Hallo zusammen,
auf der Suche nach einer Lösung für mein Problem bin ich hier gelandet.
nach 4 Tagen und 2 Nächten mit Unterstützung von Claude bin ich der Sache ein Stück näher gekommen.
Ursache (bei mir belegt)
1. Das UCG setzt jeden Verkehr, der durch den Tunnel geht, per Masquerade auf 192.0.0.2 um (Kette UBIOS_POSTROUTING_USER_HOOK, Regel mit -o ip6tnl1 ... -j MASQUERADE).
2. Die AFTR von NetCom BW beantwortet Pakete mit der inneren Quelladresse 192.0.0.2 nicht, Pakete mit privater Quelladresse schon. Die FRITZ!Box schickt die privaten Adressen der LAN-Clients unverändert in den Tunnel (Mitschnitt). Ein Test mit einem zusätzlichen ip6tnl-Tunnel am UCG hat dasselbe gezeigt: Quelle 192.168.x.x wurde beantwortet, 192.0.0.2 nicht.
3. Zusätzlich: Handelt die PPP-Sitzung IPv4 aus (Adresse aus 100.64.0.0/10), liegt in der Haupttabelle "default dev ppp0" vor der Tunneltabelle. LAN-IPv4 geht dann unmaskiert über ppp0 ins Leere. Vermutlich fängt außerdem eine Blackhole-Regel LAN-Verkehr ab, solange WAN1 als ausgefallen gilt.
So prüft ihr es (per SSH als root)
- NAT-Regel: iptables -t nat -S | grep -i ip6tnl
- Routing: ip rule und ip route show table all | grep default
- Mitschnitt auf dem WAN-Port (bei mir eth4): tcpdump -ni eth4 -l 'pppoes' | grep <AFTR-Adresse>. Seht ihr nur ausgehende Pakete mit innerer Quelle 192.0.0.2 und nie Antworten, ist es dasselbe Muster.
- Gegenprobe: ein anderer Router (FRITZ!Box) am selben Anschluss
Workaround (vorübergehend, auf eigene Gefahr)
iptables -t nat -I UBIOS_POSTROUTING_USER_HOOK 1 -o ip6tnl1 -j ACCEPT
ip route del default dev ppp0
ip rule add from 192.168.111.0/24 iif br0 lookup 201 priority 32100
Damit lief IPv4 vom LAN direkt über das UCG. Netz und Bridge (192.168.111.0/24, br0) müsst ihr anpassen. Die Änderungen gehen bei Neustart oder Neuaufbau von ppp0 verloren. Wichtig: Eine erste Fassung der dritten Regel ohne "iif br0" hat mich aus dem UCG ausgesperrt, weil auch dessen eigene Antworten in die Tunneltabelle liefen. Das UCG danach neu zu starten stellt alles wieder her. Ein dauerhafter, unterstützter Weg ist das nicht.
Offene Fragen
- Welche Provider akzeptieren 192.0.0.2 als innere Quelladresse? Bei denen läuft DS-Lite am UCG vermutlich ohne Eingriff.
- Wer betreibt ein UCG oder eine UDM erfolgreich mit DS-Lite, und bei welchem Anbieter?
Ich habe es bei Ubiquiti und NetCom BW eingereicht und ergänze hier die Antworten.