Bugs in de nieuwe KPN Box 12 firmware V12.C.23.15.06 |ICMPv6 is stuk en prefix delegation werkt niet

Hallo! Toen ik vandaag wakker werd, was het niet meer mogelijk om nieuwe TCP verbindingen te leggen, maar oude TCP verbindingen bleven in stand. Wat bleek nou, de modem was aan het updaten. Even later lag het netwerk er helemaal uit.

Ik ging in de modem kijken en de user interface zag er helemaal anders uit.

Ik heb geprobeerd het netwerk te krijgen zoals ik het eerst had. Ik heb een eigen router met OpenWrt achter de kpn Box 12 zitten die dient als DHCP server en firewall en meer, en ik zou graag willen dat de kpn Box 12 daar niet mee in de weg zit. Voorheen was het enige probleem dat IPv6 Prefix Delegation er niet was, en dat IPv6 na een aantal weken gewoon zomaar stopt met werken waardoor ik de kpn Box 12 moet herstarten, en dan doet ie het weer.

Ik heb de hele tijd geëxperimenteerd met de nieuwe firmware versie op de kpn Box 12, en daarmee heb ik de volgende instellingen bereikt:

Thuisnetwerk → IPv6 → IPv6 Prefix Delegation: Aan met DHCPv6

Thuisnetwerk → IP-adres reserveren ↓

Apparaat: OpenWrt
IP-adres: 192.168.2.1

Beveiliging → Firewall → Modem reageert op pings: Aan

Beveiliging → Firewall → Beveiligingsniveau: Aangepast

Beveiliging → Firewall → Aangepaste regels → Mode: Alles toelaten

Beveiliging → Firewall → Aangepaste regels → IPv4 → (zet alle blokkerende regels uit met de slider links)

Beveiliging → Firewall → Aangepaste regels → IPv6 → (zet alle blokkerende regels uit met de slider links)

Beveiliging → Port forwarding → IPv6 ↓

Service: Nieuw…
Protocol: Both
IPv6-adres: 0::0/0
Port: 1-65535

Beveiliging → DMZ ↓

IP-adres: 192.168.2.1

Met deze configuratie zou elk apparaat op IPv6 niet worden gehinderd door port blokkering op IPv6, en zou de firewall niets moeten doen. Ik heb al een firewall op mijn OpenWrt en heb die van de modem niet nodig.

Nu op mijn OpenWrt router heb ik hetvolgende ingesteld in /etc/config/network:

config device
	option name 'br-lan'
	option type 'bridge'
	list ports 'eth1'
	list ports 'eth2'
	list ports 'eth3'
	list ports 'eth4'

config interface 'lan'
	option device 'br-lan'
	option proto 'static'
	option ipaddr '192.168.1.1'
	option netmask '255.255.255.0'
	option ip6assign '60'

config interface 'wan'
	option proto 'dhcp'
	option device 'eth0'
	option hostname '*'
	option peerdns '0'
	list dns '8.8.8.8'
	list dns '8.8.4.4'

config interface 'wan6'
	option device 'eth0'
	option proto 'dhcpv6'
	option reqaddress 'try'
	option reqprefix 'auto'

en vervolgens in /etc/config/dhcp:

config dhcp 'lan'
	option interface 'lan'
	option start '100'
	option limit '150'
	option leasetime '12h'
	option dhcpv4 'server'
	option ra 'server'
	option dhcpv6 'relay'
	option ndp 'relay'
	list dns '2620:fe::fe'
	list dns '2620:fe::9'

Deze configuratie zorgt ervoor dat apparaten aangesloten op mijn OpenWrt router een prefix krijgen van xxxx:xxxx:xxxx:ff71::/64 (eigen /48 prefix gecensureerd). Die ff71 irriteerd mij enorm, en de hele bedoeling van prefix delegation is zodat je een /48 prefix krijgt, en niet een /64, dus het is wel heel raar dat dit gebeurd. Als ik in OpenWrt instel dat inplaats van ‘try’ hij ‘force’ doet maar dan met een ‘48’ prefix inplaats van ‘automatic’, dan krijgt de OpenWrt router helemaal geen prefix delegation meer van de kpn Box 12.

