Kabelmodem (Bridge) und 2 PCs - so einfach wie möglich

[PlumBlutt]

Wow, da hatte wohl jemand einen schlechten Tag. Den Rest vergessen wir am besten.

Bis auf die Zeile, die ich gerade noch weiter oben nachgetragen habe:

Stellt der CGNAT nun effektiv eine öffentliche, dynamische IP-Adresse bereit, oder funktioniert er wie ein Proxy-Server (also eine Sammeladresse für alle dranhängenden Clients)?

The original IPv4 packet is recovered and NAT is performed upon the IPv4 packet and is routed to the public IPv4 Internet. The CGN uniquely identifies traffic flows by recording the CPE public IPv6 address, the private IPv4 address, and TCP or UDP port number as a session.

Auch interessant:

...Wo ich auch wehement wiedersprechen würde ist bei der These, das IPv6 für die Performance unerheblich ist. Wenn du auf der CGNAT verzichten kannst, ist das ein RIESENGROSSER Vorteil. Das dürfte in allen Kernnetzen ein riesengroßes Nadelöhr sein, weil da aktiv eine Adresstranslation durchgeführt wird, und zwar für jedes einzelne Paket, das überlicherweise nicht größer als 1,5kb ist. (IPv6 und die Zukunft bei o2)

Aha...

...die (vom CGN vergebene) IPv4-Adresse teilt ihr mit anderen Kunden... Der Anbieter Vodafone Kabel bietet meiner Erfahrung nach... an, einen DS-Lite Anschluss kostenlos... auf Dual-Stack umzustellen. (Vodafone Kabel/Kabel Deutschland: DynDNS trotz DS-Lite, (nicht erster) April 20166, ups, 2016)

Das wird wohl der Fuzzi in meinem letzten Post mit dem "Aufschalten" gemeint haben (aber dieser gefangene Kunde musste dabei eine ganze Menge Hartleibigkeit schlucken).

Ich gehöre zu den "roten", also alten Alice-Kunden. Eventuell deshalb gibt mir O2 zwei öffentliche IP-Adressen (aus dem Bereich 77.4.x.x). Das scheint aber auch bei "echten" O2-Kunden noch so zu sein, deshalb ist mir nicht nachvollziehbar, wieso du das nicht glauben kannst. Es sei denn, ich hänge an einem CGN, der so transparent ist, dass ich ihn nicht bemerke (...es sei denn, dass der Laden langsamer wird...). Das sollte aber nicht der Fall sein, da IPv6 für die Verbindung deaktiviert ist. Außerdem würde ich nicht beim Sniffen meiner Verbindung meine öffentliche IP sehen, oder was mir mein OS dazu sagt. (Ich finde auch keine Bettelthreads, in denen Kunden um eine echte IPv4-Adresse flehen - die sind eher supigeil auf neues IPv6-Spielzeug.)
Eine "echte" IPv4-Adresse scheint auch noch bei 1&1 Standard zu sein, und als Telekom-Neukunde mit VoIP-Anschluss bekommt man einen vollgültigen "dual stack". M-net scheint eine sehr ähnliche Struktur wie Kabel D zu haben, man kann aber immer noch kostenlos eine "IPv4-Option" dazubuchen - was nicht unbedingt eine dynamische IP bedeutet.

Interessant zum Provider-Vergleich finde ich das hier:
Call your ISP for IPv6 - SixXS Wiki
IPv6 im Praxischeck - Computerwoche (teilweise Propaganda, realistisches in den Kommentaren)

[Abraxxas]

Da du die Antworten anscheinend nicht liest oder nicht kapierst sehe ich keine Möglichkeit dir irgendwie weiter zu helfen. Du hast dich bzgl. IP Adresse in etwas verrannt und solange das dominiert wirst du auch nicht weiter kommen.

[reneromann]

Wow, da hatte wohl jemand einen schlechten Tag. Den Rest vergessen wir am besten.

