Machen Dich "DS-Lite und CG-NAT" zum Internet-Nutzer 3. Klasse?

[Barungar]

Ich habe den Titel bewusst provokativ gewählt und als Suggestiv-Frage ausgestaltet. Denn in meiner Sicht ist dem so ... Provider die ihre Kunden (User) hinter DS-Lite oder CG-NAT zwingen machen diese in meinen Augen zu Internet-Nutzern der "Economy Class" um es mal mit dem euphemistischen Namen der 3. Klasse aus der Luftfahrt zu nennen.

Das sehe aber nicht nur ich so, sondern auch Internet-Größen wie Cloudflare, die dazu vor fast einem Jahr einen längeren Artikel [1] in ihrem Blog veröffentlicht haben.

Aber was sind nun konkrete Vor- und Nachteile bei DS-Lite oder CG-NAT?

Nachteile	Vorteile
weniger stabile IPv4-Verbindung	anonymerer Internet-Zugriff
messbar, langsamere IPv4-Verbindungen	überhaupt noch ein IPv4 auf einem "reinen" IPv6-Anschluss
messbar, schlechtere Reputation im Internet	Kostenersparnis (leider nur für den Provider)
keine Erreichbarkeit "von außen" über IPv4

Mal abgesehen von dem etwas anonymeren Internet-Zugriff gibt es für den (Zwangs-)Nutzer keinen wirklichen Vorteil.
Die Nachteile sind aber schon nicht trivial, Cloudflare spricht hier sogar nicht von Nachteil sondern von "Kollateralschaden".

Viele Dienstanbieter bzw. deren Abwehr- und Sicherheitssysteme erkennen bei CG-NAT und DS-Lite "ungewöhnliche" Muster, die sich vom restlichen Internetverkehr unterscheiden. Das führt dazu, dass Reputationswerte sinken, teilweise sogar Ratenbegrenzungen oder vollständige Firewall-Blocks aktiviert werden. Und der (Zwangs-)Nutzer fragt sich auf einmal, wieso eine bestimmte Internet-Funktion daheim im WLAN nicht funktioniert, aber von unterwegs über LTE am Smartphone dann doch wieder. Und das obwohl daheim im WLAN technisch alles okay ist... tja, da hat man dann eventuell ungewollt eine "schlechte Reputation".

Genau diesen Umstand beschreibt Cloudflare in seinem Artikel, dass nämlich die (Zwangs-)Nutzer von CG-NAT bzw. DS-Lite häufiger als man denkt die Opfer solcher Maßnahmen auf Grund der "falsch-positive" Reputation "ihrer" IPv4 werden.

Barungar



---
[1] https://blog.cloudflare.com/detecting-cgn-to-reduce-collateral-damage/

 

[Hanshipp]

Hi,
das habe ich am eigenen Leib erfahren.
Provider (örtlicher Stadtwerke) hatte Plusnet (Der war echt Super, keine Ausfälle nichts) als Provider, wurde dann einfach als "Verbesserung" auf einen Mini-Anbieter im Osten umgestellt.

Ergebnis:

Vorher echte iPv4 jetzt CG-NAT

Dadurch enstandene Nachteile:
Zig Hopps
Ping von 5ms auf 27ms hochgegangen
Verlorene Pakete beim Telefonieren
Photos Sicherung an meinem NAS nur noch mit Umwegen.

Aussage:
Ich könnte ja auf den Buisness Tarif wechseln, dann bekomme ich eine echte iPv4.
Da bin ich gerade noch am Verhandeln, denn gerade verlorene Pakte im Glasumfeld sind für mich ein NoGo.

 

[framp]

Interessante Info. Ich habe zwar momentan kein CGNAT, aber wie ich gelesen habe, bekommt man bei einem GF Anschluss üblicherweise CGNAT.

Da popped natürlich die Frage auf, warum die Provier einem keine IPV6 verpassen. Wie ich verstehe gibt es im Internet noch diverse Seiten, die per IPV6 nicht erreichbar sind und deshalb immer noch IPV4 Adressen notwendig sind.

Der Grund warum CGNAT genutzt wird, ist somit klar. Ist aber nicht verständlich warum es immer noch so viele mit nur IPV4 gibt. 2017 wurde IPV6 abgesegnet.

