Bugs in de nieuwe KPN Box 12 firmware V12.C.23.15.06 |ICMPv6 is stuk en prefix delegation werkt niet

Hallo! Toen ik vandaag wakker werd, was het niet meer mogelijk om nieuwe TCP verbindingen te leggen, maar oude TCP verbindingen bleven in stand. Wat bleek nou, de modem was aan het updaten. Even later lag het netwerk er helemaal uit.

Ik ging in de modem kijken en de user interface zag er helemaal anders uit.

Ik heb geprobeerd het netwerk te krijgen zoals ik het eerst had. Ik heb een eigen router met OpenWrt achter de kpn Box 12 zitten die dient als DHCP server en firewall en meer, en ik zou graag willen dat de kpn Box 12 daar niet mee in de weg zit. Voorheen was het enige probleem dat IPv6 Prefix Delegation er niet was, en dat IPv6 na een aantal weken gewoon zomaar stopt met werken waardoor ik de kpn Box 12 moet herstarten, en dan doet ie het weer.

Ik heb de hele tijd geëxperimenteerd met de nieuwe firmware versie op de kpn Box 12, en daarmee heb ik de volgende instellingen bereikt:

Thuisnetwerk → IPv6 → IPv6 Prefix Delegation: Aan met DHCPv6

Thuisnetwerk → IP-adres reserveren ↓

• Apparaat: OpenWrt
• IP-adres: 192.168.2.1

Beveiliging → Firewall → Modem reageert op pings: Aan

Beveiliging → Firewall → Beveiligingsniveau: Aangepast

Beveiliging → Firewall → Aangepaste regels → Mode: Alles toelaten

Beveiliging → Firewall → Aangepaste regels → IPv4 → (zet alle blokkerende regels uit met de slider links)

Beveiliging → Firewall → Aangepaste regels → IPv6 → (zet alle blokkerende regels uit met de slider links)

Beveiliging → Port forwarding → IPv6 ↓

• Service: Nieuw…
• Protocol: Both
• IPv6-adres: 0::0/0
• Port: 1-65535

Beveiliging → DMZ ↓

• IP-adres: 192.168.2.1

Met deze configuratie zou elk apparaat op IPv6 niet worden gehinderd door port blokkering op IPv6, en zou de firewall niets moeten doen. Ik heb al een firewall op mijn OpenWrt en heb die van de modem niet nodig.

Nu op mijn OpenWrt router heb ik hetvolgende ingesteld in /etc/config/network:

config device
	option name 'br-lan'
	option type 'bridge'
	list ports 'eth1'
	list ports 'eth2'
	list ports 'eth3'
	list ports 'eth4'

config interface 'lan'
	option device 'br-lan'
	option proto 'static'
	option ipaddr '192.168.1.1'
	option netmask '255.255.255.0'
	option ip6assign '60'

config interface 'wan'
	option proto 'dhcp'
	option device 'eth0'
	option hostname '*'
	option peerdns '0'
	list dns '8.8.8.8'
	list dns '8.8.4.4'

config interface 'wan6'
	option device 'eth0'
	option proto 'dhcpv6'
	option reqaddress 'try'
	option reqprefix 'auto'

en vervolgens in /etc/config/dhcp:

config dhcp 'lan'
	option interface 'lan'
	option start '100'
	option limit '150'
	option leasetime '12h'
	option dhcpv4 'server'
	option ra 'server'
	option dhcpv6 'relay'
	option ndp 'relay'
	list dns '2620:fe::fe'
	list dns '2620:fe::9'

Deze configuratie zorgt ervoor dat apparaten aangesloten op mijn OpenWrt router een prefix krijgen van xxxx:xxxx:xxxx:ff71::/64 (eigen /48 prefix gecensureerd). Die ff71 irriteerd mij enorm, en de hele bedoeling van prefix delegation is zodat je een /48 prefix krijgt, en niet een /64, dus het is wel heel raar dat dit gebeurd. Als ik in OpenWrt instel dat inplaats van ‘try’ hij ‘force’ doet maar dan met een ‘48’ prefix inplaats van ‘automatic’, dan krijgt de OpenWrt router helemaal geen prefix delegation meer van de kpn Box 12.

Bovendien is belangrijke IPv6 functionaliteit onbeschikbaar, zoals ICMPv6. Alle ICMPv6 pakketten van buiten het netwerk kunnen niet naar binnen, waardoor het onmogelijk is om ping en traceroute te gebruiken op IPv6. Zelfs niet als je vanaf binnen het netwerk een ICMPv6 pakket naar buiten het netwerk stuurt. Apparaten die dan ICMPv6 replies terugsturen komen ook niet binnen! Heel erg frustrerend dit.

En elke keer als de kpn Box 12 herstart, dan worden een aantal instellingen terug gezet naar de standaardwaarden, waaronder deze:

• Thuisnetwerk → IPv6 → IPv6 prefix delegation: Uit
• Beveiliging → Firewall → Aangepaste regels → Mode: Alles blokkeren
• Beveiliging → Firewall → Aangepaste regels → (alle regels die verwijderd zijn komen weer terug!)

Dit is best ernstig en zo kan ik mijn internet niet normaal gebruiken. Deze bugs moeten gefixt worden. Ik zou graag het volgende willen zien in een firmware update:

• Onthoud instellingen voor prefix delegation en firewall
• Prefix delegation geeft een prefix van /48 door en niet alleen /64
• Geef mogelijkheid voor DMZv6 of om firewall compleet uit te schakelen.
• ICMPv6 moet werken, zodat je kan pingen en traceroute kan doen van binnen naar buiten, en buiten naar binnen.

Op de oude firmware werkte dit allemaal, behalve prefix delegation. Prefix delegation is een nieuwe feature die in deze firmware is toegevoegd, maar is niet functioneel zoals ik al had beschreven.