Huawei B715 ja IPv6

[Ormu]

Vanhemmilla vaihtuu ADSL-yhteys mobiilikuraan, ja Elisalta toimitettiin tuollainen 4G-modeemi.

Nyt on sitten kaksi vaihtoehtoa - joko kotiverkko pelkästään Huawein varaan, tai Huawei siltaavaan tilaan ja vanha Asus RT-N56U sen perään.

Mutta onko tuossa Huaweissa ensinnäkään palomuuria IPv6-puolella? Asetusvalikko ei ole sen suhteen selkeä. Käytössä on laitteita, esim. verkkotulostin, joihin ei saa päästä käsiksi julkisesta verkosta. Jos ne saavat IPv6-osoitteen, reitittimen pitää estää yhteys niihin.

RT-N56U:ssa on IPv6-palomuuri. Mutta kun kokeilin, IPv6 ei nähtävästi toimi siltaavan Huawein perässä. Mitähän pitäisi laittaa asetuksiin, jotta IPv6 toimisi? Tällä hetkellä siellä on:

Connection type: Native
Auto Configuration Setting: Stateless
Connect to DNS server automatically: Enable
Enable Router Advertisement: Enable

System log -> IPv6 näyttää:

IPv6 Connection Type: Native with DHCP-PD
WAN IPv6 Address: fd24:3154:****:****:****:****:****:****/64
WAN IPv6 Gateway: fe80::****:****:****:****
LAN IPv6 Address: /0
LAN IPv6 Link-Local Address: fe80::****:****:****:****
DHCP-PD: Enabled
LAN IPv6 Prefix: /0
DNS Servers:

Pelkkä kannettava suoraan Huawein perässä (Huawei siltaavana tai ei) saa kyllä IPv6-osoitteen.

IPv6-osoite ei ole täysin välttämätön, mutta nyt on sentään vuosi 2019...


edit: Lisäkysymys... Huawein hallintasivulle pääsee myös siltaavassa tilassa, kun vain syöttää selaimeen Huawein paikallisen IP:n (192.168.100.1). Huawein loki näyttää tällöin, että hallintasivulle kirjautuminen tulisi sen perässä olevan Asusin ulkoisesta IP:stä eikä tietokoneen IP:stä. Tämä on kai ihan normaalia ja turvallista?

 

[Simppaa]

Tarkkoja muistikuvia ei juuri nyt tuosta 56u ole, mutta ac88u:lla pitää olla passthrough asetus, jotta laite saa ja jakaa toimivat ipv6 osoitteet. En osaa tarkemmin sanoa miksi native ei toimi, joku muistaakseni väitti, että laite odottaa isompaa prefixiä, kuin operaattori jakaa (/64 vs /56). Mene ja tiedä. En oikein ymmärrä ipv6 kunnolla..

Aikanaan mulla oli tuo sun laite Telian kaapelikaistassa ja siinäkin se toimi ipv6 kanssa.
Täppä pitää vain olla juuri oikeassa kohdassa.

Suurin ongelma on päivitysten puutteet tuohon routteriin, väitän että pesee huawein vakaudessa, mutta on jo varmaan aika reikäinen. Keväällä oli isot aukot Asuksen laitteissa, jotka on korjattu uudemmissa laitteissa firmwaren päivityksellä.

Sanoit muuten asuksen ulkoinen ip, eli sulla on internet 4 apn ja "open gate"? Todennäköisesti se on vaan bugi Huihaissa. Voithan toki katsoa ettei pääsy ole sallittu WANista/ koita ottaa yhteyttä vaikka puhelimella ulkoiseen ipseen.
Rantti alkaa tldr ylempänä

Ps. Älä huoli siitä että ipv6 ei olisikaan päällä, ei sitä täälläkään juuri kaivetun valokuidun ja 2019 toukokuussa päivitetyn Elisan keskuksen perässä ole saatavilla.. (Lue ei anneta kuluttaja-asiakkaille). Ehkä sitten, jos joku Youtube/Netflix menee only ipv6-modeen. On varmaan otettu käyttöön mobiilissa sen takia, että päästään sanomaan "ollaan siirrytty ipv6-aikaan kuluttajaliittymissä". Ehkä sillä vältetään laitteiden saastumista, ei ole laitteet "suoraan" netissä kiinni, vaikka natti nyt mikään palomuuri olekaan. Ilmeisesti operaattoreilla on myös yllin kyllin ip4-osoitteita jaettavaksi. Mene ja tiedä.

