Beiträge von frank_m

Zitat von pufferueberlauf

Wenn man auf die ernsthaften Beitraege zur Kupfer-Glas-Migration guckt und die PR-Meldungen einzelner ISPs und Verbaende ignoriert, sieht man, es wird um relativ kleinteilige Abschaltungen gehen in Gebieten in denen die Vorbedingungen efuellt sind.

Das interessiert nur leider die Gesetzgebung nicht. Wenn da irgendjemand 2030 reinschreibt, hat er üblicherweise vorher nicht die Realisierbarkeit geprüft - zumal man heute schon mit diesen schönen "Homes passed" und "Homes connected" Variablen spielt. Meines Erachtens steuern wir da sehenden Auges in ein arges Problem hinein, und gekniffen sind vor allem die, die Glasfaser vor der Tür liegen haben und sich aus was für Gründen auch immer gegen einen Anschluss in der Ausbauphase entschieden haben.

Zitat von pufferueberlauf

Was die Kraftwerksabschaltungen angeht die Du anreisst, die letzten AKW lieferten zusammen nur 6% des Stroms und sind laengst durch EE Kapazitaeten ausgeglichen.

Nein, es geht um die Kohlekraftwerke, für die es ein Abschalt-Datum gibt. Bedauerlicherweise bislang eben noch ohne den erforderlichen Ausbau der erneuerbaren Energien, der Stromtrassen und der Gaskraftwerke, die das mal auffangen sollen.

Zitat von dkoopmans77

Ein einfaches Stromlos machen löst das Problem nicht.

Und ein Router-Neustart?

Zitat von dkoopmans77

Das VPN meines Arbeitgebers ist nicht grundsätzlich ein Problem.

Doch, definitiv. Es ist unzureichend eingerichtet für NAT Szenarien. Kein IPv6 anzubieten und gleichzeitig Clients hinter NAT zu vernachlässigen, ist schon extrem ignorant in heutigen Zeiten.

Zitat von dkoopmans77

Es geht nur dann nicht, wenn ich an das NAT limit komme. Immer wenn das VPN nicht geht, kann ich auch nicht mein Standartgame "World of tanks" Starten, keine Verbindung ICMP code 3 type 13

Wenn das wirklich die Ursache ist, dann hast du echt ein ernsthaftes Problem in deinem Netz. So ein Online-Game baut ja auch nicht hunderte Verbindungen gleichzeitig auf. Daneben muss man bedenken, dass es hierbei um UDP Verbindungen geht, und nicht um das häufiger verwendete TCP. Sieh auf jeden Fall zu, dass du IPv6 zum Laufen bekommst, wenn das wirklich der Fall ist.

Ich würde auch nicht zwangsläufig davon ausgehen, dass das Problem für VPN und Online Game das gleiche ist. ISAKMP arbeitet mit dem festen Quell-Port 500 und verhält sich damit aus Sicht eines NAT Routers anders, als andere Protokolle, vor allem in Bezug auf die Port-Zuordnung. Da würde ich das Problem eher vermuten, als im Port-Limit.

Zitat von dkoopmans77

Und das weißt Du woher ?

Aus dem Setup von VoIP Gateways zu Drittanbietern im DG Netz. Da muss man Keep-Alive extrem kurz setzen, sonst geht die Port-Zuordnung flöten und ankommende Anrufe kommen nicht durch.

Zitat von pufferueberlauf

2025 haben wir "50%" erreicht, d,h. homes passed (Leerrohr am Grundstueck), bis 2030 werden wir weder 100% homes passed oder gar homes connected erreichen, das ist eigentlich allen Beteiligten klar...

Richtig, das predige ich ja schon lange. Die Frage ist, ob es jemanden davon abhält, die Kupferabschaltung voranzutreiben. In Deutschland sollen ja auch Kraftwerke abgeschaltet werden, ohne zu wissen, wie man sie ersetzen kann.

Das Glasfasermodem arbeitet auf Schicht 2. Du verortest dein Problem aber auf Schicht 4, nämlich bei den Ports. Da passt also was nicht zusammen. Wenn der Reset des Modems also weiterhilft, dann nur, weil dabei irgendwas auf den höheren Schichten passiert. Da wäre die Frage, ob du nicht direkt die Aktion auf den höheren Schichten auslösen kannst, und was das überhaupt genau ist. Was passiert, wenn du einfach nur den Router neu startest?

Zitat von dkoopmans77

denn ich habe zwar diese Probleme, aber das Limit der Port am CGNAT sind auf 1000 port pro Kunde festgelegt.

