Ziggo en IPV6 voor ziggo modems in bridge-mode

[HenkGroen]

@Birdy : Interessant document over de QC uitleg.

Alleen heb ik het probleem soms dat ik 'opeens' via een Duits of Franse QC verbinding via Synology loopt.
En de Firewall staat alleen toegang vanuit NL ingesteld binnen DSM.
(iemand die een DS118 en Ziggo heeft, en waarbij ik zowel via 5001 alsmede via QC niet altijd verbinding krijg. (terwijl de 5001 uiteraard wel op zijn interne router R7000 staat geforwarded.)

En voor zowel ik nu zie, kun je geen specifieke poort in DSM opgeven voor QC
Het zou dus mooi zijn om te weten welke IP-Adressen van QC Synology afkomstig zijn, om ze zo toegang te geven in de DSM firewall

[Babylonia]

En de Firewall staat alleen toegang vanuit NL ingesteld binnen DSM.

Maar zo werkt QuickConnect niet.  De NAS legt connectie  uitgaand  naar de Synology server.
Je firewall blokkeert niet op uitgaand verkeer maar op inkomend verkeer.

Connectie van buitenaf, gaat dan eerst naar de Synology server, waar je NAS reeds connectie mee heeft.
Daar worden die twee eindjes dan aan elkaar geknoopt, en heb je via die omweg dan wel van "buitenaf" connectie met je NAS.
Maar is enkel op basis dat de connectie vanuit de NAS naar de Synology server er al is.

Je hoeft er in de firewall rules dan ook niet speciaal rekening mee te houden waar die server is gelegen.

Wat mogelijk wel belangrijk is in samenhang met IPv6, of de verschillende routes vanuit een Synology server,
Duitsland - Frankrijk.....  Maar beslist ook ook vanuit de "oproepende" externe client, dat die allen IPv6 compatibel zijn.
Als je dat expliciet inzet.

[HenkGroen]

Thanks voor je duidelijke uitleg.

Het punt wordt dan:
Wat mogelijk wel belangrijk is in samenhang met IPv6, of de verschillende routes vanuit een Synology server,
Duitsland - Frankrijk.....  Maar beslist ook ook vanuit de "oproepende" externe client, dat die allen IPv6 compatibel zijn.
Als je dat expliciet inzet.

Ergens daar moet ik dus gaan zoeken, want ik lees al veel dingen over Ziggo (en dat zal ook wel verklaren waarom ik er via de Synology DDNS er ook niet bijkomt. (had ik netjes ingesteld, en zegt ook 'Normal' met groen icoon in DSM)
Ook de poort in mijn Netgear R7000 opengezet, maar geen verbinding mogelijk met de NAS. Ik ga het nogmaals via QC proberen, want vanaf mijn eigen client (Caiway glas) heb ik geen bijzondere instellingen etc. (en andere NASsen kan ik wel benaderen, en die staan allemaal niet bij een Ziggo )

[Briolet]

Maar zo werkt QuickConnect niet.  De NAS legt connectie  uitgaand  naar de Synology server.
Je firewall blokkeert niet op uitgaand verkeer maar op inkomend verkeer.…

Voor de duidelijkheid. De firewal van nas blokkeert geen verkeer voor een verbinding die door de nas zelf opgezet is. (Het verkeer dat vervolgens door die poort gaat mag daarna wel in- of uitgaand zijn)

[Babylonia]

Ja, zo bedoel ik het ook. 

[synfan]

Gisteravond had ik inderdaad opeens een ipv6 adres. Daarop een poging gewaagd om een en ander verder te configureren en zowaar had ik op een gegeven moment ook de NAS voorzien van een ipv6 adres.

Maar vanochtend was mijn NAS in het geheel niet meer bereikbaar. Ook niet via het ipv4 adres. Nu blijkt er bij mij momenteel onderhoud gepleegd te worden, maar volgens Synology is de status van mijn verbinding "normaal" en heb ik nog steeds hetzelfde "semi-vaste" externe ipv4 adres. Ook nadat ik ipv6 weer heb uitgeschakeld krijg ik van buitenaf geen verbinding meer met de NAS. Niet met het aanroepen van de hostnaam en ook niet door het ip-adres zelf aan te roepen. Als ik het ip-adres ping, dan krijg ik wel contact. Daarop Ziggo helpdesk maar gebeld. Ze kunnen daar nog steeds niet aangeven of het wel full dual stack betreft. Daarop maar verzocht om ipv6 maar weer uit te zetten. Hopelijk heeft dat effect.