Kevennyksenä Elisan dns osoitteita.

 

[jessenic]

edit: Lisäkysymys... Huawein hallintasivulle pääsee myös siltaavassa tilassa, kun vain syöttää selaimeen Huawein paikallisen IP:n (192.168.100.1). Huawein loki näyttää tällöin, että hallintasivulle kirjautuminen tulisi sen perässä olevan Asusin ulkoisesta IP:stä eikä tietokoneen IP:stä. Tämä on kai ihan normaalia ja turvallista?

Tämä ihan normaalia, kun siltaavassa tilassa Asus saa siltä Huaweilta sen ulkoverkon IP:n. Silloin liikenne tulee Huaweille päin ulkoverkon IP:stä, vaikka liikenne LAN-portista tuleekin. Huawei on säädetty reitittämään omalle sisäverkon IP:lle kohdistetut paketit itseensä, jolloin hallinta toimii LAN-porteista.

 

[mm67]

Huawei B715 siltaavana Elisan 4G liittymällä täälläkin käytössä, reitittimenä Openwrt 18.06.2 ja ipv6 toimii. Asuksen RT-AC66U purkin kanssa ei ipv6 onnistunut

 

[Ormu]

Tarkkoja muistikuvia ei juuri nyt tuosta 56u ole, mutta ac88u:lla pitää olla passthrough asetus, jotta laite saa ja jakaa toimivat ipv6 osoitteet. En osaa tarkemmin sanoa miksi native ei toimi, joku muistaakseni väitti, että laite odottaa isompaa prefixiä, kuin operaattori jakaa (/64 vs /56). Mene ja tiedä. En oikein ymmärrä ipv6 kunnolla..

Aikanaan mulla oli tuo sun laite Telian kaapelikaistassa ja siinäkin se toimi ipv6 kanssa.
Täppä pitää vain olla juuri oikeassa kohdassa.

Eli passthrough-asetusta kokeillaan seuraavaksi.

Itselläni on RT-N66U, jossa IPv6 (6rd, Telian kuituliittymä) toimii melko hyvin. Mutta siinä ei ole mitään modeemia välissä.

Sanoit muuten asuksen ulkoinen ip, eli sulla on internet 4 apn ja "open gate"? Todennäköisesti se on vaan bugi Huihaissa. Voithan toki katsoa ettei pääsy ole sallittu WANista/ koita ottaa yhteyttä vaikka puhelimella ulkoiseen ipseen.

On siellä operaattorin NAT vielä, tarkoitin ulkoisella IP-osoitteella sitä, jonka RT-N56U saa siltaavan Huawein perässä. Jos Huawein hallintaan kirjautuu koneelta, joka on Asusin perässä, Huawein lokissa ei näy koneen osoitetta vaan Asusin saama ulkoinen IP. Mutta tämä siis on ilmeisesti normaalia.

Ps. Älä huoli siitä että ipv6 ei olisikaan päällä, ei sitä täälläkään juuri kaivetun valokuidun ja 2019 toukokuussa päivitetyn Elisan keskuksen perässä ole saatavilla.. (Lue ei anneta kuluttaja-asiakkaille). Ehkä sitten, jos joku Youtube/Netflix menee only ipv6-modeen. On varmaan otettu käyttöön mobiilissa sen takia, että päästään sanomaan "ollaan siirrytty ipv6-aikaan kuluttajaliittymissä". Ehkä sillä vältetään laitteiden saastumista, ei ole laitteet "suoraan" netissä kiinni, vaikka natti nyt mikään palomuuri olekaan. Ilmeisesti operaattoreilla on myös yllin kyllin ip4-osoitteita jaettavaksi. Mene ja tiedä.

