Magenta/UPC: Ipv6 Setup mit OpenWRT

[Smut]

liebe xdsl community, ich komme aktuell mit folgendem vorhaben nicht weiter - es ist mir aber noch nicht ganz klar woher das problem kommt.

ziel:Magenta (UPC) ipv6 und ipv4 internet mit eigenem OpenWRT Router dazwischen.

setup:
internet => upc connect box => open-wrt router (wan-port) => div. clients am LAN-port

problem:
connect box modem mode: IPV6 Only Funktioniert im modem-mode. jedoch funktioniert kein ipv4 via ds-lite
connect box im router mode: ipv4 funktioniert via ds-lite, ipv6 funktioniert nur am open-wrt router jedoch nicht auf clients, da sie keine v6 adresse bekommen.

vermutung:
router bekommt am WAN-port eine /128 IP sowie einen /64 prefix.
jedoch bekommt das LAN interface diesen prefix nicht weitergereicht (sollte es für DHCP-verteilung als auch RA bekommen)
im modem-mode erhält der router ein /57 prefix und das lan interface einen /64 zur weiteren verteilung an die clients.

Details:
UPC-Connect box (Arris Modem mit docsys3.1)
OpenWrt 18.06.2

/etc/config/network

Code: Alles auswählen

config interface 'lan'
   option type 'bridge'
   option proto 'static'
   option ipaddr '192.168.11.1'
   option netmask '255.255.255.0'
   option gateway '192.168.11.1'
   option dns '192.168.11.1'
   option ip6assign '64'
   option ifname 'eth0.1'

config interface 'wan'
   option proto 'static'
   option netmask '255.255.255.0'
   option gateway '192.168.0.1'
   option ipaddr '192.168.0.22'
   option ifname 'eth1.2'

config interface 'wan6'
   option ifname 'eth1.2'
   option proto 'dhcpv6'
   option reqaddress 'try'
   option reqprefix 'auto'


Connect-Box Konfiguration:


OpenWrt Konfiguration:
1. screen: modem mode -> router erhält /57 und auch die weitere verteilung von ipv6 im netzwerk funktioniert


2. screen: router mode -> router erhält ein /64, weitere verteilung von ipv6 im netzwerk funktioniert nicht.


zusammenfassung:
imho liegt das problem daran, dass ich im "router-mode" direkt am WAN interface das /64 zugewiesen bekomme ohne prefix delegation und dann kein platz mehr für ein kleineres netz am lan-interface ist.
alternativ kann man das ganze vielleicht im modem mode lösen - nur bekomme ich DS nicht zu laufen. lt. upc hotline, geht das auch nicht (darauf verlasse ich mich aber mal nicht).

tia jedenfalls für input

[WaJoWi]

Ich verstehe nicht ganz wozu man eine private IPv4-Adresse möchte wenn man IPv6 verwendet? Entweder eine öffentliche oder gleich ganz auf IPv6 setzen. Aber ich gebe zu, dass ich mich da zu wenig auskenne. Ich persönlich bleibe derzeit lieber rein bei IPv4. Zumindest so lange man nur DS-light bekommt.

[Smut]

ich will keine ?private? ipv4 - wie kommst du darauf?
ipv6 only funktioniert aber heute einfach nicht - große seiten wie z.b. amazon verwenden kein ipv6 als beispiel.
dass ipv4 mittels CGN angeboten wird ist für mich auch kein problem. es geht darum, dass die prefix-delegation im router-mode bei mir nicht funktioniert und ich im modem mode kein ipv4 zusammenbekomme.

[WaJoWi]

Bei DS-light bekommt man doch nur eine "private" IPv4 Adresse die von außen nicht erreichbar ist, oder liege ich da falsch? Bei richtigem DS gibt es eine öffentliche IPv4.

Gibt es einen besonderen Grund weshalb du IPv6 haben möchtest? Mich interessiert das Thema grundsätzlich schon, aber ich habe für mich noch keinen wirklichen Grund gefunden auf IPv6 umzustellen.

[Smut]

Man bekommt genauso eine öffentliche IPV4 jedoch teilt man sie diese (NAT) mit mehreren Teilnehmern.
Ich benötige ipv6 Projektbedingt. Ist jetzt nicht so die außergewöhnliche Anforderung 2019

Falls mir jemand weiterhelfen kann - tia.
Ticket bei magenta habe ich diesbezüglich auch schon offen, vielleicht können sie mir weiterhelfen.

[fuqi]

Wurde dein Ticket beantwortet?
Hab mir damals einen Tunnel über "http://tb.netassist.ua/" eingerichtet.....

[martin]

Ich hab mich vor ein paar Monaten auch mit dieser Konstellation gespielt uns es dann bleiben lassen.

