IPv6 P2P connectivity

[SkyBeam]

Entweder ist das ein echtes Problem oder das Problem sitzt vor dem PC. Vielleicht kann mir hier jemand helfen.

Ich versuche einen Server-Dienst an meinem Swisscom Endkunden-Anschluss über IPv6 zur Verfügung zu stellen.

IPv6 wird bei mir über einen 6rd Tunnel der auf einer internen Firewall terminiert zur Verfügung gestellt, aber das dürfte vermutlich nicht das Problem sein.

Leider schaffe ich es nicht eine TCP oder UDP Verbindung auff meinen Server über IPv6 herzustellen wenn die Quell-Adresse ebenfalls ein Swisscom Endkunden-Anschluss (über 6rd auf der Internet Box) ist. Wenn ich aber auf den gleichen Server von einer externen Adresse (Cloud-Server) zugreife funktioniert das prima.

Also um etwas deutlciher zu werden:

• Funktioniert: Public Cloud IPv6 Server (2a01:4f8:1c1c...) --> Swisscom 6rd Anschluss (2a02:120b:2c1c...)
• Funktioniert NICHT:  Swissscom 6rd Anschluss (2a02:1205:c6b0...) --> Swisscom 6rd Anschluss (2a02:120b:2c1c...)

Weiss jemand ob es hier einen P2P Filter gibt und IPv6 Connections zwischen mehreren Endkundenanschlüssen aktiv blockiert werden?

Als Fehlerursache auschliessen kann ich:

• Firewall im CPE (client + server) da es auch mit ausgeschalteter Firewall nicht funktioniert
• Firewall auf dem Server (Verbindung vom Cloud-Server zur IP hinter dem CPE funktioniert)

Ebenfalls sehe ich bei einem Verbindungsversuch zwischen zwei Endkundenanschlüssen überhaupt gar keine Pakete über den 6rd Tunnel rein kommen. Die Pakete scheinen also irgendwo im Netz dropped zu werden. Falls das Absicht ist verstehe ich den Hintergrund nicht ganz. Die Firewall in den CPEs soll ja eingehende Verbindungen filtern aber nicht ausgehende und bei meinem Server ist die CPE-Firewall irrelevant da der 6rd Tunnel auf der internen Firewall terminiert. Ausserdem wäre das Verhalten zumindest inkonsistent mit IPv4 da hier P2P IP Verbindungen zwischen CPEs im Swisscom Netz nicht per se blockiert werden.

Faktisch stehe ich aktuell mit einem IPv6 Server-Dienst da der von überall her erreicht werden kann ausser von Swisscom Endkunden-Anschlüssen.

• Hat jemand ähnliche Erfahrungen gemacht?
• Ist das Absicht oder ein Fehler?
• Gibt es eine Möglichkeit dies freizuschalten?

[user109]

@Tux0ne  kannst Du da weiterhelfen ?

[ChristianEb]

@SkyBeam , coole frage, frage was für eine Subnetmask verwendest Du?

[Tux0ne]

Ich habe gerade auf den Kalender geschaut und frage. Wieso ist das noch nicht native 😉?

(Prefix length, Subnet Id ~ Subnetmask)

[ChristianEb]

ach Du weider @Tux0ne das war doch nicht die frage 🙂 

[SkyBeam]

Prefix: /64

6rd: flags=193<UP,RUNNING,NOARP>  mtu 1472
        inet6 2a02:120b:2c1c:6a91::1  prefixlen 64  scopeid 0x0<global>
        inet6 ::192.168.1.3  prefixlen 96  scopeid 0x80<compat,global>
        sit  txqueuelen 1000  (IPv6-in-IPv4)
        RX packets 16699678  bytes 17452926064 (16.2 GiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 7253951  bytes 1128282210 (1.0 GiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lan0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet6 fdea:5b48:d4c1:1:1::5  prefixlen 64  scopeid 0x0<global>
        inet6 2a02:120b:2c1c:6a92::1  prefixlen 64  scopeid 0x0<global>
        inet6 fdea:5b48:d4c1:1:1::6  prefixlen 64  scopeid 0x0<global>
        inet6 fe80::21f:d0ff:fe59:1baf  prefixlen 64  scopeid 0x20<link>
        ether 00:1f:d0:59:1b:af  txqueuelen 1000  (Ethernet)
        RX packets 495542722  bytes 282387686883 (262.9 GiB)
        RX errors 0  dropped 12071  overruns 0  frame 0
        TX packets 967629987  bytes 1180832587964 (1.0 TiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