Bis auf die Zeile, die ich gerade noch weiter oben nachgetragen habe:

Stellt der CGNAT nun effektiv eine öffentliche, dynamische IP-Adresse bereit, oder funktioniert er wie ein Proxy-Server (also eine Sammeladresse für alle dranhängenden Clients)?

The original IPv4 packet is recovered and NAT is performed upon the IPv4 packet and is routed to the public IPv4 Internet. The CGN uniquely identifies traffic flows by recording the CPE public IPv6 address, the private IPv4 address, and TCP or UDP port number as a session.

Auch interessant:

...Wo ich auch wehement wiedersprechen würde ist bei der These, das IPv6 für die Performance unerheblich ist. Wenn du auf der CGNAT verzichten kannst, ist das ein RIESENGROSSER Vorteil. Das dürfte in allen Kernnetzen ein riesengroßes Nadelöhr sein, weil da aktiv eine Adresstranslation durchgeführt wird, und zwar für jedes einzelne Paket, das überlicherweise nicht größer als 1,5kb ist. (IPv6 und die Zukunft bei o2)

Aha...

...die (vom CGN vergebene) IPv4-Adresse teilt ihr mit anderen Kunden... Der Anbieter Vodafone Kabel bietet meiner Erfahrung nach... an, einen DS-Lite Anschluss kostenlos... auf Dual-Stack umzustellen. (Vodafone Kabel/Kabel Deutschland: DynDNS trotz DS-Lite, (nicht erster) April 20166, ups, 2016)

Das wird wohl der Fuzzi in meinem letzten Post mit dem "Aufschalten" gemeint haben (aber dieser gefangene Kunde musste dabei eine ganze Menge Hartleibigkeit schlucken).

CGNAT / DS-Lite stellt mehreren Kunden den Zugang zum IPv4-basierten Internet über eine GEMEINSAM GENUTZTE, ÖFFENTLICHE IPv4-Adresse bereit. Das ist aber KEIN Proxy-Server!
Der CGNAT-/DS-Lite-AFTR-Server ist nichts weiter als ein Router, der NAT durchführt, d.h. der mehrere Kundenanschlüsse per NAT auf eine öffentliche IPv4-Adresse umsetzt. Von außen teilen sich also alle Kunden diese IPv4, du erreichst damit auch deine Netzwerkgeräte NICHT per IPv4 von außen. IPv6 ist davon komplett unbetroffen, d.h. du hast eine VOLLWERTIGE IPv6-Anbindung, bei der du von außen machen kannst, was du willst.

Solange du deine PCs aber nicht dauerhaft laufen lässt (was du ja nach eigener Ansage gar nicht vorhast, sondern "die Verbindung selbst trennen willst"), betrifft dich CGNAT überhaupt nicht. CGNAT macht nur bei EINGEHENDEN Verbindungen von außen Probleme - aber die willst du ja aufgrund von Sicherheitsbedenken eh nicht haben...

Ich gehöre zu den "roten", also alten Alice-Kunden. Eventuell deshalb gibt mir O2 zwei öffentliche IP-Adressen (aus dem Bereich 77.4.x.x). Das scheint aber auch bei "echten" O2-Kunden noch so zu sein, deshalb ist mir nicht nachvollziehbar, wieso du das nicht glauben kannst. Es sei denn, ich hänge an einem CGN, der so transparent ist, dass ich ihn nicht bemerke (...es sei denn, dass der Laden langsamer wird...). Das sollte aber nicht der Fall sein, da IPv6 für die Verbindung deaktiviert ist. Außerdem würde ich nicht beim Sniffen meiner Verbindung meine öffentliche IP sehen, oder was mir mein OS dazu sagt. (Ich finde auch keine Bettelthreads, in denen Kunden um eine echte IPv4-Adresse flehen - die sind eher supigeil auf neues IPv6-Spielzeug.)
Eine "echte" IPv4-Adresse scheint auch noch bei 1&1 Standard zu sein, und als Telekom-Neukunde mit VoIP-Anschluss bekommt man einen vollgültigen "dual stack". M-net scheint eine sehr ähnliche Struktur wie Kabel D zu haben, man kann aber immer noch kostenlos eine "IPv4-Option" dazubuchen - was nicht unbedingt eine dynamische IP bedeutet.

