent | Recv | Best | Avrg | Wrst | Last |
|------------------------------------------------|------|------|------|------|------|------|
| Cerberus.BSG75.LAN - 0 | 47 | 47 | 0 | 0 | 0 | 0 |
| a81-14-248-224.net-htp.de - 0 | 47 | 47 | 50 | 72 | 98 | 71 |
| La.HTZ-R-C-00.HTZ-R-A-03 - 0 | 46 | 46 | 55 | 75 | 116 | 79 |
| a81-14-249-7.net-htp.de - 0 | 46 | 46 | 54 | 75 | 124 | 79 |
| Ae3-0.HTZ-R-P-00.net-htp.de - 0 | 46 | 46 | 58 | 73 | 98 | 79 |
| be100.c350.f.de.plusline.net - 3 | 43 | 42 | 107 | 151 | 169 | 155 |
| 82.98.102.79 - 0 | 46 | 46 | 108 | 152 | 169 | 159 |
| 82.98.103.3 - 0 | 46 | 46 | 110 | 152 | 168 | 155 |
| 212.19.61.13 - 0 | 46 | 46 | 115 | 152 | 169 | 152 |
| redirector.heise.de - 0 | 46 | 46 | 121 | 153 | 169 | 152 |
|________________________________________________|______|______|______|______|______|______|
WinMTR v1.00 GPLv2 (original by Appnor MSP - Fully Managed Hosting & Cloud Provider)Die von mir erwähnte Bezugsquelle liefert definitiv weiterhin an Privatkunden. Einige von mir bekannte haben dort auch den F2110/F2115 bestellt. Zuletzt erst vor paar Wochen.
ist ein AON Anschluss.
Technisch sind 940 Mbit im Download das Maximum. AON ist 1Gbit Ethernet Brutto. Abzüglich bleiben Netto ca. 940 Mbit übrig, du bist daher beim technisch maximal nutzbaren Maximum.
Hier mal eine kleine Anleitung, falls jemand MikroTik nutzen möchte. Als Beispiel dient hier bei mir PPPoE und Dual Stack. Da MikroTik viele Möglichkeiten bietet, kann diese Anleitung aufgrund der Komplexität nicht darauf eingehen, wie man im Detail alles absichert. Der Kern ist, wie man minimal ins Internet kommt. Das Beispiel wird an einem RB5009 beschrieben. Als RouterOS wird Version 7.16.1 eingesetzt.
Ausgangspunkt ist die "Default Configuration", welche ich empfehlen würde für Anfänger. Damit werden u.a. sichere Regeln für eine Statefull Firewall mit IPv4 und IPv6 gesetzt inkl. der notwendigen Anpassungen für Prefix Delegation. Wer natürlich erfahren ist, kann gerne auch mit "No Default Configuration" starten. Diese Anleitung geht aber von der "Default Configuration" aus.
Für das SFP-Modul habe ich ein Modul im Einsatz von fs.com, welches bei mir ohne Probleme stabil läuft. Bestellt habe ich es im fs.com Webshop explizit für Mikrotik: https://www.fs.com/de/products/37922.html. Im Falle von htp ist es AON.
Die "Default Configuration" enthält im Auslieferungszustand unter anderem folgende Konfiguration:
Ich empfehle mit einer frischen Konfiguration zu starten. Daher entweder per SSH verbinden oder WinBox nutzen. Da in der "Default Configuration" ether1 der WAN-Port ist, solltet Ihr diesen Netzwerkport nicht für die Verbindung mit SSH oder Winbox nutzen.
SSH: /system reset-configuration skip-backup
WinBox: System -> Reset Configuration
Falls der MikroTik Router an Glasfaser direkt angeschlossen werden soll, ist die Nutzung des SFP-Schachtes notwendig. Dazu muss die "Default Configuration" verändert werden, dass der WAN-Port nun das SPF-Modul ist.
Dazu muss unter Interfaces -> Interface List bei "WAN" das Interface von ether1 zu sfp-spfplus1 geändert werden, damit ether1 nicht als WAN-Interface im Rahmen der Firewallkonfiguration gilt.
Bei htp wird VLAN22 für den Internetzugang benötigt, daher muss dies eingerichtet werden. Dies kann ebenfalls unter Interfaces -> VLAN eingerichtet werden. Als "Name" kann ein beliebieger Name gewählt werden. Wichtig ist die korrekte VLAN Nummer (Im Fall von htp 22) unter "VLAN ID" und unter "Interface" das korrekte Interface. Das wäre je nach Fall sfp-sfpplus1 für SFP oder ether1 bei Nutzung eines ONT in der "Default Configuration".
