Port Forwarding hinter Primacom Kabelmodem

[PeterPawn]

@Thanatos385:
Deine Konfiguration verstehe ich nicht richtig. Nach dem, was ich auch Deinen Angaben oben schließen würde, hängst Du direkt mit Deinem Windows-PC hinter dem Modem oder irgendeinem anderen Router, das wäre dann zumindest schon mal etwas vollkommen anderes als das Thema dieses Threads.

An einem DS-Lite-Anschluß kann Windows nicht selbst der DHCP-Client für Adressen aus dem Providernetz sein, da der Windows-Stack (soweit ich weiß, das muß nicht zwangsläufig stimmen) kein DS-Lite beherrscht. Dabei geht es ja nicht einfach darum, die Daten an die zugewiesene IPv4-Adresse zu schicken und dann kommen die schon irgendwann aus dem CGN beim Provider raus ... der Transport der IPv4-Pakete muß bis zum DS-Lite-Gateway (AFTR-Server) beim Provider in IPv6 gekapselt erfolgen. Ich verstehe also nicht so richtig, woher Dein Windows die 192.168.0.11 bezogen hat (und die 192.168.0.1 als Gateway, das wäre dann wohl doch wieder ein Router).

Fakt ist mal, daß da beim Senden von Dateien per FTP mit passivem Modus seitens des Servers mit einer Meldung zu IP-Adresse und -Port für die Datenübertragung geantwortet werden muß und dann sollte eigentlich Dein PC seinerseits genau zu dieser Adresse eine ausgehende Verbindung aufbauen. Das ist ja genau der Witz beim passiven FTP, daß der Server immer passiv ist und seinerseits keine eigenen Verbindungen startet (die ohnehin an einer Firewall beim Client scheitern würden).

Wenn das also tatsächlich ein DS-Lite-Anschluß ist, dann ist der Router (vielleicht läßt Du uns ja bezüglich der eingesetzten Geräte doch nicht vollkommen im Dunklen stehen?) dafür verantwortlich, daß eine Umsetzung der Daten an entfernte IPv4-Adressen in IPv6-Pakete erfolgt und diese an den AFTR-Server gesendet werden. Der nimmt dann diese Pakete und schickt sie - mit seiner öffentlichen IPv4 als Absender - an das Ziel und leitet die eintreffenden Antworten wieder an Deinen Anschluß zurück. Es mag irgendwie sogar sein, daß da bei Primacom im Netz etwas schief läuft ... aber dann sollten die Dir auch sagen können, was.

Wenn Dein Router kein DS-Lite kann, ist er das falsche Modell oder Du brauchst eben eine öffentliche IPv4-Adresse. Die statische würde ich keinesfalls bezahlen, die haben doch den Schuß nicht gehört. Ist das nicht der Thread, wo es von Anfang an um den Umzug zu Primacom nach Zukauf ging und der Kunde auch nur verarscht wurde? Mach' Druck beim Provider, ein Anschluß ohne FTP-Möglichkeit (wenn es nicht tatsächlich nur ein Konfigurationsproblem bei Dir ist) ist kein vollwertiger Anschluß und FTP kein "nice to have"-Protokoll (mit etwas Pech kriegst Du nicht mal Signaturupdates für eine Security-Suite).

Was ich nicht begreife:

Habe schon mehrere FTP Clients ausprobiert überall das selbe Problem.

Und die hattest Du alle auf der Platte oder hast sie Dir alle per HTTP-Download besorgen können? Es ist schon ein gewaltiger Unterschied, ob FTP-Verbindungen generell fehlschlagen (viele benutzen bei Downloads FTP und merken es gar nicht) oder ob es nur bestimmte Probleme gibt. Auch dann wäre es besser, erst einmal gegen einen eigenen zugänglichen Server zu testen und zu prüfen, welche Pakete falsch oder gar nicht ankommen, als wild auf der Client-Seite zu rudern. Und die Aktivierung von IPv6 bringt Dir sicherlich nicht so sehr viel, solange die Gegenstelle kein IPv6 beim FTP-Server anbietet.

EDIT: Wenn Du mehrere Server im Zugriff hast, wird Dir ja sicherlich mal einer der Admins da unter die Arme greifen können mit einem Packet-Dump. Es muß ja eine Ursache haben, wenn das nicht funktioniert ... die sollte man zuerst mal klären. Meine irgendwo weiter vorne geäußerte Vermutung, daß die Datenverbindung über einen anderen Server läuft als die Control-Verbindung ist eigentlich das einzige, was ich mir vorstellen kann an Problemen, solange da keine Pakete unterwegs komplett verschwinden.