Interessant zum Provider-Vergleich finde ich das hier:
Call your ISP for IPv6 - SixXS Wiki
IPv6 im Praxischeck - Computerwoche (teilweise Propaganda, realistisches in den Kommentaren)

Ja und? Selbst wenn dir o2 derzeit noch zwei öffentliche IPv4-Adressen geben sollte, dann hat das mit der Situation bei VFKDG nichts zu tun. Und auch o2 wird in Zukunft nicht mehr so "spendabel" mit den IPv4-Adressen umgehen - auch dort ist, wie bei allen anderen Providern, absehbar, dass es in Zukunft auf CGNAT/DS-Lite hinausläuft, einfach weil es seit 5 Jahren keine "freien" IPv4-Adressen mehr gibt.

Und da dir VFKDG in den Privatkundentarifen laut AGB eh keine öffentliche IPv4 schuldet, sondern KLAR auf den Umstand mit DS-Lite hinweist, ist es müßig, darüber zu diskutieren, ob du eine oder zwei öffentliche IPv4-Adressen bekommst oder nicht. VFKDG muss dir GAR KEINE IPv4 zuteilen - es ist nicht Teil (d)eines Privatkundenvertrages - fertig.

Weiterhin stelle ich mir noch immer die Frage:
Wozu brauchst du ZWINGEND eine öffentliche IPv4 an deinen Rechnern?
- Willst du ÜBERHAUPT Serverdienste (-> eingehende Verbindungen) betreiben/zulassen?
- Beitreibst du darauf Serverdienste [also laufen die Rechner 24/7, so dass du sie von außen erreichen können musst]?
- Benutzt du irgendwelche VPN-Verbindungen, die mit IPv6 und/oder Paketfragmentierung nicht klarkommen?
- Benutzt du anderweitige Software, die zwingend auf eingehende IPv4-Verbindungen angewiesen ist und nicht stattdessen mit eingehenden IPv6-Verbindungen klarkommt?

Wenn du die Fragen allesamt mit NEIN beantworten kannst, brauchst du an einen Rechnern definitiv KEINE öffentliche IPv4 und hast mit CGNAT auch keinerlei Nachteile.
Ganz im Gegenteil - mit CGNAT (oder auch einem Router mit NAT) hast du zumindest den "Sicherheitsgewinn", dass niemand mehr "ungefragt" von außen direkt auf deine PCs kommt - weil alle ungefragten eingehenden Verbindungen am CGNAT-Server oder spätestens deinem Router mit NAT abgeblockt werden.

[ogn205]

Aktuell hängen meine beiden PCs direkt am DSL-Modem (mit unterschiedlichen dynamischen IPs) und teilen sich die Bandbreite. Mhm... ja. DSL-Modems können das.

Mir geht's drum
- die Internet-Verbindung der einzelnen PCs möglichst unkompliziert und unabhängig voneinander herzustellen und zu beenden (mit ipconfig-Batchskripten kann ich leben, aber nicht glücklich)
- möglichst ohne weitere Hardware anzuschaffen.

Da sich bisher scheinbar niemand dazu durchringen konnte, diese in deinem Eingangs-Posting gelisteten Anliegen einfach nur ohne irgendwelches unnötiges Drumherum zu beantworten, ein paar (ergänzende) Hinweise meinerseits:

Um es kurz zu machen:

2 PCs mit je einer öffentlichen, dynamischen IPv4-Adresse ist bei Vodafone Kabel leider nur noch unter bestimmten Voraussetzungen für Bestandskunden machbar. Für Neukunden wird es sehr schwierig bis unmöglich.