Mijn router (R7000) bleek de hele forwarding tabel voor ipv4 verwijderd te hebben..  . Ik heb nu in ieder geval weer toegang van buitenaf. Ik ga nog even verder prutsen

[HenkGroen]

Kun je hierover wat meer vertellen, want mogelijk is dat ook een check/oplossing voor mij.
Welke settings heb je aangepast op de Ziggo modem en welke op de R7000

[synfan]

Het lijkt te werken!

Ik heb op het ziggo modem niets aangepast. Die staat immers in bridge. Verder is vijfmaal scheepsrecht bij Ziggo en eindelijk had ik iemand aan de lijn die wel begreep waar het over ging. Hij bevestigde mij nogmaals dat het geen dual stack-lite was.

Ik heb in mijn router (met asuswrt merlin installatie) IPV6 aangezet Connection type "native". DHCP-PD op enable en dan apply.

Het modem van Ziggo had ik al gereboot. Dat moet je nog doen als dat nog niet gebeurd is. Via https://www.watzijnmijnips.nl/ kun je kijken of je naast je ipv4 adres nu ook een ipv6 adres hebt gekregen van ziggo. Het blijkt echt zo te zijn dat als je ipv6 uit zet in je router, ziggo je ook geen ipv6 adres toewijst.


Vervolgens in de NAS IPV6 aangezet, bij netwerk interface / lan / bewerken / IPV6 installeren : "automatisch". Dan de Nas opnieuw opstarten.

Na het opstarten verschijnt er een ipv6 adres in het menu automatisch. Even op handmatig zetten, want dan kun je dat ip adres kopieren. Ook bij DDNS zou bij het externe adres nu ook een ipv6 adres getoond moeten worden. Ik heb de instelling op handmatig gelaten. Ik weet niet of automatisch problemen op gaat leveren als de NAS weer opnieuw opgestart gaat worden.

Vervolgens het ipv6 adres invoeren in de ipv6 firewall bij "Local IP" en dan vervolgens de poort die je open wilt zetten. dat gedaan voor alle open te zetten poorten. En weer op apply klikken.

Ik kon toen via mijn mobiel het ip adres benaderen door het ipv6 adres te voorzien van [.... ], dus zoiets:  [2001:000:xxxxxx], eerst kwam uiteraard de waarschuwing dat de site niet veilig was, maar ik kreeg toegang. Firefox op Android werkt overigens nog niet met ipv6 adressen, blijkbaar...

Uiteindelijk heb ik om onverklaarbare redenen nog wel een keer opnieuw de firewall regels aan moeten passen, het werkte opeens niet meer nadat ik het certificaat had laten vernieuwen. Certificaat verwijderd en nog een keer laten aanmaken door let's encrypt. Ik weet niet of deze stap echt nodig was, maar leek me op zich niet onlogisch.

Ik heb alleen nog niet kunnen controleren of iemand met een ipv6 only verbinding nu ook op mijn nas terecht kan. Daar ging het mij uiteindelijk om.


(later heb ik nog eigen DNS servers ingevoerd in de router, maar dat is voor de verdere werking als het goed is niet relevant. Even googlen voor de juiste ipv6 adressen van die DNS servers.

[Briolet]

het werkte opeens niet meer nadat ik het certificaat had laten vernieuwen. Certificaat verwijderd en nog een keer laten aanmaken door let's encrypt. Ik weet niet of deze stap echt nodig was, maar leek me op zich niet onlogisch.

Integendeel. Dit is juist heel onlogisch omdat certificaten niets te maken hebben met de manier van verbinden. Blijkbaar heb je andere dingen veranderd bij het vernieuwen van het certificaat. Dat laatste zou volkomen onnodig zou moeten zijn als IPv6 erbij komt.

[synfan]

Die toelichting klinkt ook logisch, maar ik had verder toch echt niets gewijzigd.