 

[Thanatos385]

Danke erstmal für den ausführlichen Post PeterPawn. Ich glaube ich verstehe nicht so ganz den Unterschied zwischen Modem und Router
Jedenfalls habe ich den Thomson TWG870 (was laut Primacom ein WLAN-Modem ist).
Mein PC hängt in der Tat direkt an diesem Gerät und auch meine anderen Geräte (Smartphone, Laptop) kriegen darauffolgende IP Adressen (192.168.0.12, 192.168.0.13)
Mit FTP Clients meine ich andere Programme wie Cyberduck, Total Commander usw. die ich mir übern Browser (denke mal HTTP) geladen habe.

Habe schon alles mögliche ausprobiert. Den Router/Modem auf Werkseinstellungen zurückgesetzt. Per Telnet versucht auf die FTP Server zuzugreifen halt was man so im Internet findet...

Was für mich wichtig zu wissen wäre ist ob trotz privater IP Adresse die die mir zuteilen ein Zugriff auf FTP Server möglich sein sollte. Dann könnte ich das wenigstens zur Sprache bringen beim nächsten Telefonat mit der Hotline.
Denn bisher hieß es, es liege tatsächlich daran, dass ich keine öffentliche IP Adresse habe.

 

[PeterPawn]

@Thanatos385:
Ein korrekt funktionierender DOCSIS-Router (oder auch ein Modem, wobei es sich eher um einen Router handelt, wenn der intern ein eigenes IPv4-Netz anbietet) muß sich bei DS-Lite um die Umsetzung der Adressen kümmern. Dafür brauchst Du keine eigene öffentliche IPv4, die gibt es ja bei DS-Lite nicht. Ich kenne das TWG870 nicht und auch nicht dessen Konfiguration ... daher ist da nichts sinnvolles meinerseits zu zu sagen.

Lass' Dich also nicht von der Hotline mit irgendwelchem Voodoo verwirren, eine korrekt konfiguriertes Netz erlaubt es Dir auch mit einer internen IPv4-Adresse einen FTP-Server im Internet zu benutzen.

Die Frage für mich ist es tatsächlich, ob die IPv4-Adresse von Deinem Router stammt oder tatsächlich so vom CMTS kommt - was bei einem Modem der Fall wäre. Andererseits wäre dann die Vergabe von aufeinanderfolgenden IPv4-Adressen für Deine Clients unwahrscheinlich, wenn das vom CMTS kommt.

Wenn Du keinen FTP-Server in eigener Regie betreibst und dort tatsächlich mal einen Packet-Dump machen kannst, dann würde ich mich - wenn Du Interesse hast - tatsächlich mal morgen abend zu einem Test hinreißen lassen ... das interessiert mich brennend, woran das bei Primacom liegen soll und warum das so spontan auftritt. Wenn ich Dich richtig verstanden habe, geht das ja erst seit einer Woche so ...

Ich könnte mir nur noch einen zu geringen Ausbau des CGN-Gateways vorstellen, wo jetzt nach und nach die Port-Nummern ausgehen. Theoretisch kann ja ein CGN mit einer einzelnen IPv4-Adresse nur max. 65536 gleichzeitige Client-Verbindungen "managen", in der Praxis sogar noch weniger, da sicherlich keine privilegierten Ports verwendet werden. Wenn jetzt irgendwie das Aging der Connections nicht funktioniert, dann bleibt irgendwann halt keine Portnummer mehr übrig bzw. nur wenige freie Nummern, um die sich die Clients dann schlagen müssen. Aber dann dürfte das ja nicht nur FTP-Verbindungen betreffen, wobei die wegen der (schon aus Sicherheitsgründen sinnvollen) Forderung nach dem Routen der Control- und der Datenverbindung über dasselbe Gateway schon etwas besonderes sind (bei anderen Protokollen kommt i.d.R. nur eine Verbindung zum Einsatz bzw. es spielt keine Rolle, wenn die Absender-IP wechselt (manche Session-Verwaltung findet das aber auch nicht lustig). Wenn da 10.000 Kunden über dasselbe Gateway gehen müssen und jeder von denen 6 Connections offenhält (von HTTP-Streaming bis IMAP-Mailserver), dann wird es schon mal eng. Aber das ist alles nur Spekulation ... wenn Primacom tatsächlich kleinere Anbieter aufgekauft hat ohne öffentliche IPv4-Adressen auch zu nehmen und nun zusätzlich eine nennenswerte Zahl von Kunden über sein CGN prügeln muß, dann könnte das sein, aber es kann auch vollkommen andere Ursachen haben.