Bovendien is belangrijke IPv6 functionaliteit onbeschikbaar, zoals ICMPv6. Alle ICMPv6 pakketten van buiten het netwerk kunnen niet naar binnen, waardoor het onmogelijk is om ping en traceroute te gebruiken op IPv6. Zelfs niet als je vanaf binnen het netwerk een ICMPv6 pakket naar buiten het netwerk stuurt. Apparaten die dan ICMPv6 replies terugsturen komen ook niet binnen! Heel erg frustrerend dit.

En elke keer als de kpn Box 12 herstart, dan worden een aantal instellingen terug gezet naar de standaardwaarden, waaronder deze:

Thuisnetwerk → IPv6 → IPv6 prefix delegation: Uit
Beveiliging → Firewall → Aangepaste regels → Mode: Alles blokkeren
Beveiliging → Firewall → Aangepaste regels → (alle regels die verwijderd zijn komen weer terug!)

Dit is best ernstig en zo kan ik mijn internet niet normaal gebruiken. Deze bugs moeten gefixt worden. Ik zou graag het volgende willen zien in een firmware update:

Onthoud instellingen voor prefix delegation en firewall
Prefix delegation geeft een prefix van /48 door en niet alleen /64
Geef mogelijkheid voor DMZv6 of om firewall compleet uit te schakelen.
ICMPv6 moet werken, zodat je kan pingen en traceroute kan doen van binnen naar buiten, en buiten naar binnen.

Op de oude firmware werkte dit allemaal, behalve prefix delegation. Prefix delegation is een nieuwe feature die in deze firmware is toegevoegd, maar is niet functioneel zoals ik al had beschreven.

Bladzijde 1 / 2

Je kunt natuurlijk nooit dezelfde IPv6 prefixlengte gebruiken als die op de bovenliggende router immers de toegewezen IPv6 prefix moet binnen de /48 IPv6 prefix van de bovenliggende router vallen.

De standaard IPv6 prefixlengte bij IPv6 prefix delegation is /64 en dat is ook juist. Als je geen vlans gebruikt op jouw eigen router dan is dat ook prima. Gebruik je wel vlans op jouw eigen router dan wil je die kunnen voorzien van /64 IPv6 prefixes en dat betekent dat je een langere IPv6 prefix moet aanvragen. Dit kan echter geen /48 IPv6 prefix zijn maar wel een /56 IPv6 prefix. Kies eens voor ‘force’ met een ‘56’ IPv6 prefix. Krijg je dan wel weer een IPv6 prefix toegewezen?

Beveiliging → Port forwarding → IPv6 ↓

Service: Nieuw…
Protocol: Both
IPv6-adres: 0::0/0
Port: 1-65535

Deze port-forwarding heeft geen zin.

Als jij op een PC aangesloten op de V12 naar ipv6-test.com gaat, welke score haal je dan?

Geef mogelijkheid voor DMZv6 of om firewall compleet uit te schakelen.
ICMPv6 moet werken, zodat je kan pingen en traceroute kan doen van binnen naar buiten, en buiten naar binnen.

Bij IPv6 wordt er nooit gebruik gemaakt van een DMZ immers je benadert het IPv6 adres van de apparaat zelf en niet het IPv6 adres van de router (V12). De firewall wil je nooit helemaal uitschakelen en de ICMPv6 communicatie behoort altijd te werken. Zit er wellicht een switch tussen de V12 en jouw eigen router?

wjb schreef:
Kies eens voor ‘force’ met een ‘56’ IPv6 prefix. Krijg je dan wel weer een IPv6 prefix toegewezen?

Dan gebeurd er ook niets. Dit had ik ook al getest. Ik had al een vermoede dat het niet mogelijk zou zijn om daadwerkelijk een /48 prefix te krijgen van de kpn Box 12, maar een /56 wil die ook niet geven.

wjb schreef:
Deze port-forwarding heeft geen zin.

