Beiträge von frank_m

  • Deutsche Glasfaser ipv4 CGNAT unzureichend

    Zitat von pufferueberlauf

    Na ja, was zaehlt ist weniger was Opnsense als aktive Verbindungen zaehlt, sondern was der AFTR der DG da macht... und wenn die sehr lange TimeOuts hat dann mag das relevante Limit erreicht sein, selbst wenn der eigene NAT router noch Luft nach oben andeutet.

    Wie gesagt, die UDP NAT Timeouts bei der DG sind sehr kurz, deutlich unter 30 Sekunden. Mit 30 Sekunden Keep Alive in VoIP Clients verliert man regelmäßig die Port-Zuordnung und eingehende Anrufe kommen nicht an. Mit 20 Sekunden geht es sicher, vielleicht auch mit 25, das hab ich nicht getestet.

    Zitat von dkoopmans77

    hier z.b.

    Das ist zum einen TCP, und auch der Thread führte am Ende nicht zu dem Ergebnis, dass das Port-Limit was mit dem Problem zu tun hat.

    Zitat von dkoopmans77

    Du kannst die games nicht zwingen v6 zu verwenden, wenn die destination eine v4 adresse ist, dann kannst Du mit v6 da auch nichts machen.

    Die Spiele, die du genannt hast, bieten aber IPv6 Zugänge an. Da ist dann die Frage: Warum werden die nicht genutzt?

  • Deutsche Glasfaser ipv4 CGNAT unzureichend

    Zitat von dkoopmans77

    Hab ja nicht nur ich, ich habe schon andere Beiträge in diesem Form gesehen, wo screenshoot mit genau diesem icmp auf Verbindungsaufbau beantwortet werden.

    Wo? Bitte verlinke die mal.

    Zitat von dkoopmans77

    Das ICMP Paket kommt von einer DG IP ADresse, das hat mit meinem Netz nicht das geringste zu tun.

    Es muss mit deinem Heimnetz zu tun haben. Warum sonst sollte der Router die Nachricht rausschicken? Selbst wenn du recht hast mit dem Port-Limit von 1000: dann gibt es 1000 offene UDP Verbindungen aus deinem Heimnetz.

    Wie wäre es, wenn du erst mal alles sauber auf IPv6 umstellst und damit die Spieler schon mal aus deinen NAT Tabellen raus holst. Damit sind deren Verbindungsprobleme schon mal Geschichte, und irgendein Port-Limit spielt an deinem Anschluss garantiert keine Rolle mehr. Dann schau, was von den VPN Problemen noch übrig ist.

  • Deutsche Glasfaser ipv4 CGNAT unzureichend

    Zitat von pufferueberlauf

    Unklar. Warum sollte ein Betreiber eines VPNs exta Limmzuege machen um die Fehler inkompetenter ISPs auszugleichen?

    Beschäftige dich bitte mit ISAKMP und der Problematik "Quellport UDP 500". Wie gesagt, Quell-Port, nicht Ziel-Port. Es ist enorm problematisch, mehrere ISAKMP Verbindungen über einen NAT Router zu leiten. Selbst wenn er eine öffentliche IP hätte, aber zwei Endgeräte zu Hause, die beide einen VPN Tunnel zum AG aufbauen wollen (Handy und Notebook), hätte er das Problem. Es betrifft auch praktisch jede Mobilfunkverbindung. Klar, die größere Anzahl an Kunden hinter einem CG-NAT Router erhöht die Wahrscheinlichkeit von Kollisionen, ändert aber nichts an der grundlegenden Problematik. ISAKMP stammt aus einer Zeit, als noch niemand an NAT Router dachte, und wenn man es trotzdem nutzen will und nicht ein moderneres Protokoll einsetzen will, dann muss man eben halt Maßnahmen ergreifen (NAT-T). Unsere Firma ist deshalb von IPSec auf OpenVPN gewechselt, weil es mit wachsender Anzahl Kollegen aus Kabel-Netzen und Mobilfunkverbindungen am Ende nicht mehr darstellbar war.