PS: Seitdem ich IPV6 bei mir aktiviert habe @home sehe ich oft meine IPV6 Adresse auf Webseiten. D.h. der Weg geht nach IPV6 ... leider sehr langsam

 

[Barungar]

bekommt man bei einem GF Anschluss üblicherweise CGNAT

Das kommt auf den Anbieter an. Das "Problem" ist nicht die Glasfaser, das "Problem" ist das Alter des Anbieters. Junge Provider, die es erst seit 5 bis 10 Jahren gibt, die haben oft kaum noch IPv4-Adressen bekommen, sind aber mit IPv6-Adressen "todgeworfen" worden.

Das liegt einfach an dem Fakt, der auch schon seit dutzenden Jahren bekannt ist, dass nämlich keine/kaum noch freie IPv4-Adresse vorhanden sind.

Wenn Du als Glasfaser bei einem "alteingesessenen Internet-Provider" nimmst, der sein Dienste z.B. >= 20-25 Jahre anbietet, dann bekommst Du auch bei Glasfaser häufig standardmäßig DualStack. Es kommt also eher auf die Wahl des Anbieters als auf die Zugangstechnik an.

Bei Internet über Kabel hast Du oft ein ähnliches Bild, auch hier haben die Provider häufig nicht genug IPv4-Adressen.

 

[Barungar]

Bestes Beispiel...

Mein Provider "NetCologne" (AS8422) hat 583.176 delegierte IPv4-Adressen und laut eigenen Angaben ca. 550.000 Kunden.
Der Provider "Deutsche Glasfaser" (AS60294) hat 92.928 delegierte IPv4-Adressem und laut eigenen Angaben > 1,7 Mio. Kunden.

Merkst Du was?

DGF hat mehr als die dreifache Kundenanzahl aber nicht einmal ein Fünftel der IPv4.

Das liegt daran, dass die früher IPv4 per "first-come-first-serve" vergeben wurden, da bekam ein "kleiner" lokaler Provider (Tochter der Stadtwerke Köln) über eine halbe Mio. IPv4 und Jahre später bekam ein "größerer" deutschlandweit agierender Provider nicht einmal 100.000 IPv4.

Es entscheidet allein das Alter eines Internet-Providers, ob er Dir eine IPv4 so gibt oder ob er Dir einen teureren Tarif verkauft bzw. Zusatzkosten haben will. Weil für ihn die IPv4 ein "knappes Gut" ist und da gilt die gute alte Marktwirtschaft.

Und da das IPv4-Vergabesystem keine "Gerechtigkeit" kennt. Bleibt nur die Flucht nach vorne zu IPv6, DGF und viele andere Provider würden das sicher sehr, sehr begrüßen. Denn wenn IPv4 nicht mehr genutzt würde, hätten sie diesen Wettbewerbsnachteil nicht. Aber zum Glück (aus Sicht der Provider) weiß die große Mehrheit der Kunden nichts von diesem "Wettbewerbsnachteil" und merkt es erst, wenn dann z.B. der Sohn/die Tochter nicht richtig zocken kann oder wenn man VPN einrichten möchte.

Aber in manchen Entwicklungsländern bzw. Länder, der technisch damals noch nicht so weit waren, muss sich heute das GANZE LAND mit 256 IPv4 begnügen. Ja, es gibt mehrere Länder auf der Welt, die nur ein 24er Netz erhalten haben, weil sie "zu spät" kamen.

 

[Der Eifelsachse]

Hallo @Barungar,

ja, du hast die Ursache für für die notwendige Entwicklung und Einführung von DS-Lite, CG-NAT und NAT insgesamt gut "herausgearbeitet". Die IPv4 sind eben "ausverkauft". Da können wir darüber diskutieren, wie wir wollen.
Ich sehe das eigentliche Problem darin, dass sich die Menschen immer noch gegen IPv6 wehren. Zumindest die, in den immer noch einigermaßen mit IPv4 versorgten Ländern. In den von dir erwähnten "Entwicklungsländern" hat man sich längst daran gewöhnt und kann damit umgehen. (Und ist uns in den entsprechenden Erfahrungen weit voraus!)
An dieser Stelle möchte ich das bekannte Rheinische Grundgesetz zitieren: Kenne mer nit, bruche mer nit, fott domit. Ich denke, das passt hier.
Wir älteren Kollegen können uns garantiert noch an die Sprüche und guten Ratschläge diverser Computer-"Fach"-Zeitschriften, wie die mit einem Wort so ähnlich wie BLÖD im Namen, erinnern, Diese "Fachjournalisten" haben damals eine breite Front gegen IPv6 aufgemacht und jedem privaten Nutzer dringend empfohlen immer auf ihrer WinDOSe zuerst IPv6 zu deaktivieren. Diese Saat ist aufgegangen und steht jetzt in Form kräftiger Bäume herum.
Ich selbst "musste" (oder besser durfte!) mich in meiner ehemaligen beruflichen Tätigkeit von Anfang an mit IPv6 befassen. Und ich habe das auch gern getan (ohne den beruflichen "Zwang" vielleicht nicht?). Dabei habe ich schnell einen "großen Nachteil" von IPv6 erkannt: Der Mensch muss umdenken und dazulernen! Und genau das machen eben viele nicht gern.

