RFC1918 über WAN?

mrsunfire

Das Kabelmodem (Cisco EPC3212) hat eine Weboberfläche bei der man die Signalwerte usw. einsehen kann. Sowas hat jedes Kabelmodem. Mein ISP hat damit nichts zu tun, da ich es auch erreiche wenn es unprovisioniert ist. Ich erreiche es von allen Clients, sowie von der pfSense. Auch ein Ping von der pfSense mit Source WAN ist erfolgreich. Demnach geht es definitiv über die WAN Schnittstelle raus.

Routenverfolgung zu 192.168.100.1 über maximal 30 Hops

  1    <1 ms    <1 ms    <1 ms  pfsense.networks [192.168.1.1]
  2    <1 ms    <1 ms    <1 ms  192.168.100.1

Ablaufverfolgung beendet.

@viragomann:

Der pfSense ist es ganz einerlei, welche IP das ist, solange eine Firewall-Regel die Kommunikation erlaubt.
Ist die IP nicht Teil eines an der pfSense konfigurierten Netzwerks, wie in diesem Fall, schickt sie die Pakete zum Default Gateway, und das ist ja offenbar das Modem. Dass dieses die Pakete intern an ihre Interface-IP weitergibt, wäre durchaus denkbar.

Grüße

Mein Defaultgateway ist die Kopfstation des ISP, so wird es mir via DHCP mitgeteilt. Dieses Gateway muss demnach die IP erhalten und verwerfen. Zuvor scheint das Modem jedoch darauf zu antworten. An Firewallregeln habe ich nichts gesetzt bzgl. der IP.

Pippin

Hallo,

Edit:
Mein bericht entfernt, lesen ist kunst ;D

Frohe weinachten und ein guten rutsch gewünscht.

jahonix

Wird dein Modem vom Provider provisioniert oder machst du das selbst, kommst an die gesamte Config heran?
Ist darauf auch ein DHCP Server aktiv, der deinem WAN erst einmal eine (Wegwerf-) IP mitteilt?

Macht aber alles keinen Sinn, denn in deinem Routing-Table steht vom Modem-Subnetz nix drin. Demnach muss dein WAN alles, was nicht lokal aufgelöst werden kann, an das default Geteway schicken. "Durch" das Modem ja, aber nicht "auf" das Modem (Bridge-Mode und nicht Router-Mode).

Edit: kannst du die IP des Modems mal ändern und in ein anderes Subnetz legen? Ist es dann auch noch ohne Route oder NAT-Eintrag erreichbar?

mrsunfire

Das Modem wird vom Provider provisioniert. Die Config kann ich komplett einsehen. Soweit ich weiß hat es keinen DHCP Server, wofür auch. Die 192.168.100.1 ist eine Standard IP die eigentlich jedes Kabelmodem hat. Die IP ist nicht änderbar. Es ist auch ohne Route und NAT Eintrag erreichbar.

viragomann

Bin davon ausgegangen, dass das Modem Router und Gateway ist, ansonsten könnte ich mir nicht vorstellen wie es über diese IP zu erreichen wäre.

Dass es sich dabei um ein Kabelmodem handelt, ist jetzt neu, wurde zuvor nicht erwähnt. Ich habe keine Ahnung, welches Protokoll da zwischen Modem und Provider gefahren wird.
Wenn das Gateway aber beim Provider sitzt, sollte das ähnlich funktionieren wie PPPoE, was ich hier habe, und da ist ein Erreichen des Modem über das Default-Gateway nicht möglich.

@mrsunfire:

An Firewallregeln habe ich nichts gesetzt bzgl. der IP.

Die Standard Allow-Any-to-Any Regel am LAN würde diese IP ja bspw. mit einschließen.

jahonix

@mrsunfire:

Das Kabelmodem (Cisco EPC3212) hat eine Weboberfläche …

;)

@viragomann:

Die Standard Allow-Any-to-Any Regel am LAN würde diese IP ja bspw. mit einschließen.

Das ist zwar richtig, gibt jedoch noch keinen Hinweis darauf, wieso das Modem am WAN mit einer RFC1918 Adresse erreichbar ist, zu der es keine Route gibt.

@mrsunfire:

Soweit ich weiß hat es keinen DHCP Server, wofür auch.