Der DHCP Server von UPC erlaubt keine Prefix Delegation:



Sorry buddy...

[Smut]

Wurde dein Ticket beantwortet?
Hab mir damals einen Tunnel über "http://tb.netassist.ua/" eingerichtet.....

hat sich keiner mehr gemeldet.

@martin:
in der variante modem-mode erlaubt er es definitiv.
auch ein user hier, schreibt, dass er ein prefix erhalten hat im router-mode!
https://www.lteforum.at/mobilfunk/magen ... ost-236783

[martin]

in der variante modem-mode erlaubt er es definitiv.
auch ein user hier, schreibt, dass er ein prefix erhalten hat im router-mode!
https://www.lteforum.at/mobilfunk/magen ... ost-236783

So weit wie der User in deinem Post war ich auch schon mal, habe das in meinem ersten Post mangels Zeit ausgelassen

Mein Setup ist so ganze 5 Tage lang gelaufen, plötzlich hatte ich aber ohne mein Zutun wieder ein /64 am WAN Interface der Connect Box. Mein Troubleshooting hat dann die oben angehängte Meldung zu Tage gebracht.

Schön wenns bei dem User anscheinend dauerhaft läuft, immer wieder einen Factory Reset durchzuführen war mir dann doch zu blöd.

[kleinem]

Stichwort DHCP(v6) Vendor-ID

1. Vermutung, ich wette das Arris Modem schickt eine Art Vendor ID oder sonsitge DHCP Flags mit um es als UPC Modem zu kennzeichnen. Ähnliches Phänomen gibt es auch bei A1 IPTV Boxen, die nur mit der richtigen Vendor ID im IPTV Vlan eine IP Adresse bekommen.

2. Vermutung, im Modem mode wird keine IPv4 Adresse weitergereicht, da sie diese selbst am Modem brauchen, um es weiterhin managen zu können.

Aus meiner Sicht müsstest du den kompletten Traffic am WAN Port bei der Initialisierung des Modems im Router Mode mitsniffen und analysieren. Wird aber wohl schwierig bis unmöglich da DOCSIS, ich wüsste zumindest nicht wie.
Ich habe leider kein Kabelinternet, aber prinzipiell finde ich solcher Herausforderungen immer spannend

[martin]

Kabelmodems authentifizieren sich heutzutage mit einem Zertifikat, somit würde wohl auch Sniffen herzlich wenig helfen.

Wenn du mal ein Stunderl Zeit hast, hier ein sehr interessanter CCC Talk zum Thema Cable Modem Hacking der auch viele Hintergründe erklärt: https://www.youtube.com/watch?v=wFnfYElMGe0

Die im Talk beschriebene Sicherheitslücke sollte mittlerweile gefixt sein...

[kleinem]

Das sich Kabelmodems heutzutage mit Zertifikaten authentifizieren ist mir prinzipiell bekannt,
aber wie/wo im Detail leider nicht. Wie gesagt, Kabel ist leider nicht meine Welt.
Von irgendwelchen älteren CCC Talks zu dem Thema hab ich im Hinterkopf das es da wohl BPI oder so gibt die encryption drum herum machen.
Den Talk kannte ich jedenfalls noch nicht, werd ich mir heute Abend zu gemüte führen, vielen Dank!

Natürlich müsste man irgendwo am Gerät/Stack selbst sniffen. Über eine debugging Schnittstelle oder was weiß ich.
Ich glaube aber trotzdem nach wie vor, dass der Hund im DHCP begraben ist.

Zu dem Stichwort "Server support for prefix delegation is not enabled. Sorry buddy." Hab ich auf die schnelle folgenden Thread auf reddit gefunden. Ich glaube auf reddit wirst du generell mehr Glück haben als hier.
https://www.reddit.com/r/Comcast_Xfinit ... v6_prefix/

Aber andere Idee, wenn du bereit bist in einen rootserver (AWS zb) zu investieren, könntest du ja IPv4 über IPv6 tunneln.

lg

[stefandoesinger]

Wie hast du die Connect Box mit aktiviertem IPv6 in den Modem-Modus bekommen? Bei meiner (ist aber noch ein Gerät von Compal mit DOCSIS 3.0) ist der Modem-Modus nur verfügbar, wenn auf der UPC-Seite ipv4-only konfiguriert ist.

Ich wäre am Modem-Modus interessiert um bessere Kontrolle über die DHCP-Settings zu haben, insbesondere den DNS-Server, der im internen LAN konfiguriert wird.

[Trax]

Stell dir die connect box auf modem und mit einem dienst wie sowas: https://www.tunnelbroker.net/
richte dir ein IPv6 tunel ein.

LG
Trax