[ChristianEb]

@SkyBeam zwei-drei Dinge sind mir noch nicht ganz klar, entschuldige das ich hierzu nachfrage.

auf der wan seite erhälst Du hier "nur"dieses /64, wer vergibt dir dieses? 

die weitere frage, Du schreibst du erreichst nur AS3303 intern nicht, das andere geht, wie sieht der traceroute da aus?

ist der letzte hop der sichtbar ist 2001:4D98:A000::3F ?

die Pathmtudiscovery läuft die?

vermute ich richtig das dieses setup auf einer PF beruht?

gruss und Dank

chris

[SkyBeam · Accepted solution]

Nachfragen sind natürlich erwünscht. Ich möchte dem Problem ja auf den Grund gehen..

Das Setup läuft bei mir auf einem Gentoo Linux. Die 6rd Schnittstelle wird durch ein Init-Skript konfiguriert. Das Skript gibt es hier. Ist also kein PF. Der Prefix wird aus dem errechneten /60 Prefix von 6rd errechnet. Das *:xxx0::/64 Netz wird üblicherweise vom CPE verwendet die restlichen 15 Subnetze werden vom CPE nicht belegt und das 64rd Skript verwendet das erste auf dem 6rd Interface und ich verwende die anderen /64 Subnetze für interne Interfaces.

Path MTU Discovery läuft. Lustigerweise gab's zu MTU Problemen bei Swisscom auch schon einen Thread. Das Problem ist bei Swisscom scheinbar auch jetzt noch nicht endgültig behoben.

Bei AS3303 bin ich überfragt. Traceroute kann ich aber liefern.

Allerdings habe ich beim Test heute festgestellt, dass die Verbindung wohl wundersamerweise funktioniert. Geändert habe ich aber definitiv auf keiner Seite etwas. Ich habe das Problem auch schon seit gut einem Jahr (und bin ihm nie auf den Grund gegangen). Da ich gerne VPN Verbindungen über IPv6 aufgebaut hätte ging das nie wenn ich diese von einem anderen Swisscom Anschluss aus aufbauen wollte. Kurz nachdem ich diesen Thread hier gestartet habe geht es wundersamerweise.

Ich kann mir das aktuell nur erklären, dass bereits irgend eine Konfiguration im Netz geändert wurde.

Traceroute von meinem Router aus zu swisscom.ch:

traceroute6 2a02:a90:c400:4001::2 -I
traceroute to 2a02:a90:c400:4001::2 (2a02:a90:c400:4001::2), 30 hops max, 80 byte packets
 1  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch (2001:4d98:bffd:1d::2)  20.164 ms  20.004 ms  20.173 ms
 2  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch (2001:4d98:bffd:1d::2)  20.144 ms  20.210 ms  20.185 ms
 3  be10-v6.i79zhb-005.bb.ip-plus.bluewin.ch (2001:4d98:bffd:17::3)  6.145 ms  6.118 ms  6.090 ms
 4  zhh-015-lo0-0.ip6.ip-plus.net (2001:918:100:36::1)  5.859 ms  6.111 ms  6.082 ms
 5  2001:918:ce::47 (2001:918:ce::47)  7.431 ms  7.651 ms  7.823 ms
 6  2a02:a90:4024:fff:8000::15 (2a02:a90:4024:fff:8000::15)  8.096 ms  7.480 ms  7.415 ms
 7  * * *
timeout

