Guter Rat teuer: Viele "komische" temporäre IPv6 Adressen im Netzwerk

[Mike0185]

Hallo Community,

ich wende mich an euch, weil ich nun einfach nicht mehr weiter komme und hoffe auf Ideen oder Anregungen, natürlich wäre auch eine Lösung super... Mein Problem ist, dass ich in unregelmäßigen Abständen auf meine Endgeräte zig temporäre IPv6-Adressen erhalte, die entweder im 4000::, 4006::, 4011::, 8000::, 8006:: und 8011::, ... beginnen. Die Adressen sind zu dem keine offiziellen Adressbereiche, die freigegeben wurden, daher verwundern mich diese Adressen noch mehr.

Zu meinem Aufbau (eigentlich nichts wildes): WAN (ISP: KabelBW Business, statische IPv4): -- Fritzbox 6360 -- Switch + WLAN AP -- 2 PCs, 2 Laptops, 3 Samsungs Handys (2x S3, 1x S5), DS-212+.
Ich habe nur Windows 7 Pro im Einsatz bzw. die Aktuellen Android-FW.

Ursprünglich hatte ich Dualstack bei KBW, da ich dachte dass das Problem von KBW kommt, habe ich mich an die Hotline gewendet. Das Ergebnis war, dass man mir IPv6 abgeschaltet hat. Das Problem war dann zwar behoben, aber ich hatte natürlich kein IPv6 mehr. Ich habe nun einen Tunnel über Hurricane Electric, da ich dort natürlich auch eine statische IPv6 Adresse erhalte und hoffte dass die Probleme nun auch erledigt sei, allerdings ist dem nicht so... Ich erhalte auch mit bzw. über HE diese Adressen.

Nach dieser Aktion habe ich mich auch an AVM gewendet. Der dortige Support hat sich wirklich sehr bemüht und wollte die Logfiles meiner Fritzbox. Ich habe 2-3 mal Logfiles geschickt, vom Netzwerkmitschnitt, Konfiguration, Fehlerlog usw. Der Support konnte allerdings nichts an der FB feststellen und verwies mich dann an den ISP von dem auch die Fritte kommt.

Es muss also von intern kommen? Ich habe allerdings keinen weiteren DHCP-Server im Netzwerk und habe alle Endgeräte schon frisch konfiguriert, überprüft, .... Heute morgen wieder unter Windows 7 am Laptop mir den Netzwerkadapter angesehen und er sieht mal wieder so aus:

Drahtlos-LAN-Adapter Drahtlosnetzwerkverbindung:

Verbindungsspezifisches DNS-Suffix: fritz.box
Beschreibung. . . . . . . . . . . : Qualcomm Atheros AR9485WB-EG Wireless Net
work Adapter
Physikalische Adresse . . . . . . : 40-F0-2F-57-6B-1B
DHCP aktiviert. . . . . . . . . . : Ja
Autokonfiguration aktiviert . . . : Ja
IPv6-Adresse. . . . . . . . . . . : 2001:xxxxxxxxx(Bevo
rzugt)
Temporäre IPv6-Adresse. . . . . . : 2001:xxxxxxxx(Bevo
rzugt)
IPv6-Adresse. . . . . . . . . . . : 4006:3be8:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4006:3bf5:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4006:51ae:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4006:cb35:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4006:cb37:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4011:d40b:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 4011:e605:c0a8:a19:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:6e8:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:71a:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:71f:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:721:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:763:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:765:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7a4:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)

... musste den Beitrag kürzen

IPv6-Adresse. . . . . . . . . . . : 8006:44f4:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:4652:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:75b1:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:75d1:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:78b1:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:78b2:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:78c7:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7941:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c37:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c3f:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c53:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c5e:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c68:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:7c83:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:e9c2:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:fa1b:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:fd89:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff22:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff23:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff25:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff26:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff27:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff28:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8006:ff29:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
IPv6-Adresse. . . . . . . . . . . : 8011:2c7d:c0a8:a17:402e:ca3a:7536:16f7(Verworfen)
Verbindungslokale IPv6-Adresse . : fe80::402e:ca3a:7536:16f7%13(Bevorzugt)
IPv4-Adresse . . . . . . . . . . : 192.168.10.23(Bevorzugt)
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Lease erhalten. . . . . . . . . . : Samstag, 1. November 2014 16:10:32
Lease läuft ab. . . . . . . . . . : Sonntag, 16. November 2014 09:11:32
Standardgateway . . . . . . . . . : fe80::a96:d7ff:fe57:c322%13
192.168.10.1
DHCP-Server . . . . . . . . . . . : 192.168.10.1
DHCPv6-IAID . . . . . . . . . . . : 356577327
DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-1B-8D-33-3A-28-D2-44-3E-A5-A2