Da htp für die Einwahl PPPoE nutzt, muss entsprechend der PPPoE Client konfiguriert werden. Dieser ist unter PPP -> Interface zu finden. Über New -> PPPoE Client kann eine neue Konfiguration erzeugt werden. Als Name kann hier wieder ein beliebieger Name vergeben werden. Richtig ist unter Interfaces, dass dort nun das zuvor konfigurierte VLAN (Im Falle von htp 22) ausgewählt wird. Zusätzlich muss "Dial Out" aufgeklappt werden, wo die Zugangsdaten für PPPoE eingerichtet werden können. Unter "User" wird der Benutzername eingetragen und unter "Password" das entsprechende Passwort. Zusätzlich sollte "User Peer DNS" für das beziehen der DNS-Server vom ISP aktiviert sein als auch "Add Default Route", damit die Standardroute automatisch gesetzt wird. Unter "Allow" würde ich empfehlen, "mschap1" zu deaktivieren, da veraltet und unsicher.
Nach dem Klick auf Apply sollte, wenn alles geklappt hat, unter "Status" bereits eine IP vom ISP stehen und die Verbindung hergestellt sein. Ab diese Schritt ist damit die IPv4-Konnektivität hergestellt und Internet sollte funktionieren.
Falls der ISP kein PPPoE nutzt, sondern DHCP, sollte es reichen, wenn unter IP -> DHCP Client eine neue Konfiguration hinzugefügt wird. Dort muss nur "Interface" passend eingestellt werden. Das wäre je nach Fall sfp-sfpplus1 für SFP oder ether1 bei Nutzung eines ONT in der "Default Configuration". Außerdem sollte "Use Peer DNS" aktiviert sein, damit die DNS-Server vom ISP bezogen werden. Ob "Use Peer NTP" von ISP-Anbietern unterstützt wird, dass NTP-Server per DHCP verteilt werden, kann ich nicht sagen.
Für die Nutzung von IPv6 wird im Regelfall ein ::/56 Subnetz per Prefix Delegation angeboten. Bei htp ist das der Fall. Diese kann genutzt werden und auf einzelne ::/64 Subnetze aufgeteilt werden, damit es automatisch per SLAAC (Stateless) im LAN verteilt werden kann. Hinweis: MikroTik unterstützt _keine_ DHCPv6 Stateful Konfiguration sondern ausschließlich SLAAC.
Für die Konfiguration muss zunächst "Neighbor Discovery" aktiviert werden. In der "Default Configuration" ist bereits eine Konfiguration enthalten. Es muss hier sicher gestellt werden, dass diese auf dem Interface "bridge" läuft, da hier alle LAN-Ports zusammengefasst sind. Ebenfalls ist zu empfehlen, dass "Advertise DNS" aktiviert ist, da so per SLAAC ebenfalls IPv6-DNS-Server an die Clients übermittelt werden.
Als nächstes muss mittels DHCPv6 Client via Prefix Delegation das IPv6-Subnetz geholt werden. Unter IPv6 -> DHCP Client kann dies hinzugefügt werden. Hier muss nun unter Interface das WAN Interface angegeben werden. Das wäre je nach Fall "pppoe-out1" für PPPoE oder bei DHCP entweder "sfp-sfpplus1" für SFP oder "ether1" bei Nutzung eines ONT in der "Default Configuration". Bei Request wird "prefix" ausgewählt, da die einen Präfix anfordern, keine einzelne IP-Adresse. Bei Pool Name kann ein beliebieger Name für diesen IP-Pool vergeben werden. Pool Prefix Length gibt an, welche Prefixgröße am Ende im LAN vergeben werden soll, das wäre per Standard 64. Prefix Hint gibt an, welche Größe angefordert werden soll, sofern der ISP das unterstützt. Im Falle von htp ist das ::/56. Zusätzlich sollte "Use Peer DNS" aktiviert werden, damit die DNS-Server vom ISP bezogen werden. Ebenfalls sollte "Add Default Route" aktiviert sein, damit ebenfalls die Standard Route automatisch gesetzt wird.
Nach einem Apply sollte, wenn alles klappt, unter "Status" das ::/56 IPv6-Subnetz angezeigt werden, welches erfolgreich bezogen worden ist.
Zum Schluss muss die Verteilung von IPv6-Adresse aus diesem Subnetz aktiviert werden. Dazu muss man unter IPv6 -> Addresses gehen und kann pro Interface dies konfigurieren. Als Address kann man nun eine IP-Adresse angeben, welche dynamisch um das bezogene IPv6 Präfix ergänzt wird. Als Beispiel könnte ::1/64 gewählt werden. Oder mit mehr Vorgabe auch ::dead:beef:dead:beef/64. Bei "From Pool" muss der Name des Pools aus dem vorherigen Schritt ausgewählt werden. Bei "Interface" wird das LAN-Interface angegeben, in Falle der "Default Configuration" ist es bridge. Wichtig ist, dass unter Advertise der Haken gesetzt ist, da sonst die Clients keine IPv6-Adresse beziehen können.