Wenn Du tatsächlich so weit mit einem Telnet-Client/netcat umgehen kannst, daß Du bis zur Ansage eines passiven Ports kommst (beim EPSV gibt es ja theoretisch nicht mal mehr die Möglichkeit, für Control- und Datenverbindung abweichende IP-Adressen zu verwenden), dann müßtest Du ja anhand der Pakete auf Deinem Rechner auch erkennen können, wo es klemmt (geht natürlich notfalls auch dann, wenn Du statt Telnet einen FTP-Client nimmst). Wenn die Antwort auf das erste SYN für die Datenverbindung ausbleibt, stimmt irgendwas mit der Umsetzung seitens des CGN nicht. Geht denn die Control-Verbindung zuverlässig? Vielleicht testen die ja tatsächlich ein neues ALG für FTP (das braucht m.E. heutzutage kein Mensch mehr, sollen sie halt passives FTP verwenden) und bringen deshalb alles durcheinander. Ansonsten könnte auch noch die Firmware im TWG870 die Ursache sein. Theoretisch wäre ja bei IPv6-Adressierung sogar wieder aktives FTP machbar, wenn der Router dynamisch (eben anhand der Analyse des Verkehr auf Port 21 - was allerdings bei verschlüsselter Control-Verbindung ohnehin scheitern würde) eingehende Verbindungen von Port 20 des FTP-Servers zum übermittelten Port des Clients zulassen würde. Macht zwar kein Mensch mehr, aber wer weiß, was da in der Firmware von Thomson noch so alles schlummert. Ich habe tatsächlich mal einen Blick ins Handbuch riskiert ... da steht nicht mal etwas von IPv6-Fähigkeiten drin beim Einrichten, dafür gibt es irgendeinen FTP-basierten Geschwindigkeitstest. Wenn da mal ein nicht ordentlich funktionierendes Update daherkam, würde mich das auch nicht allzu sehr verblüffen. Aber das solltest Du über die Status-Seiten des TWG870 (notfalls mit älteren Angaben vergleichen) ja problemlos feststellen können ... es gibt ja wohl auch so etwas wie ein Log (jedenfalls lt. Handbuch), da soll man sehen können, welche Verbindungen gerade bestehen bzw. blockiert wurden.

 

[ChripZ]

Da ich ebenfalls das Problem mit der Primacom hatte und wahrscheinlich immer noch viele Betroffen sind, habe ich mich hier extra angemeldet um meine Erfahrungen zu teilen.

Ich habe seit 2011 einen 6000er Vertrag bei der Primacom und wurde irgendwann im laufe des Jahres 2014 ebenfalls auf eine private IPv4 umgestellt. Damals hatte ich per Ticket kurz gebeten doch wieder eine echte IPv4 Adresse zu verteilen, hab eine standardisierte Antwort bekommen und es anschließend aufgrund eines 8 monatigen Auslandsaufenthalt nicht weiter verfolgt. Problem: Jetzt wo ich wieder da war ging nicht mal mehr FTP, noch mein VOIP Anbieter ect. Da ich dies auch beruflich brauche und es momentan keinen alternativen Provider hier gibt (Telekom hat 2013 die Kupferkabel raus und Glasfaser für FTTH rein, aber die Endinstallation lässt immer noch auf sich warten), habe ich mich genötigt gesehen aktiv gegen das Problem vorzugehen.

Ich bin zwar kein Jurist, habe aber vor einigen Jahren Vertragsrecht sowie Informations- und Kommunikationsrecht studiert. Gemäß der Primacom AGBs von 2011-2013 (der Inhalt neuerer AGBs entzieht sich meines Wissens) ist eine derartige Einschränkung vertraglich nicht gedeckt. Also neues Ticket aufgemacht. Grund angegeben, Frist gesetzt, für den Fall einer Nichtbehebung angekündigt die Lastschriftermächtigung zu widerrufen und entsprechende Kürzungen der Rechnung vorzunehmen. Reaktion seitens der Primacom: Ticket erneut mit exakt dem selben Text wie vor 1 Jahr geschlossen. Folge: Lastschriftermächtigung widerrufen -> Primacom hat gegen Ende der darauf folgenden Woche trotzdem abgebucht -> Rücklastschrift ausgeführt, weitere Abbuchungen seitens der Primacom bei der Bank sperren lassen + Primacom den um 5€ gekürzten Betrag überwiesen.