Heeft het wel. Als je dit niet doet, dan blokkeert de kpn Box 12 alle inkomende verbindingen net alsof je op IPv4 zit. Ik wil een normale ongehinderde IPv6 verbinding, dus dat houdt in dat er niets is dat zomaar poorten gaat blokkeren. Ik heb al een firewall op mijn OpenWrt router, dus die van de kpn Box 12 heb ik niet nodig. Het IP-adres 0::0/0 betekent dat alle IP-adressen onder deze regel vallen, en dus alle poorten opengaan. Het probleem is dat ik alleen TCP en UDP kan selecteren. Wat is er dan gebeurd met SCTP en ICMP en alle andere protocollen die niet onder TCP of UDP vallen? Dit is wat “DMZv6” op de oude firmware wel toeliet, maar waar ik in de nieuwe firmware geen keuze in heb.

wjb schreef:
Als jij op een PC aangesloten op de V12 naar ipv6-test.com gaat, welke score haal je dan?

Ik krijg score 18/20, ICMP: Filtered. Dit is beide zo direct op de kpn Box 12 en indirect via mijn OpenWrt router.

wjb schreef:

Kies eens voor ‘force’ met een ‘56’ IPv6 prefix. Krijg je dan wel weer een IPv6 prefix toegewezen?

Op geen enkele router achter een router met een /48 IPv6 prefix kan je een /48 IPv6 prefix krijgen.

Dat zal altijd een langere prefix moeten zijn en best practice is om dan een /56 prefix aan te vragen.

Als de V12 ook geen /56 prefix uitdeelt terwijl er wel een /56 prefix aangevraagd wordt dan is dat iets waar het development team van KPN naar zou moeten kijken.

wjb schreef:

Deze port-forwarding heeft geen zin.

Persoonlijk zou ik die firewall rule sowieso beperken tot de IPv6 prefix die achter jouw eigen router gebruikt wordt zodat apparaten die op jouw V12 aangesloten zijn niet ook wagenwijd openstaan.

ICMPv6 loopt als het goed is altijd gewoon door, daarvoor hoef je geen DMZ te hebben.

Als ICMPv6 niet zou werken dan zou je ook nooit een score van 18 uit 20 halen bij die IPv6 test.

Ik heb een Experiabox V10. Geen KPN Box 12 dus. Maar ik heb niks ingesteld op de Experiabox en toch gewoon IPv6 achter m'n 2de router. Dat is Opnsense.

Je ziet hier de prefix ook terugkomen in het IPv6 adres in de vorm van die 103. Op de andere vlans is dat 100, 101 en 102.

Ik heb een Experiabox V10. Geen KPN Box 12 dus. Maar ik heb niks ingesteld op de Experiabox en toch gewoon IPv6 achter m'n 2de router. Dat is Opnsense.

Heb je ook een service op een apparaat achter jouw 2e router die met IPv6 vanaf Internet benaderd kan worden?

Ik heb een Experiabox V10. Geen KPN Box 12 dus. Maar ik heb niks ingesteld op de Experiabox en toch gewoon IPv6 achter m'n 2de router. Dat is Opnsense.

Heb je ook een service op een apparaat achter jouw 2e router die met IPv6 vanaf Internet benaderd kan worden?

Nee. Zie ik het nut niet van in. In mijn situatie in iedergeval niet.

Sowieso heeft dat IPv6 niet zoveel nut voor mijn situatie. Maar het is leuk dat het werkt.

Ik moest wel poorten open zetten op m'n 2de router om het te laten werken. Anders komt de prefix niet binnen volgens mij. Bij Opnsense is dat UDP 546 op de WAN interface.