Ich selbst habe als Uraltkunde eines großen Providers von Anfang an IPv4 und später echten DS erhalten. Und ich habe, als mein Provider dann endlich auch IPv6 angeboten hat, dieses in meinen, jetzt nur noch privaten, Netzen sofort eingerichtet. Und selbst mein gar nicht mal so kleines WireGuard-Netz arbeitet vollständig im DS. Meine Statistiken zeigen, dass die meisten Verbindungen sowohl beim normalen Surfen als auch innerhalb meines VPN mittlerweile per IPv6 stattfinden.
Ich hoffe und wünsche, dass ich es in den mir noch verbleibenden Jahren noch erleben darf, dass IPv4 mit all seinen Nachteilen wie DS-Lite, CG-NAT und NAT insgesamt in Vergessenheit gerät.

 

[blurrrr]

Das "Problem" ist nicht die Glasfaser, das "Problem" ist das Alter des Anbieters. Junge Provider, die es erst seit 5 bis 10 Jahren gibt, die haben oft kaum noch IPv4-Adressen bekommen, sind aber mit IPv6-Adressen "todgeworfen" worden.

Genau so ist es... zudem kosten IPv4-Netze mittlerweile auch ein vielfaches von dem, was sie einst mal gekostet haben. Registriert man sich bei der RIPE, so gibt es schon seit einigen Jahren "Wartelisten". IPv6 kriegste sofort, bei IPv4... naja... die Zahl der Mitglieder in der Warteschlange steigt eher, als das sie sinkt (s. https://www.ripe.net/manage-ips-and-asns/ipv4/ipv4-waiting-list/). Da kann man "Glück" haben, oder halt auch nicht. Momentan ist man "pro IP" (also pro einzelner IP, bei Abnahme von min. /24 gerechnet - kleiner geht halt nicht) - mit viel Glück - bei irgendwo um 30+€/Stk, oftmals aber eher 50€. Also im Durchschnitt eher so um die 10.000€ pro /24er Netz.

Zusätzlich problematisch dabei ist allerdings, dass es aus dem EU-Raum nur selten etwas gibt, man dafür aber - in der Theorie - noch ohne Ende Netze von der AFRINIC/APNIC. Zudem ist es auch immer so ein Thema, ob der Großteil der Adressen eher "verbrannt" ist (durch wiederholte Auffälligkeiten, aber halt auch je nach Einsatzzweck).

Finde es ja auch nach wie vor richtig "toll", dass manche auch einfach so auf ihren Netzen "hocken" (und teilweise nicht nutzen und die einfach nur brach liegen). Teileweise auch einfach Spekulationsgut (pro IP früher 5€, jetzt halt 50€). Hätte man bei SSDs und RAM eigentlich auch machen sollen...

Dabei habe ich schnell einen "großen Nachteil" von IPv6 erkannt: Der Mensch muss umdenken und dazulernen! Und genau das machen eben viele nicht gern.

Naja, geht so, für die meisten ist und bleibt es "unsichtbar". Wirklich in Berührung damit kommt man ja auch nur, wenn man sich mit der Thematik mal befassen möchte/muss.

Es ist ja - irgendwo - schon der richtige Weg (sofern man denn öffentliche IPv6-Adressen bekommt!) und die IPv4-Konnektivität "muss" ja auch irgendwo bereitgestellt werden (biste bei ISP XY kannste halt kein Spiegel online mehr lesen ). Unter'm Strich bleibt es doch eigentlich auch alles beim alten (und ist auch nie anders gewesen)... Der Kunde darf es ausbaden Die einen kommen nicht aus dem Quark, die nächsten wollen nicht, andere preschen ggf. ganz vor und machen nur noch IPv6, rudern dann aber wieder halb zurück, weil das in der heutigen Zeit auch nicht funktioniert (schon garnicht für den Kunden). Denke nicht, dass es den Providern da großen Spass macht... ist nicht schön, aber funktioniert (für die meisten - aus Sicht des ISP)

P.S.: Falls noch wer "günstig" ein IPv4-Netz abzugeben hat... *husthust*

 

[Barungar]

P.S.: Falls noch wer "günstig" ein IPv4-Netz abzugeben hat... *husthust*

Ich könnte Dir 10.0.0.0/8 für nur 800.000.000 € anbieten, weil Du es bist. Sind sogar über 16.000.000 IPv4

 

[framp]

Interessante Infos über IPv6. Das war mir bislang nicht so bekannt.