Traceroute von meinem Router aus zu mieinem Cloud Server:

traceroute6 2a01:4f8:1c1c:6ed6:1::1 -I
traceroute to 2a01:4f8:1c1c:6ed6:1::1 (2a01:4f8:1c1c:6ed6:1::1), 30 hops max, 80 byte packets
 1  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch (2001:4d98:bffd:1d::2)  3.707 ms  3.629 ms  3.766 ms
 2  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch (2001:4d98:bffd:1d::2)  3.755 ms  3.746 ms  3.736 ms
 3  ae11-v6.i79zhh-005.bb.ip-plus.bluewin.ch (2001:4d98:bffd:18::3)  7.599 ms  7.587 ms  7.621 ms
 4  2001:918:100:67::1 (2001:918:100:67::1)  6.773 ms  6.763 ms  7.487 ms
 5  2001:918:100:49::1 (2001:918:100:49::1)  7.427 ms  7.466 ms  7.502 ms
 6  i62bsw-015-loo179.ip6.ip-plus.net (2001:918:100:2::1)  13.948 ms  9.352 ms  9.278 ms
 7  ffm-005-lo0-0.ip6.ip-plus.net (2001:918:100:12::1)  10.415 ms  10.383 ms  10.372 ms
 8  2001:4d98:a000::123 (2001:4d98:a000::123)  10.644 ms  11.204 ms  11.131 ms
 9  if-ae-29-2.tcore2.fnm-frankfurt.ipv6.as6453.net (2a01:3e0:ff00::35)  11.419 ms  11.205 ms  11.133 ms
10  if-ae-59-2.tcore1.fr0-frankfurt.ipv6.as6453.net (2a01:3e0:ff00:2000::57)  11.503 ms  11.492 ms  11.481 ms
11  * * *
12  2a01:3e0:ff20:410::a (2a01:3e0:ff20:410::a)  18.749 ms  18.736 ms  18.720 ms
13  core11.nbg1.hetzner.com (2a01:4f8:0:3::1e)  14.023 ms  14.012 ms  14.003 ms
14  spine11.cloud1.nbg1.hetzner.com (2a01:4f8:0:e0c0::a1fa)  14.623 ms  14.613 ms  14.442 ms
15  spine3.cloud1.nbg1.hetzner.com (2a01:4f8:0:e0c0::a1ea)  15.295 ms  15.284 ms  15.273 ms
16  * * *
17  2a01:4f8:0:e0c0::452b (2a01:4f8:0:e0c0::452b)  13.912 ms  13.537 ms  13.501 ms
18  mail.skybeam.ch (2a01:4f8:1c1c:6ed6:1::1)  14.319 ms  14.089 ms  14.053 ms

Jetzt zur Client-Seite... Der Host am CPE (Windows Server) bekommt bei aktivierung von IPv6 in der Internet Box 2 die temporare IPv6 Adresse "2a02:1205:c6b0:a3e0:5072:6059:7cd4:bc96"

Traceroute von diesem Host aus nach swisscom.ch:

>tracert -6 www.swisscom.ch

Routenverfolgung zu www-swisscom-ch.hdb-cs04.ellb.ch [2a02:a90:c400:5001::2]
über maximal 30 Hops:

  1     1 ms    <1 ms    <1 ms  dynamic.wline.6rd.res.cust.swisscom.ch [2a02:1205:c6b0:a3e0:1e24:cdff:fe47:4d80]
  2     5 ms     5 ms     4 ms  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch [2001:4d98:bffd:1d::2]
  3     4 ms     4 ms     8 ms  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch [2001:4d98:bffd:1d::2]
  4     3 ms     7 ms    11 ms  be10-v6.i79zhb-005.bb.ip-plus.bluewin.ch [2001:4d98:bffd:17::3]
  5     4 ms     4 ms     4 ms  zhh-015-lo0-0.ip6.ip-plus.net [2001:918:100:36::1]
  6     5 ms     4 ms     5 ms  2001:918:ce::47
  7     6 ms     5 ms     5 ms  2a02:a90:4028:fff::14
  8     7 ms     6 ms     7 ms  2a02:a90:4028:fff::15
  9     *        *        *     Zeitüberschreitung der Anforderung.
 10     *        *        *     Zeitüberschreitung der Anforderung.
 11     *        *        *     Zeitüberschreitung der Anforderung.
 12     *        *        *     Zeitüberschreitung der Anforderung.
 13     *        *        *     Zeitüberschreitung der Anforderung.
...

