KPN Box 14 routeert niet naar achterliggende router op IPv6

​@Jdevrie Dit heb ik al eerder gemerkt, het is een loterij wanneer de V14 IPv6 naar achter liggende apparaten doorgeeft. Dat ziet je mooi aan de KPN TV+ontvanger, dus het ligt niet aan PD instelling. Op een dag mooi IPv6 adres in 2a02-range, op de andere dag alleen links lokaal, op een andere dag weer alleen IPv4. Naar paar testen gooi ik gelijk de v14 in de hoek en gebruikt hem alleen voor testdoelen.

​@TDN ik heb dit ook alleen tijdelijk ingesteld. Ik gebruik  normaal alleen mijn Asus router direct aan de XGSPON. Echter omdat ik wat problemen heb met outages van 20 tot 90 seconden wil ik even weten of het aan de mijn router ligt of aan de XGSPON of zelfs aan de lokale centrale. Dus heb ik nu even die V14 er tussen zitten om te zien hoe dat reageert. 

Ik snap dat je dit getest wil hebben dan ​@Jdevrie en dank je dat je zoveel tijd spendeert om de problematiek in kaart te brengen en deze in detail aan ons terugkoppelt. Ik moet je eerlijk bekennen dat mijn ervaring gdit vlak beperkt is. Maar ik zal dit topic aanmelden voor feedback zodat dit meegenomen kan worden als feedback richting onze ontwikkelaars!

Ik zie dat de Community ook goed meedenkt, ook dank daarvoor.

Is je eigen router nu wel stabiel?

In de KPN software is nog maar een enkele gedelegeerde /56 prefix beschikbaar, met als vierde segmenf ff00. Er kan dus maar een apparaat dat zich als router gedraagt actief zijn.  Mocht er een ander apparaat zijn dat deze prefix pakt, dan vist de ASUS achter het net.

Het systeem wordt geïdentificeerd door de “DUID”, dus die moet op de ASUS altijd hetzelfde zijn. Je hebt ook DUID=”Link layer address + time”, ik begrijp niet wat daar de bedoeling van is en of dat inhoudt dat de DHCPv6 server iedere keer een ander systeem ziet. Als er geen ander apparaat prefixen pakt, zou je op de ASUS naar die DUID instelling kunnen kijken. 

Er circuleert het gerucht dat Android prefixen gaat pakken of al pakt, dus ik zou een Android telefoon als verdacht beschouwen. 

​@hmmsjan_2 de Asus router heeft en had op dat moment keurig de /56 prefix met ff00 als 4de segment dus dat was het probleem niet. Ik had echt alles geprobeerd totdat ik die prefix delegation even heen en weer flipte en daarna begon het direct weer keurig te werken. Dus er was wel degelijk een probleem under the cover in die firmware dat niet zichtbaar was in de GUI.

Voorlopig wel maar dat zegt niet veel want eerder draaide hij ook wel eens 4 dagen zonder problemen  om dan plotseling weer eens twee keer vlak achter elkaar zo een korte outage te krijgen. Normaal is dat niet zo erg maar als je tv zit te kijken en je buffer loopt leeg staat het beeld even stil en dat is irritant

Die irritatie begrijp ik zeker vanwege het onvoorspelbare karakter van het wegvallen van de verbinding. Hopelijk blijft die dan nu wel stabiel. Nogmaals dank voor het delen van de feedback!

Ik ben er inmiddels achter dat die Experiabox 14 geen ander verkeer dan een ping doorlaat op ipv6 naar een achterliggende router die via dhcp-pd een IPv6 prefix heeft gekregen. Ik kan keurig pingen naar mijn NAS maar zodra ik probeer om via bijvoorbeeld https de admin pagina's op te halen dan krijg ik een time-out. 
 Wanneer ik probeer de asus router in de dmz voor ipv6 te hangen (wat al een vreemd iets is want dat bestaat formeel niet in ipv6)  dan geeft hij in die pagina voor de router haar eind node ipv6 adres in plaats van het ip adres dat hoort bij de gedelegeerde prefix. 
Je moet dan met de hand het ipv6 adres van de NAS direct in de dmz zetten en niet het adres van de router zoals op ipv4. Dan stuurt hij direct naar door de NAS en werkt het wel. Dus niet je router in de dmz maar de NAS direct met zijn ipv6 adres als dmz server ondanks dat hij achter de asus zit.

Wat hier eigenlijk het probleem is, is dat deze box gewoon verkeerde terminologie gebruikt voor IPv6 in zijn GUI. Woorden als  DMZ en port forwarding die binnen IPv6 helemaal niet bestaan. Daardoor wordt je als ervaren ICTer op het verkeerde been gezet. 

Het probleem is dat in deze GUI geprobeerd wordt IPv4 en IPv6 binnen hetzelfde stramien te plakken terwijl deze heel anders werken. Dat komt doordat bij IPv4 het hele NAT concept is toegevoegd om het IP adres tekort te omzeilen. Een probleem wat niet bestaat in IPv6 en daar dus geen tegenhanger kent. 
Dit maakt de GUI van deze Experia BOX bijzonder warrig als je de verschillende concepten kent en daar vanuit denkt.