DNS-Server . . . . . . . . . . . : fd00::a96:d7ff:fe57:c322
192.168.10.1
NetBIOS über TCP/IP . . . . . . . : Aktiviert

Vor einiger Zeit dachte ich dann, Wireshark müsste mir ja helfen können.... Pustekuchen... Ich habe von einem anderen PC ein Mitschnitt gemacht und die IPv6-Adressen gefiltert, darunter konnte ich irgendwann diesen Eintrag finden, der mir allerdings wirklich gar nicht weiterhilft...



--> Link zum Bild für lesbare Darstellung

Sorry für den langen Post! Ich wollte allerdings einfach alles reinpacken und versuchen so genau wie möglich alles zu schildern. Hat noch jemand ne Idee oder so ein "Phänomen"? Von irgendwo her muss das ja kommen? Spinnt irgendein Endgerät rum? Wie ist das zu erklären?!

Danke für die Bemühungen und Hilfe hier!

Gruß
Mike

 

[Frogman]

Das klingt mir nach temporären Präfixen, die gemäß Empfehlung RFC4862 als Ergänzung zu den üblichen Private Extensions empfohlen werden und für eine gewisse Zeit bei Zugriffen nach draußen verwendet werden, bis sie dann wieder verworfen werden.
Das Problem der PE ist ja, dass sie einen Benutzer nicht wirklich vor Tracking schützen, da der feste Präfix hier verfolgbar ist. Nun soll der Provider zwar regelmäßig den Präfix neu auswürfeln, doch wird auch dabei ein wesentlicher Teil konstant gelassen (bei der Telekom bspw. ein /56 Präfix). Als Ausweg empfiehlt sich - analog zu den PE - ein Erzeugen von unterschiedlichen temporären Präfix-Adressen, wie es bspw. in der OpenWRT-Software implementiert ist. Details dazu findest Du bspw. hier. Ich weiß nicht, ob das nun bereits in der Fritzbox auch gemacht wird, aber sonst läuft vielleicht in Deinem AP ein DHCPv6-Server, der diese Präfixe verteilt.

 

[Mike0185]

Danke schon mal für deine Bemühungen. Der AP hat def. keinen DHCP Server am laufen. Wenn ich bei der Fritte IPv6 deaktivere bzw. keine IPv6 Internetzugangsart wähle, dann werden auch überhaupt keine Adressen an die Endgeräte verteilt. Wäre ein weiterer IPv6DHCP im Netz müssten doch auch dann diese Adressen verteilt werden!? Die Fritte hat als FW 06.04 das vom ISP kommt. Ich nutze ja HE mit statischer IPv6 als Tunnelbroker.

 

[Frogman]

Dein Tunnelbroker bleibt hier außen vor - der liefert Dir ja nur einen Tunnel mit statischem Präfix, sonst nix. Der DHCPv6 in der Fritzbox arbeitet unabhängig davon. Was liefert Dir denn diese Seite als IPv6-Adresse?

PS: Was ist das für ein WLAN-AP?

 

[Mike0185]

Über die IPv6-Testseite bekomme ich meine statische ipv4 und für IPv6 folgendes:

IPv6 connectivity
IPv6 Supported
Address 2001:xxxxx:6a3c:aa90:917 (die erste temporäre IPv6 meines Notebooks)
Type Native IPv6
SLAAC No
ICMP Filtered
Hostname None
ISP Hurricane Electric United States

der AP ist ein ASUS RT-N66U im Betriebsmodus:Access Point (AP)-Modus Firmware-Version:3.0.0.4.376_1071

 

[Frogman]

Sind im ASUS in den erweiterten Einstellungen bei IPv6 die Router Advertisement deaktiviert? (Keine Ahnung, ob man das im AP-Modus sieht...)

