TP-Link Router Archer C7

[fansari]

Da es mit der "Routerfreiheit" nicht so einfach ist (welcher Router macht schon EuroPacketCable 1.5 ) habe ich nun mal versucht meinen Archer C7 (auch AC1750 genannt) von TP-Link aus dem Schrank zu kramen um wenigstens mal einen WLAN Router vor die Kabelbox zu schalten.

Im ersten Anlauf hat es nicht gleich geklappt - deswegen hier nochmal die Schritte im Einzelnen.

• Einen LAN Anschluss der Kabelbox (in meinem Fall die CH7485E) mit dem WAN Anschluss des Routers verbinden. Festverdrahtete Geräte dann an die LAN Anschlüsse des TP-Link Routers anschließen.

• Die Kabelbox durch Anruf bei der Hotline in den Bridge Mode schalten lassen. Damit werden WLAN und Routerfunktionen ausgeschaltet und man kann einen eigenen WLAN Router dahinter schalten. Man kann danach auch nicht mehr auf die Weboberfläche der Kabelbox zugreifen. Keine Panik: das Ganze lässt sich durch einen erneuten Anruf wieder rückgängig machen. Dabei bleiben alle Einstellungen der Kabelbox erhalten.

• Unter "Network -> LAN" die IP Adresse der Einfachheit halber so einstellen wie vorher die Kabelbox eingestellt war. Dann müssen die Geräte nicht umkonfiguriert werden, falls mit statischen Adressen gearbeitet wird.

• Unter "Network -> WAN" in der Weboberfläche des TP-Link Routers "Dynamic IP" auswählen. Falls es nicht gleich klappt die Buttons "Release" und anschließend "Renew" drücken. Irgendwann sollte dann eine dynamische IP zugewiesen werden.

• Unter "IPv6 Setup" das Feld "Enable IPv6" anklicken. Dann den Button "Get IPv6 prefix delegation" anklicken. Bei DNS entweder die Telecolumbus DNS Server drin lassen oder z.B. die Google DNS Server 2001:4860:4860::8888 und 2001:4860:4860::8844 eintragen.

• IPv4 werden die meisten ja vermutlich eh irgendein privates 192.168.00.00/24 Netz statisch zuweisen, sodass hier keine besondere Prüfung notwendig ist. Es muss halt nur mit dem Netz des Routers übereinstimmen.

• Das Netzwerkinterface für IPv6 auf '"auto" konfigurieren. Dann prüfen ob eine IPv6 Adresse zugewiesen wurde.Für IPv6 sollte die Link-local Adresse, die man jetzt im LAN Bereich des IPv6 Status sieht als Default Gateway gesetzt werden (das sollte automatisch passieren, wenn IPv6 auf dem PC auf "auto" steht). Falls es nicht gleich klappt im WAN Setup von "IPv6 Support" nochmal "Release" und "Renew" drücken.

• Zum Testen am besten erstmal ping nehmen, dann kann ein eventuelles DNS Probelm nicht dazwischen funken. Also für IPv4 "ping 8.8.8.8" und für IPv6 "ping6 2001:4860:4860::8888". Wenn da Antworten kommen ist grundsätzlich alles in Ordnung.

• Dann prüfen ob die Namesauflösungen mit DNS gehen. Also Browser aufmachen und schauen ob Surfen klappt.

So - vielleicht hilft das jemandem. Vielleicht ist es auch eh jedem klar. Das ist dann also die Schmalspurausgabe der "Routerfreiheit".

Eine Schattenseite habe ich dann doch noch festgestellt: beim Neutstart des Routers (den habe ich nicht im Dauerbetrieb) wechselt der IPv6 Präfix quasi ständig. Im "Normalbetrieb" hatte ich über Monate den gleichen Präfix. Für Firewall und DNS Einträge im privaten Netz ein absolutes No-Go. Für mich bestand die Lösung in der Verwendung von ULA Adressen (unique loacl address).