Ping is onderdeel van IMCPv6, o.a. Router Solicitation, Router Advertisement, Neighbor Solicitation, Neighbor Advertisement. Als IMCPv6 geblokkeerd wordt, krijgt geen enkel apparaat een IPv6 adres meer.

Ja, eigenlijk horen deze instellingen bij firewall.

TDN schreef :
“Als IMCPv6 geblokkeerd wordt, krijgt geen enkel apparaat een IPv6 adres meer.”

​@TDN Dat is bij mij niet het geval omdat de tussenliggende ASUS router een subnet prefix heeft gekregen van de KPN router en daarmee routeert naar zijn subnetadressen. Mijn  NAS heeft binnen dat subnet van die ASUS een fixed IP adres. 
 

​@TDN  Dat klopt het is eigenlijk IPv6 firewall “pin holing” wat onder concepten van IPv4 wordt aangeboden.

Het is ook nog inconsequent want zodra je die zogenaamd DMZ hebt ingevoerd werken de firewall rules niet meer. Ik voerde voor een test een firewall rule op die de HTTPS poort (443) zou tegen moeten houden op IPv6 maar ik kon de admin pagina van mijn NAS gewoon van buitenaf benaderen via  HTTPS naar het ipv6 adres.

Je ziet ook een zogenaamde port forwarding rule voor alle poorten op TCP en UDP op de IPv6 port forwarding pagina zodra je die DMZ hebt ingevoerd. In werkelijkheid is dat gewoon een IPv6 pin hole in de firewall naar mijn NAS.

Er wordt in die GUI geprobeerd het eenduidig te maken tussen IPv4 en IPv6 voor de minder ervaren gebruikers maar zet daarmee de ervaren gebruikers op het verkeerde been. Alles bij elkaar is het gewoon een heel warrige user interface. Die UI zou eigenlijk onder de tab “beveiliging” op het hoogste niveau direct de keuze IPv4 of IPv6 moeten hebben. Daardoor kunnen die protocollen gewoon hun eigen instellingen krijgen onder de terminologie die daarbij hoort.

Ik heb er niet zoveel moeite mee. Zowel in IPv4 als IPv6 geldt : maak adres X poort Y van buitenaf bereikbaar. Maar het mechanisme is voor IPv4 NAT/Port forwarding en voor IPv6 firewall, dat is helemaal waar. 

DMZ is op een consumentenrouter een portforward/firewallopening van port 1-65535. Of je die DMZ met een firewall blokkeer regel kunt overrulen is een kwestie van prioriteiten, daar kun je over discussiëren. 

Dat de router zijn eigen adres :0: adres geeft is logisch, hij hangt aan het basis netwerk en kan dus gewoon via router advertisement een :0::/64 adres aan de WAN krijgen. Prefix delegatie is enkel het zetten van een route naar het link-local adres van de aanvrager van de prefix. De router moet dan zelf weten wat hij ermee doet. In principe bestaat de :ff00::/56 prefix alleen aan de LAN/VLAN kant, of je gebruikt :ff00:;/64 voor de WAN en vanaf :ff01::/64 en verder voor LAN en VLANs, dat moet ook kunnen. 

Dit is een antwoord op jouw bevinding dat de KPN alles blokkeert behalve ping. Dit is ook correct, ping6 gebruikt IMCPv6, het protocol om IPv6 adressen te laten krijgen, dus men kan dit nooit blokkeren. Alle andere verkeer worden standaard geblokkeerd door firewall tenzij het apparaat eerst een verbinding naar buiten maakt.

Ik moet even een aanvulling maken. Een “firewall rule op die de HTTPS poort (443) zou tegen moeten houden op IPv6” kan alleen gemaakt worden in wat in de KPN software “firewall” heet. Dit is een uitgaande firewall. Dat betekent dus dat de NAS geen HTTPS verbindingen naar het internet meer kan maken. Als de NAS in DMZ staat en een verbinding van buitenaf gemaakt wordt, dan is het antwoord van de NAS een “RELATED” verbinding en mag wel gemaakt worden. Dus dit lijkt me in de context van een stateful firewall correct. De kop “firewall” is verwarrend, het staat er wel onder dat het verbindingen naar het internet toe betreft. 

​@hmmsjan Je hebt gelijk. Die tekst had ik overheen gelezen. Omdat het onder het kopje firewall staat verwacht ik iets dat de access van buiten naar binnen regelt en niet andersom. Nog meer van die verwarrende terminologie dus. Alle bij elkaar kunnen we wel constateren dat die GUI qua bewoording een beetje een zooitje is.
 

​@Remco van KPN dit alles kun je ook wel doorgeven aan de firmware ontwikkelaars van die V14 box. Het is gewoon heel verwarrend hoe ze de terminologie van IPv4 en IPv6 door elkaar gooien en daarmee de ervaren gebruikers op het verkeerde been zetten.,