[Problem] 7170 - Login auf AVM WebIF funktioniert nicht mit IPv6

[steveje]

Hallo,..

ich habe gerade festgestellt, dass bei meiner "7170" mit "freetz-devel-11086M" der Login auf das AVM Interface nicht über IPv6 funktioniert. Das fiel bisher nicht auf, da ich erst jetzt die Namesauflösung auf IPv6 ergänzt habe. Die Box ist also per http://fritz.box auf IPv4 und IPv6 im internen Netz erreichbar.

Ereignisprotokoll der Box:

Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 2001:xxx gescheitert (ungültige Sitzungskennung).
Zur Sicherheit werden alle noch gültigen Sitzungen zur IP-Adresse 2001:xxx beendet.

Ich vermute dass die (betagte) AVM-Firmware, bzw das Webinterface evt. nicht ordentlich mit IPv6 umgehen kann? Ich habe das Problem erstmal so gelöst, dass ich Port 80 auf der IPv6 der Box per ip6tables abgedreht habe. Dann läuft der Zugriff wie gewohnt über IPv4. (Das soll aber kein Dauerzustand sein) Das WebIF von Freetz funktioniert einwandfrei über IPv6.

Der "cltmgr" bindet sich automatisch an alle Adressen auf der Box:

# netstat -tapun|grep ctlmgr

tcp        0      0 127.0.0.1:3835          127.0.0.1:8888          ESTABLISHED 637/ctlmgr
tcp        0      0 :::8080                 :::*                    LISTEN      637/ctlmgr
tcp        0      0 :::80                   :::*                    LISTEN      637/ctlmgr
udp        0      0 :::2050                 :::*                                637/ctlmgr

Zwei Fragen dazu:

Kann man den ctlmgr anweisen nur an einer bestimmte IP zu lauschen (oder eben nur an IPv4 Schnittstellen)?
Läßt sich evt. das WebIF von AVM patchen, damit der ipv6 -Login funktioniert? Ist ja vllt. nur eine Kleinigkeit, denn abrufen lassen sich die Seiten ja über IPv6, nur eben die Sitzungkennung scheint bei IPv6 nicht zu funktionieren.

Gruss

Steveje

 

[RalfFriedl]

Tritt der Fehler auch mit original Firmware auf? Wenn ja, ist es kein Problem von Freetz.

 

[steveje]

Der Fehler tritt mit der originalen Firmware natürlich nicht auf, da diese von Haus aus kein IPv6 unterstützt.

Ich habe zwischenzeitlich mal das Logging von ctlmgr angeschaltet und dabei kam heraus (nur ein Auszug):

<11031.307125>ctlmgr:msg from luacgi0: "<message><to>security</to><from>luacgi0</from><sequence>11</sequence><transaction><type>query</type><key>status/login_blocked</key><error>0</error></transaction></message>"

<11031.309781>ctlmgr:msg OUT: "<message><to>luacgi0</to><from>security</from><sequence>2346</sequence><transaction><type>response</type><key>status/login_blocked</key><sequence>11</sequence><error>0</error><values><r><v>0</v></r></values></transaction></message>"

Vermutlich hält die FritzBox die IPv6 Adresse für eine Externe IP und verhindert den Zugriff. Wenn ich bewusst mal ein falsches Passwort übergebe, erscheint im Log "wrong password". Somit scheint das AVM-WebIF - rein technisch betrachtet - über IPv6 zu funktionieren. Nur eben, dass die Box imho denkt, IPv6 IPs sind Extern und dürfen grundsätzlich nicht rein. Mit der Notation von IPv6 scheint das AVM-WebIF dann offensichtlich doch keine Probleme zu haben. (Das vermutete ich Anfangs...)

Gruss

Steveje
--

 

[RalfFriedl]

Wenn die original Firmware und damit auch der ctlmgr nicht auf IPv6 ausgelegt ist, ist es nicht verwunderlich, wenn es nicht funktioniert. Es kann, muss aber nicht. Es gibt dafür eine Menge möglicher Ursache, aber wenig, was man mit vernünftigem Aufwand dagegen tun kann.
Ist die Adresse "2001:xxx" aus dem ersten Beitrag wenigstens vollständig, oder ist sie abgeschnitten?

 

[Beetlejuice]

Vermutlich hält die FritzBox die IPv6 Adresse für eine Externe IP und verhindert den Zugriff.

Funktioniert der Login auf einer fe80:: Adresse der Fritzbox?

 

[steveje]

Hallo,...

schade, aber ich hatte es fast schon befürchtet, dass über den ctlmgr nicht viel bekannt ist.

Ist die Adresse "2001:xxx" aus dem ersten Beitrag wenigstens vollständig, oder ist sie abgeschnitten?

Ja die Adressen sind im "Ereignislog" der Box und beim ctlmgr (mit eingeschalteten Logging) vollständig und werden korrekt angezeigt, bzw. geloggt. Auch die Überprüfung des Passwortes funktioniert mit IPv6. Daher nahm ich an, es könnte vllt. klappen.

Funktioniert der Login auf einer fe80:: Adresse der Fritzbox?

Mir ist keine Möglichkeit bekannt sich auf eine Link-Local Adresse zu verbinden.

Gruss

Steveje