  • Telekom überbaut lieber als vorhandene Infrastruktur zu nutzen (Open Access)

    Zitat von pufferueberlauf

    Wenn man auf die ernsthaften Beitraege zur Kupfer-Glas-Migration guckt und die PR-Meldungen einzelner ISPs und Verbaende ignoriert, sieht man, es wird um relativ kleinteilige Abschaltungen gehen in Gebieten in denen die Vorbedingungen efuellt sind.

    Das interessiert nur leider die Gesetzgebung nicht. Wenn da irgendjemand 2030 reinschreibt, hat er üblicherweise vorher nicht die Realisierbarkeit geprüft - zumal man heute schon mit diesen schönen "Homes passed" und "Homes connected" Variablen spielt. Meines Erachtens steuern wir da sehenden Auges in ein arges Problem hinein, und gekniffen sind vor allem die, die Glasfaser vor der Tür liegen haben und sich aus was für Gründen auch immer gegen einen Anschluss in der Ausbauphase entschieden haben.

    Zitat von pufferueberlauf

    Was die Kraftwerksabschaltungen angeht die Du anreisst, die letzten AKW lieferten zusammen nur 6% des Stroms und sind laengst durch EE Kapazitaeten ausgeglichen.

    Nein, es geht um die Kohlekraftwerke, für die es ein Abschalt-Datum gibt. Bedauerlicherweise bislang eben noch ohne den erforderlichen Ausbau der erneuerbaren Energien, der Stromtrassen und der Gaskraftwerke, die das mal auffangen sollen.

  • Deutsche Glasfaser ipv4 CGNAT unzureichend

    Zitat von dkoopmans77

    Ein einfaches Stromlos machen löst das Problem nicht.

    Und ein Router-Neustart?

    Zitat von dkoopmans77

    Das VPN meines Arbeitgebers ist nicht grundsätzlich ein Problem.

    Doch, definitiv. Es ist unzureichend eingerichtet für NAT Szenarien. Kein IPv6 anzubieten und gleichzeitig Clients hinter NAT zu vernachlässigen, ist schon extrem ignorant in heutigen Zeiten.

    Zitat von dkoopmans77

    Es geht nur dann nicht, wenn ich an das NAT limit komme. Immer wenn das VPN nicht geht, kann ich auch nicht mein Standartgame "World of tanks" Starten, keine Verbindung ICMP code 3 type 13

    Wenn das wirklich die Ursache ist, dann hast du echt ein ernsthaftes Problem in deinem Netz. So ein Online-Game baut ja auch nicht hunderte Verbindungen gleichzeitig auf. Daneben muss man bedenken, dass es hierbei um UDP Verbindungen geht, und nicht um das häufiger verwendete TCP. Sieh auf jeden Fall zu, dass du IPv6 zum Laufen bekommst, wenn das wirklich der Fall ist.

    Ich würde auch nicht zwangsläufig davon ausgehen, dass das Problem für VPN und Online Game das gleiche ist. ISAKMP arbeitet mit dem festen Quell-Port 500 und verhält sich damit aus Sicht eines NAT Routers anders, als andere Protokolle, vor allem in Bezug auf die Port-Zuordnung. Da würde ich das Problem eher vermuten, als im Port-Limit.

    Zitat von dkoopmans77

    Und das weißt Du woher ?

    Aus dem Setup von VoIP Gateways zu Drittanbietern im DG Netz. Da muss man Keep-Alive extrem kurz setzen, sonst geht die Port-Zuordnung flöten und ankommende Anrufe kommen nicht durch.

  • Telekom überbaut lieber als vorhandene Infrastruktur zu nutzen (Open Access)

    Zitat von pufferueberlauf

    2025 haben wir "50%" erreicht, d,h. homes passed (Leerrohr am Grundstueck), bis 2030 werden wir weder 100% homes passed oder gar homes connected erreichen, das ist eigentlich allen Beteiligten klar...