Das weißt du woher? Und selbst wenn es so wäre: Warum verhindert das den Verbindungsaufbau? Dein VPN benötigt ja nicht 1000 Ports gleichzeitig. Wenn eine Verbindung abgebaut wird, wird der Port wieder frei für neue Verbindungen. CG-NAT Gateways nutzen da eher kurze Timeouts. Es ist also nicht so, dass sich einfach im Laufe der Zeit eine Anzahl offener Ports ansammeln, die dann zum Problem werden: Wenn die Ports benutzt werden, ist da auch eine Verbindung. Wenn die 1000 (oder wo auch immer das Portlimit liegt) an deinem Anschluss zum Problem wird, dann bedeutet das, dass von deinem Anschluss aus zu viele gleichzeitige Verbindungen aktiv sind. Das kann aber nicht am VPN liegen, sondern muss andere Ursachen haben. Wenn du dann das Modem resettest, kappst du all diese Verbindungen, und es geht wieder. Darüber würde ich mir mal Gedanken mache, wenn ich auf so ein Problem stoße. Macht ihr File-Sharing?

Zitat von dkoopmans77

Wenn das nicht reicht, was es offensichtlich nicht tut, nicht nur bei mir, auch bei anderen Usern nicht, dann hast Du halt PECHT. Das ist so festgelegt, fertig..... ich glaube, ich höre nicht richtig ?!

Also ich bezeichne mich als Power-User. Die Anzahl der gleichzeitig aktiven Geräte in meinem Netz ist fast dreistellig, davon viele Smart-Home Geräte, die permanent Verbindungen ins Internet aufbauen und zumindest teilweise auch dauerhaft halten. Andere Geräten stoßen alle 5 Minuten Synchronisations-Dienste an, das ist jedes Mal ein neuer Verbindungsaufbau. Dazu dient ein V-Server als Munin-Host, der mehrere Nodes in meinem Heimnetz abfragt: Ebenfalls alle 5 Minuten mehrere Verbindungen. Dann noch mehrere Rechner und Notebooks, auf denen gesurft wird, ein NAS, 3 Tablets, 4 Handys, 3 Fernseher, 3 Amazon Prime Sticks, und 2 Streaming Boxen. Ich bin noch NIE auf dieses Limit gestoßen.

Wie ist NAT-T bei eurem VPN Zugang geregelt? Denn ISAKMP hat nachweislich Probleme, wenn mehrere Clients von der gleichen öffentlichen IP kommen. Es gibt auch Router, die immer nur eine ISAKMP Verbindung gleichzeitig handeln, da sie alle von Quellport 500 kommen und es deshalb Probleme mit der Zuordnung im NAT Router geben kann. Da würde ich auch mal suchen. Die Lösung dafür ist ein gescheites NAT-T Setup, aber das müssen eure Admins machen. Im Zuge steigender Zahlen von NAT Anschlüssen ist es ratsam, sich darauf einzustellen, das ist kein DG-spezifisches Problem (das Vodafone Kabel Forum ist voll davon). Am besten bieten sie auch einen IPv6 Zugang an.

Und maik6849 hat Recht: IPv6 entlastet IPv4, und man hat pro Gerät alle 65000 Ports.

Bei mir gibt es kein 1&1 Glasfaser. Wie damals bei Vodafone scheinen die AON Gebiete nicht von der Kooperation abgedeckt zu sein.

Zitat von Pushuk

Es wird z. B. IPV4 MIT 100.108.218.XXX verbunden.. Ob das so korrekt ist.. Ich denke nicht

Doch, das ist exakt richtig.

Sieht soweit erst mal alles ok aus. Zeige bitte Screenshots und Logauszüge der Fritzbox. Außerdem bitte traceroutes auf heise oder google, um zu sehen, wie weit die Pakete kommen. Am besten mit IPv4 und IPv6.

Da frage ich mich, warum auf dem letzten Hop innerhalb des Google Netzwerkes die Latenzen so explodieren.

Zitat von slippyvex

Nicht das "Deutsche Glasfaser" Profil ausgewählt, sondern "Anderer Anbieter", Profil auf 1000mbit down / 525mbit up eingestellt, VLAN ID leer gelassen und ... keine Verbindung ...

Hast du die 60 Minuten Wartezeit beim Routerwechsel beachtet?

Beitrag #53 übersehen?

Zitat von ::1

Auffällig noch:

Code

Code

inet6 2a00:6020:x000:xx00:0000:x000:x00x:4977/128 scope global dynamic

Wieso /128 und nicht /64?

Die Adresse dürfte per DHCPv6 gekommen sein. Die taucht auf, seit nach einem Vorschlag weiter oben der DHCPv6 Server der Fritzbox für Adressen aktiviert wurde.

Das ändert nichts an deinem Problem, dass du es schaffen musst, dem System eine permanente IPv6-Adresse zu verpassen.

Die Basis soll ja Debian sein. Damit könnte man das problemlos realisieren. Die Frage ist: Kann man das Basis-Linux auf der Kommandozeile direkt konfigurieren? Dann wäre das Problem vermutlich lösbar.