Daraufhin erneuter Anlauf - diesmal an der Hotline. Ein durchaus kompetenten und freundlichen Mitarbeiter erwischt, der allerdings auch versucht hat es als legale und alternativlose Anschlussmöglichkeit zu verkaufen. Ich habe ihn daraufhin ausführlich erörtert, warum es eine Vertragsverletzung darstellt, das ich der Primacom nochmals eine Frist von 7 Tagen einräume, danach von meinem in den AGBs vertraglichen Recht auf ein Schlichtungsverfahren bei der Bundesnetzagentur gebrauch machen werde und mir des weiteren bei einer nicht Erfüllung seitens der Primacom das Recht zu steht, den Vertrag fristlos zu kündigen, sowie für den Zeitraum der verbleibenden restlichen Vertragslaufzeit (bei mir 9 Monate) sämtliche entstehenden Kosten für den Bezug eines vergleichbaren Internetanschlusses (bei mir nur per LTE möglich) gegenüber der Primacom geltend machen kann und werde (hierzu gibt es interessante aktuelle Gerichtsurteile). Der Mitarbeiter hat mir darauf hin vergewissert, das er sofort ein Ticket bei der Technikabteilung aufmacht und ich in maximal 48 Stunden einen vollwertigen DS Anschluss habe. Die Reaktion des Mitarbeiter lässt drauf schließen, dass sie genau wissen, dass das Vorgehen seitens der Primacom vertragsrechtlich keinesfalls haltbar ist.

Damit war es aber noch nicht getan, das Ticket lag ca. 2 1/2 Wochen (und 3 Bearbeitungsstatus-Anrufe meinerseits) lang offen bei der Technikabteilung, bis es vom Teamleiter der Kundenabteilung eskaliert wurde (danach ging es dann ganz schnell).

Ergebnis: Erfolgreiche Umstellung auf eine öffentliche IPv4 Adresse.

Nebenbei gab es noch ein sehr langes Telefonat mit der Vertrags-/Rechnungsabteilung und einer sehr unfreundlichen Mitarbeiterin! Nach meiner Rücklastschrift hatte ich erwartet, dass die Primacom mir diese in Rechnung stellen will. Dem war auch so und die Mitarbeiterin war der vollsten Überzeugung, das dies gerechtfertigt ist. Meine Antwort war, dass es sie es doch gerne versuchen soll gerichtlich durchzusetzen, denn wenn ein Konzern, 18 Tage!!! für die Bearbeitung eines Lastschriftmandatentzugs benötigt und dadurch Kosten entstehen, ist eindeutig der Konzern der Verursacher und darf diese nicht dem Kunden in Rechnung stellen. Besonders, wenn der Kunde im Vorfeld sein Vorhaben angekündigt hat und im Antwortschreiben nicht auf die lange Bearbeitungszeit und den daraus möglicherweise entstehenden Kosten hingewiesen wurde. => Ergebnis: Die absolut unfreundliche Mitarbeiterin hat mitgeteilt die Gebühr von der Rechnung zu streichen.

Interessant für Inhaber älterer Verträge. Im Rahmen der Telefonate wollte mir man zwischenzeitlich weismachen, dass für meinen alten 2011er Vertrag inzwischen aktuellere AGBs gelten. Begründung war, dass man mir 2013 ein Schreiben zugeschickt hätte, dass ab Tag x.y neue AGBs gelten und ich die Möglichkeit hätte innerhalb von 4 Wochen zu widersprechen (was ich wohl nicht gemacht hätte). Soweit ich weiß kam das Schreiben auch im Zuge der SEPA-Umstellung. Allerdings enthalten die Primacom AGBs (sicher bis 2013) kein "Änderungsvorbehalt", eine Änderung der AGBs per Opt-Out-Verfahren (wie in dem Schreiben) ist also nicht möglich! Für eine Änderung der AGBs muss eine aktive Einwilligung des Kunden erfolgen. Natürlich hätte die Primacom das Recht neue AGBs geltend zu machen, indem sie alte Verträge ordentlich kündigt und eine Vertragsfortführung zu neuen AGBs anbietet.

Ich hoffe ich kann mit meinen Erfahrungen, jemanden bei seinem Kampf gegen den Machtmissbrauch der Primacom helfen.