Anyhow: Ich habe vor längerer Zeit auf meiner FB IPVv6 aktiviert einfach weil ich Erfahrung mit IPv6 sammeln wollte. Es gab ein paar kleine Problemchen, aber seitdem werden bei mir ca 30% IPv6 Anfragen according PiHole im lokalen Netz gestellt (gerade nachgesehen). D.h. für mich dass 70% der besuchten Webseiten noch kein IPv6 können (Ich habe sowohl eine IPv4 als auch IPv6 von meinem Provider). Ist schon ein Trauerspiel ...

 

[Der Eifelsachse]

Also ich habe auf meinen drei Rechnern im Firefox ein kleines Add-on installiert, welches mir bei jeder hergestellten Verbindung live eine kleine 6 bzw. 4 anzeigt. Die 4 sehe ich nur noch recht selten. Zumindest bei "nennenswerten" Seiten.
Auch in meinen AdGuard home kann ich jederzeit sehen, dass (in meinem Netz incl. den VPN-Verbindungen) überwiegend IPv6 genutzt wird.

 

[framp]

So sieht es in meinem PiHole aus

 

[Barungar]

@framp Meine Tagesstatistik sagt:

A-Record	11.957
AAAA-Records	10.499
HTTPS-Records	839
PTR-Records	218
SRV-Records	174

 

[framp]

Jetzt ist die Frage woraus sich die Unterschiede ergeben.

Lese ich mehr Bildzeitung und Du den Spiegel?

... beide unterstützen IPV6 ... aber warum sieht meine Statistik mehr nach 50/30 aus?

 

[frosch2]

Sieht auch nach 50:50 aus.

 

[Der Eifelsachse]

Lese ich mehr Bildzeitung und Du den Spiegel?

Jetzt haben sie dich ertappt!
Ich schiebe die unterschiedlichen Werte auf einen evtl anderen Provider, einen anderen "Technikvorleister", dessen Routing/Peering und andere diesbezügliche Ursachen. Und sicherlich (auch wenn das bei uns beiden recht unwahrscheinlich sein wird) haben auch alle User garantiert unterschiedliche Interessen hinsichtlich ihres "Internetkonsums". Ich sehe jedenfalls per Add-on "IP Address Checker" life im Browser dass ich überwiegend per IPv6 unterwegs bin.
Und: Mitunter wird ein Ziel (im www oder auch für einen WG-Tunnel) mal mit IPv6 und dann wieder mit IPv4 erreicht. Keine Ahnung, warum. Aber ich habe schon lange nicht mehr den Anspruch, alles verstehen zu "müssen".

 

[Barungar]

Ich schiebe die unterschiedlichen Werte auf einen evtl anderen Provider, einen anderen "Technikvorleister", dessen Routing/Peering und andere diesbezügliche Ursachen.

Diese Einschätzung macht keinen Sinn... denn es geht hier um die gestellten A bzw. AAAA Anfragen an den lokalen PiHole im LAN. Ein Provider oder "Technikvorleister" kommt hier noch gar nicht ins Spiel. Auch der Konsum im Internet hat hierauf keinen Einfluss.

Ein Client der nur IPv4 und kein IPv6 "spricht" fragt naturgemäß ausschließlich A-Records an.
Ein Client der IPv4 und IPv6 "spricht" fragt A- und AAAA-Records im gleichen Verhältnis an.
Ein Client der "nur" IPv6 "spricht", würde entsprechend auch nur AAAA-Records anfragen.

Ob also ein Dienstanbieter IPv4 oder IPv6 kann, spielt im Augenblick der DNS-Anfrage noch gar keine Rolle. Hier ist einzig der eigene Client maßgeblich. Ob der Anbieter IPv4 und/oder IPv6 macht erfährt man erst aus den Antworten auf A- und AAAA-Anfrage.

Die einzige Konclussion ist folglich, dass in framps LAN mehr Clients nur IPv4 sprechen als bei anderen Usern.

Warum das so ist, ist "aus der Ferne" spekulativ... denkbar ist, dass:
a) framp auf vielen Geräten IPv6 nicht aktiv hat
oder
b) framp mehr "alte" oder "billigere" Geräte einsetzt, die kein IPv6 beherrschen.