Ei sille tässä tapauksessa juurikaan käytännön tarvetta ole, mutta nyt on sentään vuosi 2019. Elisa taitaa olla tässä suhteessa jälkeenjäänein operaattori, kun kiinteisiin liittymiin ei IPv6:tta kai vieläkään saa. Teliallakin on sentään 6rd.

Tuolla on vanha tilannekatsaus, mutta valitettavasti muutosta ei ole tainnut juuri tulla:

IPv6-tekniikka suomalaisissa kuluttajaliittymissä

 

[Ormu]

Nyt on kokeiltu Passthrough-asetusta, joka näyttäisi toimivan ainakin joten kuten. Laitteet saavat IPv6-osoitteita.


Mutta ulkoapäin yhdistäminen ei nähtävästi toimikaan, kun testasin. RT-N56U:n palomuurista on sallittu liikenne, samoin testikoneen palomuurista. Silti yhteyttä ulkopuolelta ei saa ja testattu portti on myöskin saavuttamattomissa ("filtered"). Sisäverkossa kaikki toimii kuten pitäisikin.

RT-N56U:n lokiin ei toisaalta tule merkintöjä estetyistä paketeista, eli näyttäisi siltä, että paketit eivät tule edes sille asti. (Riippumatta siitä, onko palomuurista sallittu liikenne vai ei.)

Osoitteista 2001: -alkuinen on kaiketi julkiseksi tarkoitettu, fd24: -alkuinen paikalliseen käyttöön ja fe80: -alkuinen on "link local"-osoite? Sallin palomuurista liikenteen 2001: -alkuiseen.

Estääkö/sotkeeko Huawei nyt jostain syystä sisääntulevan IPv6-liikenteen? Tai mistähän tätä kannattaisi lähteä selvittämään?

Elisa on tuon mukaan estänyt vain muutaman portin Viestintäviraston ohjeiden mukaisesti:
Liikenteenhallintamenetelmät

Ulkoa yhdistäminen ei toki ole kovin tärkeää nyt, mutta joskus sillekin voi olla tarvetta.

 

[angle]

Mulla samat laitteet, asus n56u ja huawei b715. Mun huawein asetussivulla siltaus kohdassa lukee, että toimii vaan ipv4 tilassa. Ulkoa yhdistäminen toimii elisalla maksullisella lispalvelulla. Mulla käytössä ja toimii, myös asuksen padavan firmiksen vpn ja ssh yhteys toimii.

 

[Ormu]

Mulla samat laitteet, asus n56u ja huawei b715. Mun huawein asetussivulla siltaus kohdassa lukee, että toimii vaan ipv4 tilassa. Ulkoa yhdistäminen toimii elisalla maksullisella lispalvelulla. Mulla käytössä ja toimii, myös asuksen padavan firmiksen vpn ja ssh yhteys toimii.

Tässä laitteessa ei sanota IPv4:stä tai IPv6:sta mitään kohdassa Asetukset -> Suojaus -> Siltaava tila:

Siltaavassa tilassa vain yhdellä käyttäjän laitteella voi olla Internet-yhteys. Eräät ominaisuudet, kuten online-päivitys ja virtuaalipalvelimen käyttö, eivät ole käytettävissä. Saat lisätietoja palveluntarjoajaltasi.

Huomaa: tukee vain langatonta soittoyhteyttä sillatussa yhteydessä.

Varoitus, ota siltaava (bridge) –tila käyttöön vain jos tiedät mitä teet. Siltaavassa tilassa laite saa verkosta vain yhden IP-osoitteen, mikä tarkoittaa että vain yksi laite voi olla kerrallaan yhteydessä Internetiin. Tyypillisessä käyttöympäristössä käyttäjän kannattaa ottaa ulkoinen NAT-laite (reititin) käyttöön, jos Mokkulan omaa oletuksena olevaa reitittävää-tilaa ei voida käyttää. Käyttääksesi tätä web-käyttöliittymää siltaavassa tilassa, täytyy verkkokorttiasetukset asettaa.

Ja toisaalta IPv6 toimii, vaikka siltaava tila on käytössä.