Andere mogelijke verklaring is dat mijn router aan het eind van zijn latijn aan het raken is. Dat zou ook een verklaring kunnen zijn voor het feit dat mijn ipv4 forward lijst zomaar verdwenen was. Mogelijk dat ook de ingevoerde ipv6 firewall regels corrupt geraakt waren. Wie zal het zeggen?

[Babylonia]

Dat die ipv4 forward lijst zomaar verdwenen is, hoeft op zichzelf niet zo vreemd te zijn.  Die heb je bij IPv6 namelijk helemaal niet nodig.

Elke merk router, met daarin ook nog eens andere firmware heeft zo zijn eigen filosofie in de aanpak met wat je moet instellen.
Mogelijk wordt er juist "automatisch" al  wat uitgeschakeld aan de hand van een paar instellingen die jij over het hoofd ziet??
Je zou je eerst eens beter kunnen verdiepen in de materie in relatie met wat jou router precies gaat doen als je daar IPv6 instelt??
Op de "bonnefooi" wat dingetjes aanpassen, en hopen dat het goed komt, lijkt me de verkeerde aanpak.

[hoorna]

Op verzoek van @Babylonia (zie ook deze draad) post ik graag hoe in SRM een IPv6 verbinding met het Ziggo netwerk wordt gemaakt:

• Ga in SRM naar Netwerkcenter -> Internet -> IPv6 installeren. In het veld "IPv6 installeren" vul je in DHCPv6-PD en druk op OK.
  
• Ga vervolgens naar Netwerkcenter -> Lokaal netwerk -> IPv6. Zet een vinkje bij IPv6 installeren. Kies bij "Voorvoegsel" een van de twee voorvoegsels in het uitklaplijstje. Selecteer vervolgens de DHCP modus. Elders op internet is wel te vinden wat de verschillen zijn tussen de verschillnde modi. Ik heb gekozen voor DHCPv6-stateless-modus. Druk daarna op toepassen.
  
• 3. Ga tot slot naar Netwerkcenter -> Beveiliging -> Firewall. Voeg daar een regel toe voor het toestaan van ICMP verkeer. Dit heeft IPv6 nodig efficiënt te kunnen werken.
  

Succes!

[Babylonia]

Bedankt voor je bijdrage.  Hoop dat het een opstapje is voor andere gebruikers om ook IPv6 in te zetten bij Ziggo.

[hoorna]

Ter aanvulling op mijn laatste post: hoewel IPv6 SRM in combinatie met mijn Ziggo modem in bridge mode goed draait, heb ik nog wel een ticket lopen bij Synology support. Gaat over twee issues.

Het eerste issue is dat het IPv6 DNS server adres niet wordt getoond in de iOS DS router app. Heb gevraagd of ik iets fout doe of dat hier sprake is van een bug (in SRM, in de DS router app of beide). Deze bug heb ik enkele jaren geleden ook mbt IPv4 bij Synology aangekaart.

Als tweede issue heb ik gevraagd hoe ik zelf het DNS server adres kan instellen in de plaats van het Ziggo DNS server adres dat automatisch door de DHCP-v6 server van Ziggo wordt toegewezen. Het invulveld dat hiervoor is bedoeld, is bij mij niet te veranderen ("uit-gegrijsd" in slecht nederlands  )

Blijkbaar heb ik een punt met deze vragen want men heeft inmiddels SSH toegang gevraagd tot mijn router om onderzoek te doen.

Wordt vervolgd .....

[Babylonia]

Het verzoek m.b.t. SSH toegang tot je router zegt nog niet alles hoor.
In eerste instantie op een Support ticket "nu" reageert 1e lijn  "Synology France".

Bij mijn laatste ticket (kort geleden) kreeg ik ook een dergelijk voorstel,
terwijl ikzelf nu niet het gevoel had dat men met toegang daarin tot een oplossing zou komen,
omdat het in mijn geval om een "vast" te reproduceren gegeven gaat, waar ze mijn connectie helemaal niet voor nodig hebben.

Maar afgezien van simpel de toegezonden SSH mogelijkheid om in te loggen, is het gewoon "stil" in de afhandeling van het ticket.
(Uit de log files kan ik opmaken dat alleen "Synology France" even heeft gecheckt of de opgegeven logins kloppen).