Bij Pfsense moet ook nog een 2de poort open gezet worden. Welke weet ik zo niet meer. Bij Opnsense staat deze poort al open in de voorgedefinieerde portforwardings.

wjb schreef:
Persoonlijk zou ik die firewall rule sowieso beperken tot de IPv6 prefix die achter jouw eigen router gebruikt wordt zodat apparaten die op jouw V12 aangesloten zijn niet ook wagenwijd openstaan.

Dat is mogelijk een goed idee. Ik ga dat wel even doen.

wjb schreef:
ICMPv6 loopt als het goed is altijd gewoon door, daarvoor hoef je geen DMZ te hebben.
Als ICMPv6 niet zou werken dan zou je ook nooit een score van 18 uit 20 halen bij die IPv6 test.

Toen ik “DMZv6” zei deed ik dat alleen omdat de feature zo werd genoemd in de oude firmware. Ik heb geen DMZ.

En ik heb niet alle ICMPv6 message types getest, maar ik weet zeker dat Echo Reply en Time Exceeded niet terug komen van buiten af en daardoor werken ping en traceroute dus niet.

Ik heb een Experiabox V10. Geen KPN Box 12 dus. Maar ik heb niks ingesteld op de Experiabox en toch gewoon IPv6 achter m'n 2de router. Dat is Opnsense.

Je ziet hier de prefix ook terugkomen in het IPv6 adres in de vorm van die 103. Op de andere vlans is dat 100, 101 en 102.

Waarom is ICMP niet getest?

Ik moest wel poorten open zetten op m'n 2de router om het te laten werken. Anders komt de prefix niet binnen volgens mij. Bij Opnsense is dat UDP 546 op de WAN interface.

Voor DHCPv6 moet UDP poort 546 inderdaad inkomend open staan op de WAN poort. Verder zijn er geen poorten benodigd.

Daarnaast moet uiteraard IPv6-ICMP doorgelaten worden op zowel de WAN to local interface als de WAN to LAN.

Voorbeeld op mijn EdgeRouter.

Waarom is ICMP niet getest?

Geen idee. Heb ik niks aan ingesteld.

Waarom is ICMP niet getest?

Geen idee. Heb ik niks aan ingesteld.

Waarschijnlijk omdat IPv6-ICMP onderweg ergens geblokkeerd wordt.

Dat kan zijn door de firewall van de router of door de firewall van de computer maar ook door tussenliggende switches waarop onbekend multicast verkeer gedropped wordt.

Mijn kpn Box 12 heeft zojuist uit het niets weer gestopt met nieuwe TCP verbindingen doorlaten terwijl oude het blijven doen, zoals ik al het geschreven in de originele post. Is dit weer een of andere automatische update? Ik kan dit niet uitschakelen en dus zie ik dit als een bug. Ik ging dus even lekker Quake spelen (gebruikt UDP, dus dat kon gewoon) terwijl ik wachtte op die gekke update of wat dat ook was. Niets van gekomen na 20 minuten of zo, dus ik heb de kpn Box 12 opnieuw opgestart (hard reset want web UI deed het ook niet), en nu zien we wel weer wat er verder gebeurd. Toen ik dat de eerste keer deed ging hij na een uur of zo alweer stoppen met TCP, maar daarna was de firmware dus geüpdate. In de web UI staat nu nog steeds dezelfde versie als in de topic.

Toen ik wakker werd om 6 uur ‘s ochtends was TCP weer stuk. Ik had hem weer herstart. Nu staat er nogsteeds dezelfde firmware versie als in de topic. Nu weet ik niet meer of dit komt door een update, of dat TCP gewoon soms stuk gaat op deze versie, en dus ook een bug is ongerelateerd aan updaten.

Kan je niet zonder de kpn box of zit je nog op koper?

Ook op koper is het prima mogelijk om een eigen router te gebruiken. Je zult er dan alleen een full-bridged modem voor moeten zetten zoals bijvoorbeeld de Zyxel VMG4005-B50A.

Kan je niet zonder de kpn box of zit je nog op koper?