EDIT:
Gibt's in den Netzwerkeinstellungen Deiner Fritte auch eine Option "Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetzwerk bekanntgeben"?

 

[Mike0185]

Frogman, vielen Dank (mal wieder) für deine Mühen! Hier die Infos:

Also: Im AP sehe ich überhaupt keine IPv6-Einstellungen, alles auf IPv4. Gäste-WLAN ist inaktiv. Es steht im AP-Modus dabei:

Im Access Point (AP)-Modus verbindet sich RT-N66U mit einem drahtlosen Router durch ein Ethernet-Kabel, um ein bereits vorhandenes Funksignal an andere Netzwerk-Clients zu erweitern. In diesem Modus werden Firewall, IP-Sharing und NAT-Funktionen standardmäßig deaktiviert. Im Access Point (AP) -Modus ändert sich die vom DHCP zugewiesene IP-Adresse. Installieren und verwenden Sie das Device Discovery Utility (Gerätesuchprogramm), um die IP-Adresse des Routers zu ermitteln.

Mehr Einstellungen kann ich nicht wirklich im Bezug auf IPv6 hier finden.

Zur Fritte:

Internet - Zugangsart: IPv6: Immer ein Tunnelprotokoll für die IPv6-Anbindung nutzen, Daten von HE.

Heimnetz - Netzwerkeinstellungen:

Weitere IPv6-Router im Heimnetzwerk
[ ] Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetzwerk bekanntgeben
[x] DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006)
Falls mehrere DHCP Server im Heimnetz aktiv sind, wird der DHCPv6 Server mit dem höheren Präferenzwert von den Heimnetzgeräten priorisiert.
Präferenz des FRITZ!Box DHCPv6-Servers: 0

Unique Local Adresses
Wählen Sie aus, wie den Geräten im Netzwerk die Unique Local Adresses (ULA) zugewiesen werden sollen.
[x] Unique Local Addresses (ULA) zuweisen, solange keine IPv6-Internetverbindung besteht (empfohlen)
[ ] keine Unique Local Addresses (ULA) zuweisen (nicht empfohlen) Meh
[ ] Unique Local Addresses (ULA) immer zuweisen

DHCPv6-Server im Heimnetz
[x] DHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren:
[x] Nur DNS-Server zuweisen
FRITZ!Box als DNS-Server via DHCPv6 bekannt geben.
[ ] DNS-Server und IPv6-Präfix (IA_PD)zuweisen
FRITZ!Box als DNS-Server via DHCPv6 bekannt geben. Teile des vom Internetanbieter zugewiesenen IPv6-Netzes an nachgelagerte Router weitergeben.
[ ] DNS-Server, Präfix (IA_PD) und IPv6-Adresse (IA_NA) zuweisen
FRITZ!Box als DNS-Server via DHCPv6 bekannt geben. Teile des vom Internetanbieter zugewiesenen IPv6-Netzes an nachgelagerte Router weitergeben. Geräte im Heimnetzwerk bekommen eine IPv6-Adresse via DHCPv6 zugewiesen.9
[ ] DHCPv6-Server in der FRITZ!Box deaktivieren:

Mehr Einstellungen in der Fritte zu IPv6 finde ich auch hier nicht...

 

[Frogman]

Wähle doch einmal
Präferenz des FRITZ!Box DHCPv6-Servers: 255
und
[x] DNS-Server und IPv6-Präfix (IA_PD)zuweisen

By the way: wenn Du den AP mal temporär vom Netz nimmst und den Rechner per Kabel an den Switch hängst - bekommst Du dann nach einem Neustart ebenfalls die fraglichen Adressen? Und haben alle Geräte, die ohnehin schon am Switch hängen, auch immer solche Adressen?

 

[Mike0185]

Ich wähle mal die Konfiguration um, wie du geschrieben hast und beobachte...

[ ] Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetzwerk bekanntgeben
[x] DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006)
Präferenz des FRITZ!Box DHCPv6-Servers: 255
[x] DNS-Server und IPv6-Präfix (IA_PD)zuweisen

gespeichert und übernommen.