Ab diesen Zeitpunkte sollte nun IPv6 im LAN für alle Clients ebenfalls bereitstellen und das Internet darüber erreichbar sein.
Soll der MikroTik-Router ebenfalls von außen per IPv6 erreichbar sein, muss der letzte Schritt wiederholt werden, jedoch mit dem Unterschied, dass bei Interface das WAN-Interface angegeben werden. Das wäre je nach Fall "pppoe-out1" für PPPoE oder bei DHCP entweder "sfp-sfpplus1" für SFP oder "ether1" bei Nutzung eines ONT in der "Default Configuration". Zusätzlich sollte der Haken bei Advertise _nicht_ gesetzt sein, da hier keine Verteilung von IPv6-Adressen stattfinden soll, sondern eine einzelne IP-Adresse auf dem IPv6-Interface gesetzt sein soll.
Ich empfehle umbedingt einmal im MikroTik Wiki folgendes zu Lesen: https://help.mikrotik.com/docs/display/R…ing+your+router
Nach meinem Verständnis kann DS Lite mit MikroTik RouterOS konfiguriert werden. Voraussetzung ist eine bestehende IPv6-Verbindung.
Anschließend muss unter Interfaces -> Interface mit New -> IPIPv6 Tunnel eine Konfiguration erstellt werden.
Hier muss der AFTR-Server bei "Remote Address" eingetragen werden. Die Krux ist jedoch, dass das nur funktioniert, wenn der AFTR-Server statisch ist. Bei htp ist das _nicht_ der Fall. Dort muss man diesen zuerst via DHCPv6 anfordern. Der Server steht in der Option 64, welche dann ausgewertet werden muss. Von MikroTik gibt es _keine_ automatische Möglichkeit, jedoch könnte etwas mittels der integrierten Scriptengine der AFTR entsprechend ausgelesen und dann dynamisch die Konfiguration jeweils verändern beim DHCPv6 Client.
Weitere Lektüre dazu unter https://forum.mikrotik.com/viewtopic.php?p=1037400
HubeBube Am besten mit "Quick Set" arbeiten. Damit hat man eine Basiskonfiguration, welche eine sichere Firewallkonfiguration für IPv4 und IPv6 aufsetzt.
Zugangsdaten noch nicht freigeschaltet? Du nutzt die Zugangsdaten aus dem Kundencenter, die da stehen, ja? VLAN22 ist eingerichtet, ja?
Als kleine Rückmeldung: Nach langen hin und her habe ich mich für den RB5009 von MikroTik entschieden und bin sehr zufrieden. Lüppt mit dem fs.com SFP-GE-BX Modul (AON) einwandfrei. Bin persönlich von RouterOS sehr begeistert, wie flexibel das doch ist.
WLAN ist noch auf der TODO-Liste, da laufen aktuell noch meine alten WiFi5 APs von UniFi weiter, aber per POE vom RB5009 nun versorgt.
Bei AVM anrufen und im Zweifel für ca. 20 Euro ein neues Module bestellen?
Das ist nach nicht wirklich Sinn und Zweck des §73 Abs. 3 TKG. Der Provier hat alle Daten/Informationen zu nennen. Unaufgefordert und vorab!
Fairerweise muss man sagen, das tut htp. Alle notwendigen Daten stehen im Brief der kommt.
:Ich habe es nun korrekt verstanden, dass man theoretisch direkt an den HÜP gehen kann und nicht auf einen FiberTwist F2110/2115 angewiesen ist oder? Dann kann ich ja das als Fehlerquelle schon mal auschließen.
Ja, das funktioniert. Selbst an meinem htp HÜP getestet. Bedenke jedoch, nachdem der Stecker drin ist, kannst du den nicht direkt lösen, da der Stecker tiefer als die Öffnung sitzt. Mit einem feinen Schraubenzieher kriegst du es aber gelöst.
htp wird ja auch nicht direkt den GF-Anschluss kappen, wenn der P2110B nicht erreichbar ist.
Korrekt. Auch wenn ich den F2110/F2115 sauberer finde.
Wähle aus, welche Kategorien Du erlaubst. Für jede Kategorie kannst Du über „Details anzeigen“ sehen, welche Cookies und Skripte konkret geladen werden, welche Empfänger beteiligt sind und wie lange gespeichert wird.
Weitere Informationen: Datenschutzerklärung · Impressum