Der Haken an der Sache ist aber, dass das nur im eigenen LAN funktioniert. ULA Adressen werden nicht im Internet geroutet. Was das Thema Firewall betrifft ist das echt unpraktisch. Als Kompromiss könnte man für einen Server im Internet einen /56 Bereich freigeben. Was allerdings bedeuten würde, dass auch andere Telecolumbus Kunden vor geöffneten Türen ständen. Wobei ich aber nicht genau weiß wie Telecolumbus die Adressen zuweist. Möglicherweise hat auch jeder Kunde seinen /56 Bereich aus dem dann dynamisch ein /64 Präfix ausgewählt wird, aber das ist nur geraten und ich weiß nicht ob das so ist. Was ich nur sagen kann, ist dass alle Präfixe die mir bisher zugewiesen wurden aus demselben /56er Bereich stammen.

[oschn]

Dass es mit wechselnden Präfixen immer wieder Probleme gibt, ist aber die Schuld der Routerhersteller. Die haben bei den Konfigurationsmöglichkeiten nicht daran gedacht, dass es dynamische Präfixe geben könnte. Daher sind alle Funktionen auf statische Präfixe ausgelegt. Ich hoffe, die Routerhersteller kapieren das bald mal und bringen endlich vernünftige Software auf ihre Geräte, die auch wirklich IPv6-tauglich ist.

[fansari]

Die Antwort verstehe ich nicht. Die Tatsache, dass Telecolumbus keine statischen Präfixe vergibt (oder dem Kunden zumindest die Wahl überlässt ob er aus Gründen der Privatsphäre einen dynamischen Präfix möchte oder halt einen statischen) ist doch das Problem - nicht der Router. Der Router hat mit dynamischen Präfixen gar kein Problem - dem ist das doch egal. Wenn du auf einem Server, der im Internet steht eine Firewallregel schreiben willst, die nur dich rein lässt - wie willst du das machen wenn du als Source IP mit dynamischem Präfix daher kommst?

Schuld sind nicht die Routerhersteller, sondern Anbieter wie Telecolumbus, die nicht damit rechnen, dass es auch Kunden gibt, die im Internet auch was anderes machen außer Surfen und Netflix gucken. Und dass man nicht wenigstens ein /56er Netz bekommt finde ich schon dreist. Damit könnte man 256 Präfixe routen, was den meisten Leuten reichen und vermutlich Telecolumbus auch nicht in den Ruin treiben würde - die haben schließlich ein /29 Netz. Na gut, zum Surfen und Netflix gucken reicht ein Präfix - verstanden. Wie gesagt, bei SixXS hatte ich ein /48 Netz - und das kostenlos.

[oschn]

Ah, ok, jetzt verstehe ich. Es geht dir darum, auf einem externen Server eine Firewall-Regel zu erstellen.

Nungut, das ist aber kein IPv6-Problem. Bei IPv4 hattest du meistens auch dynamische Adressen. Da musstest du doch auch die Firewall-Regel anpassen. Jetzt hast du halt statt der dynamischen IPv4 ein dynamisches IPv6-Präfix. Vom Prinzip ändert sich nicht groß etwas. Für eine feste IPv4 wurde in der Regel ein Aufpreis verlangt. Das gleiche könnte man dann auch bei einem festen IPv6-Präfix erwarten.

Hingegen bei einer lokalen Firewall-Regel gibt es schon Probleme. Denn die Oberfläche des Routers verlangt in der Regel, dass man die komplette Adresse des Rechners im Netzwerk, samt Präfix angibt. Da dies nun aber oftmals dynamisch ist, trifft die Regel bei einem Präfix-Wechsel nicht mehr zu. Der Heimrouter sollte aber von seiner Software so programmiert sein, dass man z.B. das Präfix in einer lokalen Firewall-Regel gar nicht angeben muss, und er dies selber erkennt. Aber da sind die Hersteller noch nicht so weit. Bei einem dynamischen 56er-Präfix wird es natürlich dann sehr kompliziert, da man nun den Subnet-Teil des Präfix angeben müsste, dieser sich aber jeweils ändern kann. Da könnte man dann sagen, _zum Glück_ gibt es bei TC momentan nur 64er Präfixe.