Mijn ouders gebruiken telefonie, dus dan wordt het veel gecompliceerder met RJ11 en dat soort dingen. Het zou mooi zijn als de kpn box het gewoon zou doen zoals ik dat wil, maar dat lukt dus niet.

Bovendien is TCP zojuist weer kapot gegaan. Ik heb de kpn box nu 3 keer moeten herstarten in 12 uur tijd. Dit is verschrikkelijk.

Bovendien is TCP zojuist weer kapot gegaan.

Wat bedoel je hier nu mee?

Wat constateer je op welk apparaat en waar is dat apparaat op aangesloten?

Welke /64 IPv6 prefix heeft een apparaat dat op jouw eigen router aangesloten is?

Is dat xxxx:xxxx:xxxx:ff71 of is dat de /64 prefix die op het LAN van de V12 gebruikt wordt?

Bovendien is TCP zojuist weer kapot gegaan.

Wat bedoel je hier nu mee?

Zoals ik in een eerder bericht zei, oude TCP verbindingen blijven werken, maar nieuwe TCP verbindingen kunnen niet meer gemaakt worden. Er staat dan uiteindelijk connection timed out. ICMP en UDP werken nog wel (maar ICMPv6 niet zoals ik al eerder had gezegd)

Wat constateer je op welk apparaat en waar is dat apparaat op aangesloten?

Mijn computer die is aangesloten op mijn OpenWrt router via Ethernet, en die is aangesloten op de kpn Box 12. De WiFi van de kpn box functioneert helemaal niet meer wanneer dit TCP probleem opkomt, en de web UI werkt ook niet op dat moment.

Welke /64 IPv6 prefix heeft een apparaat dat op jouw eigen router aangesloten is?

Is dat xxxx:xxxx:xxxx:ff71 of is dat de /64 prefix die op het LAN van de V12 gebruikt wordt?

Ja, mijn OpenWrt router krijgt de xxxx:xxxx:xxxx:ff71::/64 prefix via prefix delegation.

Bovendien is TCP zojuist weer kapot gegaan.

Wat bedoel je hier nu mee?

ICMPv6 heeft niets te maken met het niet kunnen maken van nieuwe TCP verbindingen.

Krijg je die “connection timed out” in een browser?

Wat constateer je op welk apparaat en waar is dat apparaat op aangesloten?

Dus op die computer krijg je een melding “connection timed out” en de wifi van de V12 houdt er mee op? Ik krijg het gevoel dat er een routing probleem is en dat daarbij een broadcaststorm ontstaat.

Welke /64 IPv6 prefix heeft een apparaat dat op jouw eigen router aangesloten is?

Is dat xxxx:xxxx:xxxx:ff71 of is dat de /64 prefix die op het LAN van de V12 gebruikt wordt?

Ja, mijn OpenWrt router krijgt de xxxx:xxxx:xxxx:ff71::/64 prefix via prefix delegation.

Het gaat mij niet om de prefix die via DHCPv6-PD aan jouw router gegeven wordt, maar om de prefix binnen het IPv6 adres van jouw computer. Begint het IPv6 adres van jouw computer ook met xxxx:xxxx:xxxx:ff71 of met de prefix die op het LAN van de V12 zelf gebruikt wordt?

Bovendien is TCP zojuist weer kapot gegaan.

Wat bedoel je hier nu mee?

ICMPv6 heeft niets te maken met het niet kunnen maken van nieuwe TCP verbindingen.

Dat bedoelde ik ook niet. Ik zei dat nieuwe TCP verbindingen niet werken. ICMP en UDP wel. ICMPv6 werkt sowieso niet goed op deze firmware zoals ik in de originele post zei.

Krijg je die “connection timed out” in een browser?

Via curl, en ook browser ja.

Wat constateer je op welk apparaat en waar is dat apparaat op aangesloten?

Nou, de kpn box heeft zojuist weer de TCP bug gekregen, en ik heb nu de WiFi getest. Die werkt hetzelfde als de Ethernet blijkbaar (dus geen nieuwe TCP, maar wel oude TCP, UDP en ICMP) dus het is niet waar dat de WiFi stopt met werken.

