firewall? ipv6?

[stockh0lm]

moin!
ich benutze meine fritzboxfon (firmware 06.04.33) sowohl als dsl modem als auch als VoIP Endpunkt.

Weil ich über den eingebauten firewall der fritzbox nichts weiss UND weil ich von meinem provider (titan networks) ein IPv6 (und ipv4) netzwerk geroutet bekomme hatte ich bisher aber noch einen openwrt router dahinter geschaltet der seine eigene PPPoE-Verbindung durch die FritzBoxFon aufgebaut hat.

Jetzt meine Fragen:
Was für ein firewall hat die Fritzbox? Welche regeln sind aktiv? Wie kann ich die ändern?

Gibt es eine Möglichkeit meine IPv6 pakete direkt zu einem rechner routen zu lassen der damit umgehen kann? Oder wie kann ich die FritzBoxFon upgraden um auch IPv6 routen und filtern zu können? da hätte ich ja gerne einen aktuellen 2.6er kernel.

Ich würde gerne meine FritzBoxFon mit Munin (SNMP) überwachen. wie kann ich einen snmpd installieren? passt das alles in die firmware?

ich würde auch gerne ohne modifikationen der firmware auskommen, neuer kernel etc sind optional, wenn der rest einfach und zuverlässig funktioniert.

 

[ThSteffens]

Gibt es eine Möglichkeit meine IPv6 pakete direkt zu einem rechner routen zu lassen der damit umgehen kann?

Dazu muss man nichts tun. Bei mir funktioniert es.

da hätte ich ja gerne einen aktuellen 2.6er kernel

Hast du doch schon. Seit Version 30 ist es ein 2.6er Kernel.

Firewall und Portweiterleitungen:
"reject ip any 242.0.0.0 255.0.0.0",
"deny ip any host 255.255.255.255",
"reject ip any 10.0.0.0 255.0.0.0",
"reject ip any 169.254.0.0 255.255.0.0",
"reject udp any any eq 135",
"reject tcp any any eq 135",
"reject udp any any range 137 139",
"reject tcp any any range 137 139",
"reject udp any any range 161 162",
"reject udp any any eq 520",
"reject udp any any eq 111",
"reject udp any any eq 22289",
"reject udp any any eq 1710",
"reject udp any any eq 1048",
"reject udp any any eq 158",
"reject udp any any eq 515",
"reject icmp any 149.1.1.0 255.255.255.0",
"reject tcp any host 202.106.185.127 eq 25";

voip_forwardrules = "udp 0.0.0.0:5060 0.0.0.0:5060",
"tcp 0.0.0.0:5060 0.0.0.0:5060",
"udp 0.0.0.0:7078+32 0.0.0.0:7078";

tr069_forwardrules = "tcp 0.0.0.0:8089 0.0.0.0:8089";

forwardrules = "tcp 0.0.0.0:0 0.0.0.0:0 1 out",
"udp 0.0.0.0:0 0.0.0.0:0 1 out",
"udp 0.0.0.0:5060 0.0.0.0:5060";

Durch editieren der ar7.cfg lassen sich die Regeln anpassen.

 

[stockh0lm]

Dazu muss man nichts tun. Bei mir funktioniert es.

den rdr daemonen hast du dann auf deiner anderen kiste laufen nehme ich an?

kann ich der kiste auch das NATen des IPv4 subnets abgewöhnen (aber für andere subnets weiter NATen lassen)?

Durch editieren der ar7.cfg lassen sich die Regeln anpassen.

ich bin mir tatsächlich nicht sicher ob das in dieser form so aufgebohrt werden kann dass ich mich dahinter sicher fühle. da ist ja kein connection tracking oder so aktiv, gell?

 

[ThSteffens]

Ichhabe nichts besonderes installiert. Auf dem anderen Rechner läuft einfach Windows Vista SP1. Dort ist IPv6 als Protokoll drauf und funktioniert ohne etwas zu konfigurieren.