Zitat von Xonic207

Wählt man dort Manuell, stehen folgende IPs zur auswahl (neue, nach kompletten Neustart):

Oh je. Sehe ich das richtig: In der Einstellung "manuell" hast du nur die Möglichkeit, eine IP auszuwählen, die vorher über einen dynamischen Mechanismus (Router Advertisements bzw. DHCPv6) zugewiesen wurde? Das hilft nur sehr eingeschränkt weiter.

Wenn das System bei jedem Reboot komplett neue IPs generiert, auch bei der Einstellung manuell, dann wird dein Vorhaben nicht funktionieren. Du musst eine Möglichkeit finden, dem System eine permanente IP-Adresse zuzuweisen, die auch Reboots übersteht.

Ja, ganz besonders bei dem Betriebssystem würde ich es mir zweimal überlegen, bevor ich einen Service ins Internet hänge. Zumal ja bislang bei allen Tests auch nur die http-Verbindung lief, und nicht die über https. Wenn die nicht mal die Funktionalität auf die Kette kriegen, wie mag es da erst um die Sicherheit bestellt sein?

Da verbietet sich eine Portweiterleitung eigentlich von vornherein. Da ist VPN die deutlich bessere Alternative.

Oha, darüber liest man wenig Gutes. Das könnte noch spannend werden. Da klingt eine statische Konfiguration wirklich nach einer Option, die man in Erwägung ziehen sollte. Wenn das unterstützt wird.

Zitat von Xonic207

frank_m wie kann ich prüfen, ob das NAS per IPv6 ins internet gelangt? (ich kann zumindest vom NAS aus Dinge herunterladen z.B. per Docker)

Logge dich aufs NAS ein und mache ein "ping -6 http://www.heise.de". Wenn du schon da bist, schau auch mit ip oder ifconfig nach, welche IPs das NAS wirklich hat. Achte auch in den Einstellungen des NAS darauf, dass es wirklich eine permanente IP generiert. Wenn die Anzeige stimmt, ist das nicht der Fall.

Zitat von maik6849

ins Internet kommt es sicher,

Das weißt du woher?

Zitat von maik6849

aber durch die temporäre IPv6 ist es nicht dauerhaft von außen erreichbar.

Das ist klar, die Freigaben passen ja auch nicht dazu. Ich würde allerdings auch nicht so weit gehen, dass da keine feste IPv6 Adresse ist, nur weil sie in einem (mobilen) Web-Frontend nicht auftaucht. Wer weiß, wie das implementiert ist. Bislang haben wir Verbindungsversuche von Außen nur auf die feste Adresse und aus dem Heimnetz nur auf die temporäre Adresse gesehen. Es gibt diesbezüglich also noch keinerlei belastbare Informationen. Wir wissen nicht mal, ob die feste IP gemäß EUI-64 ermittelt wird.

Ich denke, eine systematischere Herangehensweise würde schneller zum Ziel führen. Mit den Grundlagen anfangen, und dann um die spezifischen Einstellungen kümmern.

Da der Router ja von außen erreicht werden kann, sieht es so aus, als ob der IPv6 Internetzugang grundsätzlich funktioniert. Das wird also vermutlich eine Sache im Heimnetz sein.

Da sehe ich nur, dass die Seite aus dem Heimnetz aufgerufen werden konnte. Da sehe ich nicht, dass das NAS über IPv6 ins Internet kommt.

Hast du schon geprüft, ob das NAS überhaupt ausgehend eine IPv6 Verbindung aufbauen kann?

Du musst für deine Versuche auch Ping6 aufs NAS freigeben. Hast du das getan? Auf Port 9999 läuft ein HTTP(!)-Service, auf den du zugreifen kannst? Es ist nicht HTTPS? Hast du das probiert?

Hat das NAS ausgehend IPv6 Konnektivität?

Genereller Hinweis: Du solltest "Native IPv4 Verbindung" und "Adresse automatisch aushandeln" benutzen. Alles andere kann zu Problemen führen.

Eine VPN Lösung ist nicht akzeptabel? Ein Web-Service eines NAS einfach so im Internet ist immer auch eine signifikante Sicherheitslücke. Vor allem, wenn es wirklich http sein sollte, halte ich das für eine Katastrophe.

Zitat von JaFr

Und "Bestimmte Länge für das LAN-Präfix anfordern" steht auf 62 Bit, falls das was zur Sache tut.

Das könnte ein Problem sein, da die DG /56 Prefixes ausliefert. Ich weiß ich es nicht genau, aber wenn die Fritzbox auf die Anfrage kein oder ein /56 Prefix bekommt, könnte sie das zum Anlass nehmen, die Adresse zurückzuweisen.

Warum /62?