Tests von diesem Host aus. Windows traceroute zum Cloud Server:

>tracert -6 2a01:4f8:1c1c:6ed6:1::1

Routenverfolgung zu mail.skybeam.ch [2a01:4f8:1c1c:6ed6:1::1]
über maximal 30 Hops:

  1     1 ms    <1 ms    <1 ms  dynamic.wline.6rd.res.cust.swisscom.ch [2a02:1205:c6b0:a3e0:1e24:cdff:fe47:4d80]
  2     5 ms     5 ms     6 ms  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch [2001:4d98:bffd:1d::2]
  3     4 ms     6 ms     4 ms  ae60-60.ipc-zhb790-m-pe-48.bluewin.ch [2001:4d98:bffd:1d::2]
  4     4 ms     8 ms     3 ms  be10-v6.i79zhb-005.bb.ip-plus.bluewin.ch [2001:4d98:bffd:17::3]
  5     6 ms     6 ms     5 ms  i73aar-005-loo179.bb.ip-plus.net [2001:918:100:54::1]
  6     6 ms     6 ms     6 ms  i62bsw-015-loo179.ip6.ip-plus.net [2001:918:100:2::1]
  7    10 ms    11 ms    10 ms  ffm-005-lo0-0.ip6.ip-plus.net [2001:918:100:12::1]
  8     9 ms    13 ms    10 ms  2001:4d98:a000::123
  9    11 ms     9 ms     9 ms  if-ae-12-2.tcore2.fnm-frankfurt.ipv6.as6453.net [2a01:3e0:ff00:2000::1]
 10    10 ms    12 ms    10 ms  if-ae-59-2.tcore1.fr0-frankfurt.ipv6.as6453.net [2a01:3e0:ff00:2000::57]
 11     *        *        *     Zeitüberschreitung der Anforderung.
 12    20 ms    12 ms    19 ms  2a01:3e0:ff20:410::a
 13    21 ms    13 ms    12 ms  core11.nbg1.hetzner.com [2a01:4f8:0:3::1e]
 14    12 ms    12 ms    13 ms  spine12.cloud1.nbg1.hetzner.com [2a01:4f8:0:e0c0::a1e2]
 15    15 ms    12 ms    16 ms  spine4.cloud1.nbg1.hetzner.com [2a01:4f8:0:e0c0::a1f6]
 16     *        *        *     Zeitüberschreitung der Anforderung.
 17    13 ms    12 ms    12 ms  2a01:4f8:0:e0c0::452b
 18    13 ms    13 ms    12 ms  mail.skybeam.ch [2a01:4f8:1c1c:6ed6:1::1]

Ablaufverfolgung beendet.

Traceroute von diesem Windows Host zu meinem Router:

C:\Windows\system32>tracert -6 2a02:120b:2c1c:6a91::1

Routenverfolgung zu dynamic.wline.6rd.res.cust.swisscom.ch [2a02:120b:2c1c:6a91::1]
über maximal 30 Hops:

  1     2 ms    <1 ms    <1 ms  dynamic.wline.6rd.res.cust.swisscom.ch [2a02:1205:c6b0:a3e0:1e24:cdff:fe47:4d80]
  2     6 ms     5 ms     6 ms  dynamic.wline.6rd.res.cust.swisscom.ch [2a02:120b:2c1c:6a91::1]

Ablaufverfolgung beendet.

Und siehe da: Heute funktioniert das.

Ein kurzer Test mit einem kleinen Server bestätigt das:

nc -l6vn -p 80 -s 2a02:120b:2c1c:6a91::1
listening on [2a02:120b:2c1c:6a91::1] 80 ...
connect to [d4:bc96] from (UNKNOWN) [2a02:1205:c6b0:a3e0:5072:6059:7cd4:bc96] 61765
test

Aber es ist ja nicht so als hätte ich nicht genau das schon x Mal getestet (mit negativem Resultat). Also entweder sehe ich Gespenster oder es wurde bereits etwas geändert.

Naja, jetzt steh' ich halt blöd da. Das Problem kann ich gerade nicht mehr reproduzieren. Ich werde es aber mal weiter beobachten.

Merci an alle die sich beteiligt haben.

[ChristianEb]

@SkyBeam freut mich zu lesen das Dein Setup nun funktioniert.

Obwohl mir in den letzten Tagen nichts bekannt wäre das in diesem setup geändert hätte.... (seitens Netz)

lass mich wissen wens nicht mehr will....

Gruss

Chris

[SkyBeam]

Vielen Dank an alle. Ich werde es mal weiter beobachten und markiere den Thread hier mal als gelöst.