 

[stockh0lm]

Ichhabe nichts besonderes installiert. Auf dem anderen Rechner läuft einfach Windows Vista SP1. Dort ist IPv6 als Protokoll drauf und funktioniert ohne etwas zu konfigurieren.

was heisst denn dann "funktionieren"? kommt du ohne IPv4 ins netz, auf die speziellend ipv6 seiten? kannst du mit tools wie ping6 oder traceroute6 (gibts die nich auch unter windows?) ipv6 hosts erreichen?

generell ist nämlich bei vista ipv6 aktiviert und eine lokale ipv6 addresse wird immer angezeigt. hast du noch mehr ipv6 addressen (fürs lokale netzwerk) definiert für dein netzwerk interface?

 

[ThSteffens]

Lokal habe ich nur einen IPv6-PC.

Der Ping-Befehl funktioniert:

C:\Users\Thomas>ping -6 [2001:4860:0:2001::68]

Ping wird ausgeführt für 2001:4860:0:2001::68 von 2001:0:d5c7:a2ca:206a:404:b031:a17b mit 32 Bytes Daten:
Antwort von 2001:4860:0:2001::68: Zeit=440ms
Antwort von 2001:4860:0:2001::68: Zeit=170ms
Antwort von 2001:4860:0:2001::68: Zeit=171ms
Antwort von 2001:4860:0:2001::68: Zeit=170ms

Ping-Statistik für 2001:4860:0:2001::68:
    Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust),
Ca. Zeitangaben in Millisek.:
    Minimum = 170ms, Maximum = 440ms, Mittelwert = 237ms

Traceroute ebenfalls:

C:\Users\Thomas>tracert -6 [2001:4860:0:2001::68]

Routenverfolgung zu 2001:4860:0:2001::68 über maximal 30 Abschnitte

  1   342 ms    67 ms    68 ms  miredo.teleport-iabg.de [2001:1b10:100:3::1:3544]
  2    69 ms    69 ms    69 ms  backbone1-gige-0-3-15.teleport-iabg.de [2001:1b10:100:3::11]
  3    70 ms    69 ms    69 ms  mchn-s1-rou-1030.DE.eurorings.net [2001:680:0:800f::a]
  4    85 ms    87 ms    87 ms  asd-s4-rou-1030.eurorings.net [2001:680::134:222:86:49]
  5    87 ms    86 ms    87 ms  pr61.ams04.net.google.com [2001:7f8:1::a501:5169:1]
  6     *        *        *     Zeitüberschreitung der Anforderung.
  7   169 ms   170 ms   169 ms  2001:4860:0:2001::68

Ablaufverfolgung beendet.

Zufrieden?

 

[layer-acht]

Hallo, habe auch das Problem, das ich per IPv6 von Extern nicht Erreichbar bin.
@ThSteffens: teste eine externe erreichbarkeit mal von Extern. Denn von Intern geht es hier
auch ohne Probleme:
http://www.subnetonline.com/pages/ipv6-network-tools/online-ipv6-ping.php


Mittlerweile bin ich echt am Verzeifeln. Habe hier 3 Server stehen, welche ich gern permanent per IPv6 mit eigener Adresse vollkommen erreichbar machen will. Aber irgendwas hat die FB 7390 dagegen.
Jetzt schon mit freetz und Dnsmasq sowie radvd rumgespielt. IPs werden auch brav verteilt, bin
von hier zu einem Server geht auch. Aber eben Extern nicht.

Beim Einsatz von IPv6 bietet die FRITZ!Box eine komplett geschlossene Firewall gegenüber unangeforderten Daten aus dem Internet. Ihre Computer sind somit genauso sicher vor Angriffen aus dem Internet geschützt, wie bei herkömmlichen IPv4-Internetverbindungen über die FRITZ!Box.
Mit der aktuellen IPv6-Labor-Firmware ist es auch noch nicht möglich, Freigaben für eingehende IPv6-Internetanfragen einzurichten, um Dienste oder Anwendungen im FRITZ!Box-Netzwerk über das neue Protokoll aus dem Internet erreichbar zu machen.

http://www.avm.de/de/Service/FAQs/FAQ_Sammlung/15670.php3

Irgendjemand eine Idee? Notfalls hätte ich noch einen weiteren Rechner hier, mit dem ich das regeln könnte. Aber das muss doch mit der "FreetzBox" gehen, oder?