Und nun etwas ausführlicher:

Früher mit den älteren DOCSIS 1.x/2.0 Kabel-Modems war dein Vorhaben, je eine öffentliche, dynamische IPv4 für 2 PCs, noch einfach zu erreichen:

Kabel-Modem → Switch → 2 PCs, die per DHCP die öffentliche IPv4 anfordern. Fertig.

Die erhaltenen IPv4-Adressen konnten jederzeit unabhängig voneinander mit einer einfachen Änderung der MAC-Adresse des Endgeräts und einem anschließenden Neustart des Kabel-Modems gegen andere IPv4-Adressen getauscht bzw. erneuert werden (das ging natürlich alles Skript-gesteuert ).

Heute mit DOCSIS 3.0 geht das mit den mittlerweile immer seltener anzutreffenden Kabel-Modems wie dem Cisco EPC3212 oder dem Thomson THG571 auch noch so.

Andere, neuere DOCSIS 3.0 Kabel-Modems, mit denen es auch möglich wäre, sind in Deutschland leider nicht frei erhältlich. Ab und an liest man zwar, dass jemand erfolgreich ein importiertes Kabel-Modem aktivieren konnte, eine Garantie dafür gibt es aber leider nicht.

DualStack (also öffentliche IPv4 + IPv6-Präfix) ist mit den Kabel-Modems übrigens auch problemlos möglich. Dagegen erhalten die von Vodafone ausgegebenen Kabel-Router - wie schon oft hier im Forum erwähnt - standardmäßig nur DualStack-lite (IPv6 mit IPv4-Tunnel).

Wenn man diese Kabel-Router nun im Online-Kundencenter in den sog. „Bridge-Modus“ versetzt, verhalten sie sich zwar ähnlich wie Kabel-Modems, werden es aber natürlich nicht. Deswegen bekommt auch nur ein daran angeschlossenes Endgerät seine eigene öffentliche IPv4-Adresse zugeteilt (und nicht zwei oder mehr).

Mit der FritzBox 6490, die von Vodafone kdg-gebrandet als „HomeBox“ bezeichnet und ausgegeben wird, erhält man standardmäßig auch nur DS-lite, kann aber auf Wunsch („betteln“ muss da niemand) eine echte öffentliche IPv4-Adresse zugewiesen bekommen.

Die freien, aktuell im Handel erwerbbaren FritzBox-Modelle 6430, 6490 und 6590 bekommen in der von AVM eher suboptimal gewählten Standardeinstellung zunächst auch nur DS-lite. Dies kann man aber jederzeit selbst in der WebUI der FritzBox ändern, indem man einen einzelnen Haken entfernt und diese Änderung speichert:

„Internet → Zugangsdaten → IPv6 → IPv6-Anbindung → native IPv6-Anbindung verwenden → IPv4-Anbindung über DS-Lite herstellen“ ← diesen Haken entfernen; alternativ kann man auch einfach den Punkt „Internet → Zugangsdaten → IPv6 → IPv6-Anbindung → native IPv4-Anbindung verwenden (empfohlen)“ aktivieren, hat dann aber weniger Einstellungsmöglichkeiten für IPv6.

In beiden Fällen bezieht die FritzBox danach ihre eigene, öffentliche IPv4-Adresse und die Vodafone-SIP-Telefonie funktioniert plötzlich auch (eine öffentliche IPv4 ist hierfür seltsamerweise Voraussetzung, DS-lite reicht nicht ).

Ein weiterer Hinweis: Bis zur FritzOS-Version 6.63 konnte man mit der freien FritzBox 6490 die sog. „Bridge-Anschlüsse“ nutzen, die es erlaubten, dass neben der öffentlichen IPv4, die dem Router-Teil der FritzBox zugewiesen wird, auch ein z.B. an LAN2 angeschlossenes Endgerät (PC, Router, etc.) eine zweite öffentliche IPv4 (und ein eigenes IPv6-Präfix) erhielt.