Ei kai ulkoa yhdistäminen IPv6:n kanssa vaadi mitään lisäpalvelua? IPv4:llä vaatii kyllä, koska siinä on normaalisti käytössä NAT operaattorin puolella, mikä estää ulkoa yhdistämisen.

Huawein asetuksissa palomuuri on olevinaan edelleen päällä, vaikka siltaava tila on käytössä. Pitäisiköhän se ottaa pois...?


edit: Huawein palomuuri on nyt pois käytöstä (?), mutta yhdistäminen ei silti onnistu. Eikä RT-N56U:n lokiin tule paketteja vieläkään.

Sitten lokiosiossa on kohta "IPv6", jossa pitäisi olla listattuna verkossa olevat laitteet, joilla on IPv6-osoite. Siellä saattaa satunnaisesti näkyä yksi laite, mutta nyt ei näy yhtään, vaikka niitä on useampia. "IPv6 LAN Devices List" -lista on tyhjä.

IPv6-yhteyden tiedoissa on:

IPv6 Connection Type: Passthrough
WAN IPv6 Address: fd24: .../64
WAN IPv6 Gateway: fe80:: ...
LAN IPv6 Address: fd24: .../64
LAN IPv6 Link-Local Address: fe80:: ...
LAN IPv6 Prefix: fd24: .../64
DNS Servers: 2001: ...

Puuttuukohan tuosta jotain oleellista?

 

[angle]

Joo niinhän se oli, että ipv6 ei vaadi lisäpalvelua.
Mulla lukee huawein siltaus sivulla

Siltatilassa vain yksi laite kerrallaan voi muodostaa Internet-yhteyden. Osa ominaisuuksista, kuten online-päivitykset ja portinsiirto käyttö, eivät ole käytettävissä.
Huomautus: 1.Siltatilassa Internet-yhteys voidaan muodostaa vain mobiilidatayhteydellä.
2.Sillatun tilan käynnistäminen kirjaa käyttäjän ulos verkkoyhteydestä ja pois sisäänkirjautumissivulta. Konfiguroi tietokoneesi IP-osoite kirjautuaksesi takaisin verkkoon.
3.Siltaava tila toimii vain IPV4.

Toi mun huawei on DNA:lta ostettu, mutta tosiaan elisan verkossa.

Laitteen nimi B715s-23c
Laitteistoversio WL1B610FM05
Ohjelmistoversio 11.197.01.00.182
Verkkokäyttöliittymän versio 21.100.45.00.03

Kokeilin huaweita reitittävänä niin sai ipv6 osoitteen ja asukselle tuli myös, kunhan otti ipv6 protokollan käyttöön.

 

[Ormu]

Toi mun huawei on DNA:lta ostettu, mutta tosiaan elisan verkossa.

Laitteen nimi B715s-23c
Laitteistoversio WL1B610FM05
Ohjelmistoversio 11.197.01.00.182
Verkkokäyttöliittymän versio 21.100.45.00.03

Kokeilin huaweita reitittävänä niin sai ipv6 osoitteen ja asukselle tuli myös, kunhan otti ipv6 protokollan käyttöön.

Näyttää olevan vähän vanhempi softaversio minulla ainakin. Huawein surkealta tukisivustolta ei löydy päivitystä, ja vehkeen hallintasivulta päivittäminen ei onnistu siltaavassa tilassa. Täytyy päivittää myöhemmin.

Reitittävään tilaan laittaminen on sinänsä mahdollista, mutta sitten tulee tripla-NAT IPv4-puolelle.

Tai voisin jättää RT-N56U:n pois, mutta Huawein palomuurin asetukset ja ohjeet ovat sen verran sekavat, että en oikein luota niihin. Verkossa on myös laitteita, joihin ei saa päästä käsiksi ulkopuolelta. IPv4 ei ole ongelma, mutta IPv6 voi olla, jos huihain palomuuri ei suojaakaan sitä.

 

[mm67]

Huawei siltaavana ja Asus passthrough asetuksella laitteet saavt kyllä ipv6 osoitteet mutta toimiiko liikenne edes ulospäin ? Esim. Test your IPv6.