Welke /64 IPv6 prefix heeft een apparaat dat op jouw eigen router aangesloten is?

Is dat xxxx:xxxx:xxxx:ff71 of is dat de /64 prefix die op het LAN van de V12 gebruikt wordt?

Ja, mijn OpenWrt router krijgt de xxxx:xxxx:xxxx:ff71::/64 prefix via prefix delegation.

Ja, mijn computer had ook de prefix xxxx:xxxx:xxxx:ff71::/64 gekregen, via SLAAC.

Ik heb zojuist even mijn OpenWrt router direct aangesloten op de media converter van KPN. Ik heb even de instellingen zo gezet dat via VLAN 6 PPPoE wordt gedaan en ik heb nu werkend IPv4 en IPv6 inclusief ICMPv6 :D

Maar terwijl dit voor mij persoonlijk de beste oplossing zou zijn, worden mijn ouders hier waarschijnlijk niet blij van omdat de huistelefoon niet functioneel is. Zijn er enkele ideeën om dat ook werkend te krijgen? Mijn router heeft geen RJ11. Is de RJ11 port op de kpn box VoIP of PSTN?

Ik ga deze configuratie even houden en dan zeg ik wel als ik ook problemen ervaar hierop.

wjb schreef:
Dus op die computer krijg je een melding “connection timed out” en de wifi van de V12 houdt er mee op? Ik krijg het gevoel dat er een routing probleem is en dat daarbij een broadcaststorm ontstaat.

Een broadcast storm vindt ik wel apart want dan zou ik Quake niet normaal moeten kunnen spelen toch? Het rare is dat alleen TCP niet normaal meer functioneert, maar UDP en ICMPv4 wel.

Je kunt die huistelefoon zeer eenvoudig via een Voip ATA aansluiten zoals bijvoorbeeld de Grandstream HT801. Zelf gebruik ik achter mijn EdgeRouter een Gigaset N300A IP.

Oké. Ik heb de kpn box gereset en een nieuwe configuratie gevonden waarbij ICMPv6 wel werkt:

Thuisnetwerk → IPv6 → IPv6 Prefix Delegation: Aan met DHCPv6

Thuisnetwerk → IP-adres reserveren ↓

Apparaat: OpenWrt
IP-adres: 192.168.2.1

Beveiliging → Firewall → Modem reageert op pings: Aan

Beveiliging → Firewall → Beveiligingsniveau: Low

Beveiliging → DMZ ↓

IP-adres: 192.168.2.1

Het blijkt dat als je het firewall beveiligingsniveau op Aangepast zet, dat je juist minder controle hebt over je internet, omdat ICMPv6 niet aan/uit gezet kan worden. Dit houdt in dat ik de firewall op Low móét zetten en geen andere keuze heb, of ICMPv6 werkt niet. Dus dit is een workaround voor de ICMPv6 bug, maar niet een goede per se.

Ik heb de laatste dagen mijn eigen router direct aangesloten op de media converter, en het verliep goed. Dus een broadcast storm is niet de oorzaak, of tenminste niet van mijn eigen apparatuur en wat daarop aangesloten is. Ik hoop dat na het resetten van de kpn box ik niet meer de TCP bug krijg, maar doet moet ik nog zien hoelang de kpn box het deze keer volhoudt.

Dat is duidelijk een bug dat de ICMPv6 niet over level aangepast naar buiten gaat. Merk het hier ook met even proberen. De ipv4 loopt er wel doorheen.

Modem reageert op pings slaat alleen op dat het modem of de router eigenlijk op pings reageert vanuit het internet naar de router toe en dat geldt alleen maar voor ipv4.

De firewall levels beinvloeden alleen het uitgaande verkeer.

Maar 1 verschil ik heb ook de ICMPv6 hier uitgaand over het Medium en High werkend.

De Kennisbank

Meld je aan

Welkom

Bestand scannen voor virussen

Dit bestand kan niet worden gedownload