Mit der Version 6.83 des FritzOS wurde diese nützliche Funktion leider deaktiviert (die Bridge-Anschlüsse sind zwar noch einstellbar, funktionieren aber nicht mehr).

Deswegen müsste man jetzt, um eine zweite IPv4 von Vodafone zu bekommen, dafür einen zweiten Vertrag abschließen. Alternativ könnte man eine zweite IPv4 natürlich auch noch per (V)DSL oder VPN über einen anderen Anbieter nutzen.

[Abraxxas]

Der TE hat kein Problem mit IP Adressen, das beruht auf Einbildung. Er hat ein Problem mit der Sicherheit, was auch ok ist, und meint dieses über IP Adressen Zuweisung lösen zu können. Dass dies quasi unmöglich und unnötig ist will er nicht sehen.

[ogn205]

Der TE hat kein Problem mit IP Adressen, das beruht auf Einbildung. Er hat ein Problem mit der Sicherheit, was auch ok ist, und meint dieses über IP Adressen Zuweisung lösen zu können. Dass dies quasi unmöglich und unnötig ist will er nicht sehen.

Es gibt etliche plausible Gründe, warum jemand mehrere, wechselnde IPv4-Adressen (oder auch IPv6-Präfixe) haben will. Sicherheit kann dabei durchaus auch ein Aspekt sein. Es ist z.B. schon ratsam, ein Kunden/Besucher/Gast-Netzwerk über einen eigenen IP-Bereich laufen zu lassen, um etwa das eigene Netzwerk zu schützen.

Mir persönlich geht es bei der Nutzung mehrerer IPv4-Adressen eher um die Trennung beruflicher von privater Internetnutzung. Was seinerzeit mal durch einen Switch am Kabel-Modem realisiert wurde, machen seit einigen Jahren zwei Internet-Verträge (1x Business- und 1x Privatkunden-Tarif).

Welche Motive auch immer der TE für eine Nutzung mehrerer IPv4-Adressen haben mag, ist allerdings seine Angelegenheit und das werde ich auch nicht weiter kommentieren...

[Abraxxas]

Du hättest nur alle bisherigen Posts durchlesen müssen.

[ogn205]

Die habe ich gelesen. Nur wurden die Punkte, um die es dem TE anfänglich ging, dort nie wirklich beantwortet.
Warum sonst glaubst du wohl, habe ich vorhin - 2 Seiten weiter - darauf geantwortet?

[Boba Fett]

Die habe ich gelesen. Nur wurden die Punkte, um die es dem TE anfänglich ging, dort nie wirklich beantwortet.

Habe in der allerersten Antwort doch schon geschrieben:

Du kriegst bei KDG afaik in den normalen Tarifen nur EINE IP-Adresse. Im Bridgemode kriegst du derzeit noch eine echte IPv4 und kein IPv6. Ohne Bridge kriegst du normalerweise eine echte IPv6 und eine IPv4 durch DSLite.

Frage beantwortet, kurz: Geht einfach nicht.

Das du ausführlich berichtest, wie das früher mal ging, oder mit welchen Tricks es man vielleicht auch heute noch hinkriegt, ist zwar nett, hilft aber auch niemandem.

Ich kann vage verstehen, warum man z.B. einen Arbeits-PC und Privat-LAN durch wirklich zwei separate öffentliche IPs trennen können will, man muss dann aber auch beides separat absichern. Ist mir auch klar, dass dann beides wirklich komplett auch von der öffentlichen Seite getrennt ist. Ansonten trennt man zumindest den internen Teil, z.B. durch VLANs, oder getrennte Interfaces mit jeweils eigenem DHCP in zwei unterschiedliche Subnets. Braucht dann halt einen Router, der sowas auch machen kann. Auch klar, wenn jemand den Router knackt, kommt er auch in beide Sub-LANs, dafür hat man aber auch nur eine zentrale Stelle um deren Sicherheit man sich kümmern muss (was nicht heisst, dass man beide PCs auch ZUSÄTZLICH nochmal z.B. mit einer lokalen Firewall absichern könnte).