Das Ding kann im Bridge-Modus oder als Router arbeiten. Wenn Router, dann vergibt es auch per DHCP die Adressen an die Clients. Im Bridge-Mode ist der Server (meistens) ausgeschaltet.
Wie authentifizierst du dich denn beim Provider? Mit in der pfSense eingetragenen Daten oder geschieht das über die MAC das Modems oder eine dritte Variante, die ich gerade übersehe?

mrsunfire

Nein, es kann nur Bridge da es ein reines Modem ist und kein Router oder Gateway. Konfiguriert wird das Modem vom Provider anhand seiner CM MAC, das ist Standard bei DOCSIS.

jahonix

Welcher Kabel-Provider ist denn das bei Dir?

Ich hatte mich von einem solchen Screenshot "verwirren" lassen, sorry!
Darin sieht man halt auch einen DHCP Server, nur ist das gar nicht Dein Modem…

LAN_Setup.jpg_thumb

mrsunfire

Unitymedia. Meine Oberfläche sieht ähnlich aus. Ist aber nur zur Logeinsicbt und für die Signalwerte.

un1que

Ich glaube aber, es gibt schon eine Art DHCP Server. Als ich das gleiche Modem vor einiger Zeit in Betrieb hatte (auch UM), konnte ich im WebUI die IP Adresse des Modems einsehen (192.168.100.1) und die IP, welche dem angeschlossenen Gerät zugeteilt wurde (192.168.100.10). Das angeschlossene Gerät selbst zeigte lediglich nur die öffentliche IP an und es war nirgendwo die .10-er zu sehen.
Ich bin mir jetzt nicht ganz sicher, ob damals der Zugriff ganz ohne Regeln funktionierte, da bei mir eine Pass-[IP des Modems] angelegt war.

JeGr

DHCP ist da m.W. schon aktiv, aber nur wenn das Modem keine Verbindung zu UM bekommt. Also wenn die Leitung abbricht und keine Kabelverbindung via DOCSIS möglich ist, dann startet das Ding DHCP und gibt dem WAN via DHCP eine private Adresse, damit man auf das Modem kommt. So war es zumindest mal vor einigen Jahren bei einer Firma, wo das genau zu Verwirrungen führte, dass die pfSense immer bei Leitungsverlust extern ne andere Adresse (privat) bekam und sobald alles wieder ging wieder eine public IP.

Grüße Jens

mrsunfire

Kann sein dass es ohne Kabelverbindung dann DHCP macht. Spätestens wenn man jedoch die pfSense neu startet und eine Public IP erhält, weiß sie ja nichts mehr vom privaten Netz des Modems. Dennoch kommt man sofort drauf. Daher muss die IP vom Modem abgegriffen und beantwortet werden für mein Verständnis.

viragomann

Der DHCP wäre für das Verhalten auch gar nicht relevant. Dieser würde lediglich bewirken, dass ein angeschlossenes Gerät eine IP Adresse erhält. Das ist aber nach der Schilderung der Umstände nicht der Fall. Die pfSense als einziges angeschlossenes Geräte bekommt ja lediglich die öffentliche IP vom Provider.

Noch einmal, warum soll es nicht möglich sein, dass das Gerät auf ein und demselben Ethernet Anschluss neben dem Protokoll zur Internet-Herstellung via Kabel auch ein einfaches TCP/IP fährt?
Mein DSL-Modem kann das ja auch. Neben PPPoE macht es auch TCP/IP auf demselben Anschluss. Allerdings ist es bei diesem so, dass ein auf die Gateway-Adresse geschicktes TCP Paket nicht vom Modem abgefangen wird, selbst wenn es auf dessen IP adressiert ist. Bei dir ist es ja nach deiner Beschreibung so. Technisch halte ich das für machbar, gesehen habe ich das aber bislang noch nirgends.

JeGr

Was virago sagt. Das Modem hört intern trotz Bridge auf seine private IP und die pfSense schickt alles ans Default GW raus. Warum sollte sie das auch nicht tun? Jedes Interface ist de facto bei der Sense "gleich" und nur weil auf einem WAN ggf. eine private IP hängt, wird diese deshalb nicht einfach geblockt. In genug Szenarien ist das ja wichtig (private IP auf WAN wegen 2. Router vornedran). Also nochmal: Warum sollte es ein Problem sein, dass die pfSense RFC1918 aufs WAN routet? Das ist alles völlig normal.

Gruß

jahonix

Damit ist der Zugang zur GUI des Modems also ein "Beifang" auf dem Weg der IP-Pakete zum Gateway des ISPs.

Damit wird auch deutlich, dass es ein eingebremster Router ist und kein reines Modem, denn das würde die Pakete bei klassischer Sichtweise gar nicht so weit anschauen, als dass es seine eigene IP darin finden und beantworten könnte.

mrsunfire

Es ist ein reines Modem. Jedes Kabelmodem ist über die IP erreichbar. Muss es auch sein bei DOCSIS.