[fansari]

Dass man für eine statische IPv4 meistens was bezahlen musste liegt daran, dass solche Adressen eben knapp sind. IPv6 /64er Präfixe gibt es soviele wie die Anzahl der IPv4 Adressen zum Quadrat. Dass man dafür etwas bezahlen soll ist wirklich nicht mehr einsichtig.

Von meinem WLAN Router erwarte ich gar nicht, dass er eine IPv6 Firewall enthält. Soweit ist das Ganze noch nicht. In allen Heimroutern die mir bekannt sind ist die Firewall eine NAT Firewall für IPv4. Die Kabelbox von Telecolumbus hat zwar etwas das so aussieht wie eine IPv6 Firewall - aber wie bereits an anderer Stelle von mir beschrieben funktioniert das nicht. Schaltest du sie ein ist IPv6 sowohl rein- als auch raus gesperrt. Auf gut Deutsch: sie ist nicht benutzbar.

Die Firewall meines TP-Link Routers habe ich gerade nochmal getestet: für IPv6 ist die offen wie ein Scheunentor obwohl alles aktiviert ist. So ein IPv6 fähiger Router ist eigentlich noch immer noch ein Gerät, das für IPv4 gedacht ist und eine rudimentäre IPv6 Unterstützung hat. Man kann z.B. statische Routen definieren: aber versuch mal eine Route für IPv6 zu definieren...

Meinen PC sichere ich mit firewalld (iptables, ip6tables) ab. Handys usw. lassen eh nichts durch.

Den 56/er Präfix stelle ich mir so vor, dass Telecolumbus dieses Netz zu mir routet und ich dann einen beliebigen /64er Präfix konfigurieren kann. Ein Anwendungsszenario wäre z.B. ein eigener Präfix für eine Bridge für KVM VMs oder LXC Containern.

[oschn]

Ja, ok, klar, die Kosten lagen an der Knappheit. Zumindest anfangs. Denn seit Breitband gibt es ja eigentlich nur noch Always-On. D.h. man blockiert sowieso dauernd eine IP. Damit wurde das dann ein netter Zusatzgewinn für die Anbieter.

Es wurden dann ja auch Vorteile einer dynamischen IP klar: man ist nicht so leicht identifizierbar. Und das ist etwas, warum dynamische IPv6-Präfixe von vielen sogar begrüßt werden.

[fansari]

Seit ein paar Tagen hat sich der Präfix irgendwie stabilisiert. Trotz "Release" und "Renew" sowie neu starten des PCs, des WLAN Routers und der Kabelbox lande ich immer beim gleichen Präfix. Für mich ist das eher ein Vor- als ein Nachteil. Denn nun kann ich die Firewall externer Systeme auf genau einen Präfix konfigurieren. Alle anderen müssen leider draußen bleiben.

[oschn]

Warte mal 2 Wochen (14 Tage). So lange ist der Lease nämlich immer gültig, und so lange bekommst du anscheinend immer das gleiche Präfix (außer vielleicht, du startest die Box komplett neu).

[fansari]

Es lief in der Tat nicht gut. Zunächst einmal wechselte der Präfix fast täglich und dann musste ich auch noch jedesmal einen Release und Renew der Präfixdelegation in der Router GUI machen, damit es lief.

Daher habe ich mir mal einen vernünftigen Router gekauft: den Turris Omnia. Den habe ich jetzt schon ein halbes Jahr und bin damit absolut zufrieden. Alles läuft einwandfrei. Keine IPv6 Probleme mehr. Und: über den gesamten Zeitraum kein einziger Präfixwechsel.

Fazit: ein ordentlicher Router und es läuft.