Die Antworten hier gingen direkt einen Schritt weiter: Sie wollten rausfinden, WARUM genau nach 2 öffentlichen IP-Adressen (und warum die wechselbar sein sollen) gefragt wurde, denn wenn man weiß, was das eigentliche Problem ist, kann man ggf. andere Lösungswege vorschlagen. Eine konkrete Antwort hat der TE auf diese Fragen aber nie gegeben. Denn das er sich davon höhere Sicherheit verspricht, ist mehr als schwammig. Das seine 2 Geräte separiert, also nicht im selben LAN sein sollen/dürfen, wurde nie erwähnt.
Praktisch wurde auch schon verneint, dass nicht beide Geräte von aussen über IPv4 erreichbar sein müssen, also darauf keine Serverdienste laufen (wurde aber auch schon gesagt, dass das mit entsprechenden Portforwards auch hinter NAT möglich ist). Ausserdem spricht die Tatsache dagegen, dass er die IP-Adressen schnell und einfach wechseln können will. Sollte man Server laufen haben, wäre das gerade konraproduktiv, und wenn man beiden Geräten dann noch eine DynDNS gibt, macht das IP-Adressen-Wechseln ja wiederrum keinen Sinn.

Anders gesagt: Es geht bei VF/KDG aktuelle einfach nicht so, wie der TE es sich vorstellt. Da das bei seinem aktuellen O2-Anschluss aber klappen zu scheint, muss er dann halt bei O2 bleiben.
Lösungesvorschläge und Rückfragen, wie man sein Anliegen am besten auch mit einem VF-Kabelanschluss hinkriegt, wurden hier massig gegeben, aber der TE weiß ja selbst sowieso alles besser und will sich nicht helfen lassen.

[ogn205]

Die habe ich gelesen. Nur wurden die Punkte, um die es dem TE anfänglich ging, dort nie wirklich beantwortet.

Habe in der allerersten Antwort doch schon geschrieben:

Du kriegst bei KDG afaik in den normalen Tarifen nur EINE IP-Adresse. Im Bridgemode kriegst du derzeit noch eine echte IPv4 und kein IPv6. Ohne Bridge kriegst du normalerweise eine echte IPv6 und eine IPv4 durch DSLite.

Frage beantwortet, kurz: Geht einfach nicht.

Und genau das ist so nicht zutreffend.

Das du ausführlich berichtest, wie das früher mal ging, oder mit welchen Tricks es man vielleicht auch heute noch hinkriegt, ist zwar nett, hilft aber auch niemandem.

Jeder Anschluss bekommt auch heute noch standardmäßig bis zu 2 öffentliche IPv4-Adressen und auch 2 IPv6-Präfixe zugewiesen - vorausgesetzt es ist ein reines Kabel-Modem angeschlossen und keiner der "kastrierten" Zwangs-Router.

Mit "Tricks" hat das nichts zu tun (auch nicht die Bridge-Anschlüsse bis FritzOS 6.63), das ist vielmehr in der dem Kabel-Modem übermittelten DOCSIS-Config so festgelegt.

Das Ganze hat einfach historische Gründe: Kabel-Modems konnten früher sowohl per LAN als auch über USB an zwei Endgeräten gleichzeitig angeschlossen werden und jedes der beiden Endgeräte bekam seine eigene öffentliche IPv4-Adresse. In manchen Segmenten bekam man mit einem dazwischen geschalteten LAN-Switch sogar bis zu 4 öffentliche IPv4-Adressen an 4 Endgeräten gleichzeitig...