 

[Ormu]

Huawei siltaavana ja Asus passthrough asetuksella laitteet saavt kyllä ipv6 osoitteet mutta toimiiko liikenne edes ulospäin ? Esim. Test your IPv6.

En ole toistaiseksi kokeillut tuota testiä, mutta kokeilin täällä:

What is my IP Address?

Tuo näytti ensin IPv4-osoitteen. Linkistä "IPv6 only Test" sai näkymään IPv6-osoitteen, mutta siinä saattoi kestää hetken aikaa. Samoin selatessa käytössä oli välillä IPv4-yhteys, vaikka sivusto (esim. Youtube tai io-Tech) tukisi IPv6:tta. Eli IPv6 toimi mutta ei ilmeisesti ihan täydellisesti...

 

[angle]

Onko sulla joku ipv6 ddns palvelu vai kuinka otat ulkoa yhteyttä?

 

[Marquette]

Test your IPv6. ja IPv6 test - IPv6/4 connectivity and speed test

 

[Ormu]

Onko sulla joku ipv6 ddns palvelu vai kuinka otat ulkoa yhteyttä?

Suoraan IP-osoitteeseen yritin yhdistää.


Täytyy noita muitakin testisivuja kokeilla jossain vaiheessa.

 

[angle]

Hmm, tosiaan. Huawei reitittävänä ja saa ipv6 osoitteen niin siltikään noi edellä mainitut testit ei mene läpi ip6 osalta.

 

[mm67]

Ainakin DNA:n firmiksellä Huawei siltaavana näyttää olevan Huawein oma palomuuri kokonaan pois käytöstä myös ipv6:n osalta. Testailin Asuksen ja Openwrt:n kanssa ja molempien läpi pääsee suoraan verkon laitteisiin kiinni ipv6 osoitteella kun vaan avaa reitittimestä palomuuriin portin. Molemmissa vaan on sama ikävä ominaisuus että portti pitää avata tietylle ipv6 osoitteelle ja ipv6 osoitteet taas ovat dynaamisia. Eli oman serverin pyörittäminen ipv6 osoitteen päässä ei oikein onnistu. Tällä pystyy testaamaan yhteyksiä ulkoa päin : Online IPv6 Port Scanner | IPv6 Firewall Test | TCPv6, UDPv6, ICMPv6

 

[Ormu]

Ainakin DNA:n firmiksellä Huawei siltaavana näyttää olevan Huawein oma palomuuri kokonaan pois käytöstä myös ipv6:n osalta. Testailin Asuksen ja Openwrt:n kanssa ja molempien läpi pääsee suoraan verkon laitteisiin kiinni ipv6 osoitteella kun vaan avaa reitittimestä palomuuriin portin. Molemmissa vaan on sama ikävä ominaisuus että portti pitää avata tietylle ipv6 osoitteelle ja ipv6 osoitteet taas ovat dynaamisia. Eli oman serverin pyörittäminen ipv6 osoitteen päässä ei oikein onnistu. Tällä pystyy testaamaan yhteyksiä ulkoa päin : Online IPv6 Port Scanner | IPv6 Firewall Test | TCPv6, UDPv6, ICMPv6

Jaa-a, eli olisiko sitten joku juttu Elisan puolella tai Huawein firmiksessä, tai olisiko RT-N56U bugisempi kuin tuo...



Menee vähän ohi aiheen, mutta saisiko IPv6-prefixin jätettyä palomuurisäännön ulkopuolelle? Jos reititin antaisi osoitteen loppuosan aina samalla tavalla, sääntöä ei tarvitsisi muuttaa sen jälkeen.

Palomuurisäännön sitominen MAC-osoitteeseen tai konenimeen ei varmaan useimmissa reitittimissä onnistu, enkä osaa myöskään sanoa, tulisiko siinä jotain muita ongelmia.

 

[mm67]

Itse asiassa löysin pikku skriptin jolla saisi päiviteltyä palomuuri sääntöä Openwrt:ssä mac osoitteen mukaan : Dynamic IPv6 Firewall Update Script for OpenWRT