    Richtig, das predige ich ja schon lange. Die Frage ist, ob es jemanden davon abhält, die Kupferabschaltung voranzutreiben. In Deutschland sollen ja auch Kraftwerke abgeschaltet werden, ohne zu wissen, wie man sie ersetzen kann.

  • Deutsche Glasfaser ipv4 CGNAT unzureichend

    Das Glasfasermodem arbeitet auf Schicht 2. Du verortest dein Problem aber auf Schicht 4, nämlich bei den Ports. Da passt also was nicht zusammen. Wenn der Reset des Modems also weiterhilft, dann nur, weil dabei irgendwas auf den höheren Schichten passiert. Da wäre die Frage, ob du nicht direkt die Aktion auf den höheren Schichten auslösen kannst, und was das überhaupt genau ist. Was passiert, wenn du einfach nur den Router neu startest?

    Zitat von dkoopmans77

    denn ich habe zwar diese Probleme, aber das Limit der Port am CGNAT sind auf 1000 port pro Kunde festgelegt.

    Das weißt du woher? Und selbst wenn es so wäre: Warum verhindert das den Verbindungsaufbau? Dein VPN benötigt ja nicht 1000 Ports gleichzeitig. Wenn eine Verbindung abgebaut wird, wird der Port wieder frei für neue Verbindungen. CG-NAT Gateways nutzen da eher kurze Timeouts. Es ist also nicht so, dass sich einfach im Laufe der Zeit eine Anzahl offener Ports ansammeln, die dann zum Problem werden: Wenn die Ports benutzt werden, ist da auch eine Verbindung. Wenn die 1000 (oder wo auch immer das Portlimit liegt) an deinem Anschluss zum Problem wird, dann bedeutet das, dass von deinem Anschluss aus zu viele gleichzeitige Verbindungen aktiv sind. Das kann aber nicht am VPN liegen, sondern muss andere Ursachen haben. Wenn du dann das Modem resettest, kappst du all diese Verbindungen, und es geht wieder. Darüber würde ich mir mal Gedanken mache, wenn ich auf so ein Problem stoße. Macht ihr File-Sharing?

    Zitat von dkoopmans77

    Wenn das nicht reicht, was es offensichtlich nicht tut, nicht nur bei mir, auch bei anderen Usern nicht, dann hast Du halt PECHT. Das ist so festgelegt, fertig..... ich glaube, ich höre nicht richtig ?!

    Also ich bezeichne mich als Power-User. Die Anzahl der gleichzeitig aktiven Geräte in meinem Netz ist fast dreistellig, davon viele Smart-Home Geräte, die permanent Verbindungen ins Internet aufbauen und zumindest teilweise auch dauerhaft halten. Andere Geräten stoßen alle 5 Minuten Synchronisations-Dienste an, das ist jedes Mal ein neuer Verbindungsaufbau. Dazu dient ein V-Server als Munin-Host, der mehrere Nodes in meinem Heimnetz abfragt: Ebenfalls alle 5 Minuten mehrere Verbindungen. Dann noch mehrere Rechner und Notebooks, auf denen gesurft wird, ein NAS, 3 Tablets, 4 Handys, 3 Fernseher, 3 Amazon Prime Sticks, und 2 Streaming Boxen. Ich bin noch NIE auf dieses Limit gestoßen.