 

[Der Eifelsachse]

OK, klingt schlüssig (speziell, was die Namensauflösung betrifft). Oder zumindest fast ... .
- Warum habe ich (bei echtem Dualstack auf allen meinen Geräten) in mehr als 50% der Verbindungen IPv6?
(Vermutlich, weil ich zufälligerweise fast nur IPv6-fähige Ziele ansurfe und kaum Ziele, die nur IPv4 sprechen?)
- Warum sind es bei meinen "Tunnelverbindungen" zwischen den einzelnen WireGuard-Endpunkten fast 90%?
(Vermutlich, weil sie nur sehr selten "zwangsgetrennt" werden.)
- Und warum läuft ein Tunnel - warum auch immer - mitunter intern "nur" über IPv4?
(Um mich zu ärgern?)

Letztendlich ist mir das sch<zensiert>-egal. Hauptsache es läuft stabil. Und ich freue mich, dass "meine" Netze so problemlos das moderne und IMHO auch bessere Protokoll sprechen.
Wenn ich das jetzt unbedingt abklären "müsste", würde ich ein Script schreiben, welches 1000 mal zu unterschiedlichen Zeiten einen http-Request zu einem und dem selben Ziel lostritt, den DNS-Cache löscht und die Ergebnisse statistisch auswertet. Aber glücklicherweise muss ich derartiges nicht mehr

edit:
Alle meine Geräte waren zwar zum Zeitpunkt ihres Kaufes bzw. Zusammenbaus alles andere als billig - aber mittlerweile schon lange nicht mehr neu. Ich bin ja auch nicht mehr der Schnellste ... .

 

[Barungar]

OK, klingt schlüssig (speziell, was die Namensauflösung betrifft). Oder zumindest fast ... .

Es ist schlüssig... nicht nur fast. Und Du wirfst hier zwei Paar Schuhe zusammen. In der Frage und Statistik von Framp ging es ausschließlich um DNS-Anfragen. Du hast dann plötzlich IPv4- und IPv6-Verbindungen ins Spiel gebracht. Die letztliche Verbindung ist aber ziemlich unabhängig von der davor stattgefundenen DNS-Auflösung.

- Warum habe ich (bei echtem Dualstack auf allen meinen Geräten) in mehr als 50% der Verbindungen IPv6?
(Vermutlich, weil ich zufälligerweise fast nur IPv6-fähige Ziele ansurfe und kaum Ziele, die nur IPv4 sprechen?)

Wie ich oben schon geschrieben habe, hat die DNS-Auflösung erst einmal grundsätzlich nichts mit der späteren Verbindung zu tun. Da kommen noch ein paar mehr Faktoren mit ins Spiel. Ersten gibt es den Dienst überhaupt auf IPv6? Zweitens hat das Betriebssystem und/oder die Client-Anwendung, die Du nutzt, eine Präferenz? Zwar sagen die einschlägigen RFCs, dass bei IPv6 und IPv4 das IPv6 zu bevorzugen ist, aber das heißt ja nicht, dass sich jedes Stück Software auch daran hält.

- Warum sind es bei meinen "Tunnelverbindungen" zwischen den einzelnen WireGuard-Endpunkten fast 90%?
(Vermutlich, weil sie nur sehr selten "zwangsgetrennt" werden.)

Naja, vermutlich, weil es einen AAAA-Record gibt und sich Wireguard an die RFCs hält, und somit bei vorhandenem IPv6 dieses auf bevorzugt verwendet.

- Und warum läuft ein Tunnel - warum auch immer - mitunter intern "nur" über IPv4?
(Um mich zu ärgern?)

Falls Du Dich auf einen Wireguard-Tunnel beziehst, so kommt das auf die Einrichtung Deines Tunnels an.
Welches IPv6-Netz hast Du denn in der Tunnel-Verbindung konfiguriert. Die FritzBox z.B. verwendet in einem WireGuard-Tunnel ausschließlich ULA. Das heißt wenn Du über einen FritzBox-Wireguard-Tunnel IPv6 nutzen willst, dann ist das kein Problem, so lange Du das Ziel über die ULA erreichen kannst. Das gilt erst einmal per se nur für die Geräte in Deinem LAN. Und zweitens muss der angefragte DNS-Server auch mit einer ULA antworten... tun die wenigsten.

Das IPv6 im Wireguard-Tunnel ist für die meisten FritzBox-Nutzer also herzlich nutzlos. Da ich meinen eigenen autoritativen Nameserver betreibe, kann ich auf Grund der Herkunft der Anfrage entscheiden, wie ich antworte... das tue ich bei AAAA im Zweifel auch mit der ULA und nicht da GA.