Hitron CVE-30360 Firewall ausschalten

[Linuxfarmer-HH]

Okay dann gibt es nun zwei Varianten, Tausch Hitron zu Kabelmodem oder umflashen des Hitron zu einem Kabelmodem. Der Kunde hat somit die Wahl, nur teilt KDG ihm das nicht freiwillig mit

MTU: Mit 2x NAT kommt es im inneren Kreis zu Paketfragmentierung in Richtung Internet oder zu Paketverwurf wenn DF gesetzt ist. Daher gingen Dienste und Seiten nicht richtig, 2 NAT Header pro Paket ist eben doch recht viel, die 1472 für den inneren Routers geht aber sauber durch. Ist das noch niemanden bei Doppel-NAT aufgefallen?

http://fengnet.com/book/vpnconf/ch19lev1sec4.html

Linuxfarmer-HH

[sufnoK]

Also ich soll nun auch ein Cisco bekommen. Dies muss man scheinbar wirklich bei der Vertragshotline beantragen - über die Technikhotline können die das nicht machen. Ich habe der guten Frau an der Vertragshotline gesagt, dass die Techniker ebenfalls der Meinung sind ich solle ein Cisco bekommen und sie das bitte so als ganz wichtig vermerken soll in ihr System - ich brauche unbedingt das Cisco! Sie sagte sie schreibt es so extra noch einmal rein und ich solle dann die Tage das Modem zugeschickt bekommen - ich bin gespannt.

Warum dass bei mir der Hitron Modem-Firmware nicht geklappt hat ist mir auch ein Rätsel. Der Auftrag war abgeschlossen und der Hotliner an der Technikhotline kann es sich auch nicht erklären. Aber ich habe definitiv noch die Router-Firmware drauf. Kurios auch, dass ich mindestens 5 mal bei der Technik anrufen muss, bis mal einer ran geht der schon mal was von der Hitron Modem-Firmware gehört hat. Das spricht für eine miserable Qualität des Call-Centers bei KD...


MfG

[Goofman]

Nächstes Update:

Zu früh gefreut! Die beiden Firewalls können immer noch keinen VPN-Tunnel aufbauen. Je nachdem, welche Seite man die Verbindung initiieren lässt, gibt es im Log-File unterschiedliche Fehlermeldungen. Ich befürchte mal, dass das Hitron auch als reines Kabelmodem gewisse Restriktionen hat und nicht alle Datenpakete durchlässt.

Daher meine Frage, bevor ich morgen wieder den "Kampf" mit der KD-Hotline aufnehme, weiß jemand, ob das Cisco Modem auch Einschränkungen hat und wie sieht es mit der 6360 aus, ist die für den professionellen Einsatz, sprich hohes Datenvolumen, viele gleichzeitige Verbindungen etc. geeignet? Schon mal vielen Dank für die fachkundigen Antworten.

Gruß, Goofman

[sufnoK]

Also ich kann nicht 100%ig ausschließen dass das Hitron im Modem-Modus noch etwas blockt. Aber es wäre sehr unwahrscheinlich. Im Modem-Modus sollte der Hitron keine Firewall/NAT mehr aktiv haben und somit auch nichts mehr blocken. Ich gehe also mal von einem Fehler auf deiner Seite aus. Dein Log mit den angesprochenen Fehlermeldungen wären mal interessant. Hast du mal getestet ob die richtigen Ports offen sind? Ach und was meintest du überhaupt mit:

mein Notebook bekommt auch per DHCP eine externe IP/WAN IP

? Was hat DHCP mit WAN IP zu tun? Dein Notebook bekommt über DHCP wenn überhaupt eine LAN IP und der Hitron die WAN IP - sowohl im Router als auch im Modem-Modus spielt das keine Rolle...


MfG

[mason]

Nicht das Modem erhält eine WAN-IP, sondern das am Modem angeschlossene Endgerät.

Das Modem macht im Prinzip nicht anderes, als das über Kabel ankommende Signal umzuwandeln, um es laienhaft zu formulieren.

[Winchester]

? Was hat DHCP mit WAN IP zu tun? Dein Notebook bekommt über DHCP wenn überhaupt eine LAN IP und der Hitron die WAN IP - sowohl im Router als auch im Modem-Modus spielt das keine Rolle...

Wie sollte ein Router oder Rechner an einem Modem sonst eine WAN IP bekommen wenn nicht über DHCP? Genau so läuft es immer bei reinen Kabel Modems.

[Goofman]

Also es handelt sich hier um zwei Firewalls von gateprotect. Standort A (Telekom, DSL 16000) = feste IP 217.91.xxx.xxx. Standort B (KD, Internet 100 MBit) = derzeitige IP 77.21.xxx.xxx. Die VPN-Verbindung wird per IPsec aufgebaut. Verschlüsselung: IKEv1, Authentifizierung: Preshared Key (PSK).
Die vorige feste IP von Standort B lautete 109.75.xxx.xxx. Ich habe also lediglich in der Konfiguration von Standort A die Zieladresse geändert. Alles andere ist ja gleich geblieben.