    Wie ist NAT-T bei eurem VPN Zugang geregelt? Denn ISAKMP hat nachweislich Probleme, wenn mehrere Clients von der gleichen öffentlichen IP kommen. Es gibt auch Router, die immer nur eine ISAKMP Verbindung gleichzeitig handeln, da sie alle von Quellport 500 kommen und es deshalb Probleme mit der Zuordnung im NAT Router geben kann. Da würde ich auch mal suchen. Die Lösung dafür ist ein gescheites NAT-T Setup, aber das müssen eure Admins machen. Im Zuge steigender Zahlen von NAT Anschlüssen ist es ratsam, sich darauf einzustellen, das ist kein DG-spezifisches Problem (das Vodafone Kabel Forum ist voll davon). Am besten bieten sie auch einen IPv6 Zugang an.

    Und maik6849 hat Recht: IPv6 entlastet IPv4, und man hat pro Gerät alle 65000 Ports.

  • Deutsche Glasfaser, externer Zugriff auf NAS über IPv6

    Zitat von Xonic207

    Wählt man dort Manuell, stehen folgende IPs zur auswahl (neue, nach kompletten Neustart):

    Oh je. Sehe ich das richtig: In der Einstellung "manuell" hast du nur die Möglichkeit, eine IP auszuwählen, die vorher über einen dynamischen Mechanismus (Router Advertisements bzw. DHCPv6) zugewiesen wurde? Das hilft nur sehr eingeschränkt weiter.

    Wenn das System bei jedem Reboot komplett neue IPs generiert, auch bei der Einstellung manuell, dann wird dein Vorhaben nicht funktionieren. Du musst eine Möglichkeit finden, dem System eine permanente IP-Adresse zuzuweisen, die auch Reboots übersteht.

  • Deutsche Glasfaser, externer Zugriff auf NAS über IPv6

    Ja, ganz besonders bei dem Betriebssystem würde ich es mir zweimal überlegen, bevor ich einen Service ins Internet hänge. Zumal ja bislang bei allen Tests auch nur die http-Verbindung lief, und nicht die über https. Wenn die nicht mal die Funktionalität auf die Kette kriegen, wie mag es da erst um die Sicherheit bestellt sein?

    Da verbietet sich eine Portweiterleitung eigentlich von vornherein. Da ist VPN die deutlich bessere Alternative.

  • Deutsche Glasfaser, externer Zugriff auf NAS über IPv6

    Zitat von Xonic207

    frank_m wie kann ich prüfen, ob das NAS per IPv6 ins internet gelangt? (ich kann zumindest vom NAS aus Dinge herunterladen z.B. per Docker)

    Logge dich aufs NAS ein und mache ein "ping -6 http://www.heise.de". Wenn du schon da bist, schau auch mit ip oder ifconfig nach, welche IPs das NAS wirklich hat. Achte auch in den Einstellungen des NAS darauf, dass es wirklich eine permanente IP generiert. Wenn die Anzeige stimmt, ist das nicht der Fall.

  • Deutsche Glasfaser, externer Zugriff auf NAS über IPv6

    Zitat von maik6849

    ins Internet kommt es sicher,

    Das weißt du woher?

    Zitat von maik6849

    aber durch die temporäre IPv6 ist es nicht dauerhaft von außen erreichbar.

    Das ist klar, die Freigaben passen ja auch nicht dazu. Ich würde allerdings auch nicht so weit gehen, dass da keine feste IPv6 Adresse ist, nur weil sie in einem (mobilen) Web-Frontend nicht auftaucht. Wer weiß, wie das implementiert ist. Bislang haben wir Verbindungsversuche von Außen nur auf die feste Adresse und aus dem Heimnetz nur auf die temporäre Adresse gesehen. Es gibt diesbezüglich also noch keinerlei belastbare Informationen. Wir wissen nicht mal, ob die feste IP gemäß EUI-64 ermittelt wird.

    Ich denke, eine systematischere Herangehensweise würde schneller zum Ziel führen. Mit den Grundlagen anfangen, und dann um die spezifischen Einstellungen kümmern.

    Da der Router ja von außen erreicht werden kann, sieht es so aus, als ob der IPv6 Internetzugang grundsätzlich funktioniert. Das wird also vermutlich eine Sache im Heimnetz sein.