Den AP kann ich danach auch mal noch rausnehmen, falls das keine Besserung verspricht. Es bekommen ALLE Endgeräte diese IPv6-Adressen... Von Laptop (WLAN), Handys und auch drahtgebundene PCs.

 

[Mike0185]

Die Adressen sind wieder da....

 

[Frogman]

Die Adressen sind wieder da....

Ohne den Asus?

 

[Mike0185]

So ich hatte jetzt ein wenig die Möglichkeit zu testen... Ich kann es aber trotzdem nicht wirklich eingrenzen. Ich habe den Asus AP nun vom Strom genommen, meinen verkabelten PC neugestartet, nach dem eine Flut von Ipv6-Adressen da war... Anschließend waren 2 Adressen noch da, zwei Reboots halfen nichts, dann hab ich die Fritte neugestartet und die Adressen waren komplett verschwunden. Ich habe 10 Minuten normal gesurft, es kam keine Adresse dazu. Dann hab ich den AP wieder eingeschaltet und es passierte erstmal nichts.... Dann hat sich mein Handy mit dem WLAN verbunden und ich hatte ne riesen Liste von temporären Adressen. Danach hab ich meine LAN-Adapter deaktiviert und wieder aktiviert und es standen wieder 2 weitere Adressen (4011 + 8006)... Weitere 2-3 Minuten später nun wieder zig weitere...

D.h. die Sache kommt von meinem AP? Verteilt der im WLAN an die Endgeräte aus i.welchen Sicherheitsgründen temporäre Adressen und verwirft sie wieder oder was soll das!? Ist das normal, dass diese Adressen dann auch bei den verkabelten Endgeräten landen? Was empfiehlst du? Ggf. alternative FW für den AP? OpenWRT?

 

[Frogman]

Tja, von Fritzboxen habe ich so etwas bisher nie gehört.
Und für den Asus - wie wär's mit der Merlin-Firmware? Wird immer gerne genommen, und besser als die originale ist sie allemal...

 

[Mike0185]

So... Danke für den Tipp kenne bisher nur Tomato und DDWrt . Hab die aktuelle Firmware: 376.47 (Merlin build) nun jetzt mal drauf gezogen und werde weiter beobachten und berichten! Danke schon mal für den weiteren Tipp!

 

[Mike0185]

Auch mit der Merlin-FW... Die Adressen sind wieder da :-(

 

[Frogman]

Ok, Merlin baut ja auf der Asus-FW. Ich denke, dann solltest du einmal beim Asus-Support anklopfen...

 

[Mike0185]

Denkst du es kommt def. vom AP?

 

[Frogman]

Wenn die verschwinden ohne ihn... ja. Und Fritzbox schließe ich aus, habe ich nie ehört (und habe sie selbst mit meiner Fritte auch nicht, mit Tunnel).

 

[Mike0185]

Hatte die Kiste nun 2 Tage aus und bin auf das WLAN der FB 6360 umgestiegen. Gestern dachte ich die Adressen hab ich los, aber gerade habe ich sie wieder....

 

[Mike0185]

Mittlerweile habe ich den AP durch das WLAN der FB 6360 ersetzt und nutze einen Stock höher einen Repeater. Das WLAN funktioniert ohne Probleme, allerdings sind die Adressen immer noch da....

Mittlerweile habe ich nun sogar mein Galaxy S5 im Verdacht: Ich hatte es den ganzen Tag im WLAN offline gehalten. Die Adressen kamen nicht. Gegen Abend habe ich es einwählen lassen und 5-10 Minuten später war eine 4011:: mit auf dem Laptop vorhanden. Das Handy habe ich daraufhin wieder offline gesetzt. Den Client musste ich 2-3 mal neu booten bis die Adresse dann wieder verschwunden war, diese tauchte dann auch nicht mehr auf.... bisher noch nicht... zumindest. Ich werde es jetzt weiter offline halten und beobachten ob die Adressen wirklich mit dem Handy zusammen hängen,

aber... kann das sein!? Und... von was soll hier eine Adressverteilung kommen?!

Google wirft hier auch nichts aus zu meinem Problembild...