Leider kann ich die Screenshots der Log-Files hier nicht einfügen, da ich keinen Webspace habe, wo ich sie speichern kann. In den Text einfügen ist ja nicht möglich. Schicke sie aber gerne per PN.

Gruß, Goofman

[sufnoK]

Nicht das Modem erhält eine WAN-IP, sondern das am Modem angeschlossene Endgerät.

Das Modem macht im Prinzip nicht anderes, als das über Kabel ankommende Signal umzuwandeln, um es laienhaft zu formulieren.

Also so wie bei normalen DSL Modems. Ich dachte bei dem Hitron mit Modem-Firmware wählt sich der Hitron noch immer selber ein - aber habe ich mich offensichtlich getäuscht.

[olli-hh]

Ich war an der Hotline leider bislang auch erfolglos entweder ein Cisco Modem oder die alternative Firmware zu bekommen.
Könnte mir eventuell jemand eine Auftragsnummer per PM zukommen lassen, der es erfolgreich geschafft hat, sich die alternative (Modem) Firmware aufspielen zu lassen?

Vielen Dank,
Olli

[Winchester]

MTU: Mit 2x NAT kommt es im inneren Kreis zu Paketfragmentierung in Richtung Internet oder zu Paketverwurf wenn DF gesetzt ist. Daher gingen Dienste und Seiten nicht richtig, 2 NAT Header pro Paket ist eben doch recht viel, die 1472 für den inneren Routers geht aber sauber durch. Ist das noch niemanden bei Doppel-NAT aufgefallen?

http://fengnet.com/book/vpnconf/ch19lev1sec4.html

Kann ich bei mir nicht nachvollziehen. Außerdem baut NAT keine Header ein, sondern tauscht Adressen/Ports aus. Wenn ich nen zweiten Router in mein Netz einbaue bleibt die volle Ethernet MTU bei mir erhalten:

Code: Alles auswählen

$ tracepath www.kdgforum.de
 1:  amd-x4.local                                          0.075ms pmtu 1500
 1:  192.168.5.1                                           0.497ms asymm  2 
 1:  192.168.5.1                                           0.514ms asymm  2 
 2:  172.16.1.254                                          1.420ms 
 3:  no reply
 4:  83-169-157-62.static.superkabel.de                   15.673ms 
 5:  88-134-204-6-dynip.superkabel.de                     14.977ms asymm  4 
 6:  83-169-129-138.static.superkabel.de                  15.912ms 
 7:  83-169-128-157.static.superkabel.de                  31.228ms 
 8:  83-169-128-190.static.superkabel.de                  35.379ms 
 9:  88-134-201-209-dynip.superkabel.de                   27.627ms 
10:  xae0-813.muc10.core-backbone.com                     28.404ms 
11:  xae0-2031.nbg10.core-backbone.com                    32.396ms asymm 12 
12:  core-backbone-gw.hetzner.de                          30.408ms asymm 11 
13:  hos-bb2.juniper1.rz10.hetzner.de                     33.792ms asymm 10 
14:  hos-tr4.ex3k15.rz10.hetzner.de                       45.558ms asymm 11 
15:  sk-webhosting.de                                     36.597ms reached
     Resume: pmtu 1500 hops 15 back 53 

$ ping -c 5 -s 1472 -M do www.heise.de
PING www.heise.de (193.99.144.85) 1472(1500) bytes of data.
1480 bytes from www.heise.de (193.99.144.85): icmp_req=1 ttl=245 time=32.3 ms
1480 bytes from www.heise.de (193.99.144.85): icmp_req=2 ttl=245 time=32.2 ms
1480 bytes from www.heise.de (193.99.144.85): icmp_req=3 ttl=245 time=32.8 ms
1480 bytes from www.heise.de (193.99.144.85): icmp_req=4 ttl=245 time=33.4 ms
1480 bytes from www.heise.de (193.99.144.85): icmp_req=5 ttl=245 time=32.1 ms

--- www.heise.de ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4005ms
rtt min/avg/max/mdev = 32.150/32.634/33.471/0.528 ms

$ ping -c 5 -s 1473 -M do www.heise.de
PING www.heise.de (193.99.144.85) 1473(1501) bytes of data.
From amd-x4.local (192.168.5.100) icmp_seq=1 Frag needed and DF set (mtu = 1500)
From amd-x4.local (192.168.5.100) icmp_seq=1 Frag needed and DF set (mtu = 1500)
From amd-x4.local (192.168.5.100) icmp_seq=1 Frag needed and DF set (mtu = 1500)
From amd-x4.local (192.168.5.100) icmp_seq=1 Frag needed and DF set (mtu = 1500)
From amd-x4.local (192.168.5.100) icmp_seq=1 Frag needed and DF set (mtu = 1500)

--- www.heise.de ping statistics ---
0 packets transmitted, 0 received, +5 errors

Ansonsten sollte sich PMTUD (RFC 1191) um die richtige MTU kümmern. Leider weiß ich das einige Administratoren in ihren Firewalls ICMP komplett blocken, weil das ja BÖSE ist und deswegen PMTUD nicht funktioniert.