zwei Anregungen für neue Funktionen der FRITZ!Box zur Diskussion kundgetan

[DJ00]

Moin Moin!

ich hätte da mal zwei Anregungen für neue Funktionen der FRITZ!Box 7270 (und / oder höher) und wollte diese hier zur Diskussion öffentlich kundtun:

1. Erweiterung der IPv6-Freigabemöglichkeiten.

Wenn die Box schon IPv6 unterstützt, dann wäre es auch cool, einen der Hauptvorteile von IPv6, nämlich die eindeutige öffentliche Adressierbarkeit jedes Rechners im Netzwerk, sinnvoll nutzen zu können, indem man unter Internet -> Freigaben -> IPv6 ähnlich wei bei den IPv4-Portfreigaben exposed Hosts (also dem Internet [schutzlos] ausgesetzte Rechner) einrichten könnte.
Wenn ich das vom Prinzip her richtig verstehe, handelt es sich bei den IPv6-Freigaben ja im Gegensatz zum den IPv4-Freigaben nicht um Portweiterleitungen, sondern um von der IPv6-Firewall ausgenommene Ports, da ja aufgrund der eindeutigen öffentlichen IP jedes Rechners gar nicht erst irgend etwas umgeleitet werden muss. Mit den momentanen Möglichkeiten der IPv6-Freigaben kann ich (vermutlich mangels [nichtmals optionaler] Durchreichung von eingehenden ICMP-Paketen) leider nichtmals einen Rechner in meinem Netzwerk von außen über IPv6 testweise anpingen (z. B. von SubnetOnline.com aus, wo ich nur die FRITZ!Box selber erfolgreich anpingen konnte). Oder funktioniert das bei jemandem von euch?

Natürlich ist die eindeutige Adressierbarkeit bei nicht vorhandener Firewall auch ein großes Risiko, aber für Menschen, die wissen, was sie tun (Stichwort Expertenansicht) wäre es eine feine Sache, Rechner via IPv6 komplett "ungefiltert" am Internet hängen zu haben, also so, dass der Fritz wirklich nur als Router fungiert und nicht als "Zwangsfirewall", so gut er es auch meinen mag.

Außerdem habe ich mir gerade noch gedacht, Portweiterleitungen à la IPv4 würden zusätzlich auch für IPv6 Sinn ergeben, beispielsweise wenn man nur die öffentliche IP-Adresse der FRITZ!Box selbst preisgeben will, einen Webserver trotzdem auf einem anderen Rechner im Netzwerk laufen lassen zu können, ohne dessen IP preiszugeben und ohne ihn von der Firewall auszunehmen. Das ist aber nur eine weiter gehende Überlegung, die vielleicht sogar etwas zu weit geht.

2. erweiterte Fax-Funktionalität

Ich fände es super, wenn es für die eingegangenen Faxe ähnlich wie fürs NAS eine schöne graphische Verwaltung per Web-Interface mit Vorschaubildchen und so feinen Sachen gäbe. Ich meine, die FRITZ!Box wandelt die Faxe ohnehin in PDFs um und kann sie auf dem USB-Speicher ablegen. Da wäre es doch cool, wenn man die Faxe dann auch im Webinterface anklicken und Funktionen wie "an Fax-Nr. weiterleiten", an E-Mail-Adresse weiterleiten" (mit fallweiser Eingabe der Empfängeradresse) oder auch "an Drucker senden" (was wegen nicht existenten Universaldruckertreibers vielleicht etwas utopisch ist aber trotzdem cool wäre) zur Verfügung hätte.

Bitte verschont mich mit Kommentaren wie "schraub mal deine Wünsche etwas zurück oder Kauf dir Gerät XY, wenn du das alles haben willst, schließlich werden derartige Features von AVM nicht beworben". Das ist mir schon klar, aber ich habe meine Überlegungen hier gepostet, damit darüber diskutiert werden kann, und Anregungen sind ja schließlich keine Forderungen, oder?

 

[jspies]

...
1. Erweiterung der IPv6-Freigabemöglichkeiten.
...
Außerdem habe ich mir gerade noch gedacht, Portweiterleitungen à la IPv4 würden zusätzlich auch für IPv6 Sinn ergeben, beispielsweise wenn man nur die öffentliche IP-Adresse der FRITZ!Box selbst preisgeben will, einen Webserver trotzdem auf einem anderen Rechner im Netzwerk laufen lassen zu können, ohne dessen IP preiszugeben und ohne ihn von der Firewall auszunehmen. Das ist aber nur eine weiter gehende Überlegung, die vielleicht sogar etwas zu weit geht.

Die Idee, neben TCP und UDP auch andere Protokolle freigeben zu können (z.B. bestimmte ICMPv6-Typen, GRE, ESP und AH) finde ich gut und habe ich auch schon als Verbesserungsvorschlag an AVM geschickt.

Eine Exposed-Host Funktionalität halte ich für weniger notwendig/wünschenswert, wenn die o.g. Erweiterungen zur Verfügung stehen. Die Gefahr besteht dann immer, dass „weniger kundige“ ihren Rechner als Exposed-Host freigeben, wenn sie irgendeine Anwendung nicht zum Laufen bringen. Hört man ja heute schon oft genug als Tipp, wenn was nicht geht: „Dann schalte erst mal die lokale Firewall ab“. Ich habe noch nie gelesen, dass einer der Tippgeber schreibt: „Und wenn das nicht hilft, schalte die Firewall wieder an“.

Den oben zitierten Absatz verstehe ich so, dass eine Art NAT stattfinden soll um die Adresse interner Rechner zu "verheimlichen". Abgesehen davon, dass ich nie so recht verstanden habe, was daran so schlimm ist, wenn die Adresse eine Rechners, der global von außen erreichbar sein soll, auch global bekannt ist, verliert man durch das NAT wieder alle Vorteile der endlich wieder hergestellten End-to-end-Verbindungen im Internet, die IPv6 bietet. D.h. all der Ärger mit Protokollen/Anwendungen, die nicht funktionieren kommt dann wieder (z.B. IPSec, mit der NAT-T Krücke als wirklich abschreckendes Beispiel, FTP mit Passive-Mode als nicht ganz so gruseliges oder irgendwelche STUN-Server für Sip).

 

[DJ00]

Bei den IPv4-Portweiterleitungen gibt es die Option "exposed Host" doch auch, warum sollte man sie dann nicht auch bei den IPv6-Portfreigaben anbieten? Für so manche Leute wäre das sicher nützlich. Meinetwegen kann man ja eine Warnung einbauen, die darauf hinweist, dass auf "exposed Host"-Rechnern selbst eine Firewall laufen sollte.

Bei einer NAT-Funktion für IPv6 geht es weniger um die "Verheimlichung" von IP-Adressen (was ja auch angesichts von Portscannern etc. wenig Sinn ergäbe), sondern viel mehr darum, dass beispielsweise verschiedene Server auf verschiedenen Rechnern im Netzwerk alle unter der selben IP (nämlich der der FRITZ!Box, die die Anfragen dann je nach Port an den entsprechenden Rechner weiterleitet) vom Internet aus erreichbar wären (und - sollten sie nicht von der FRITZ!Box-IPv6-Firewall ausgenommen sein - NUR darüber). Das wäre doch durchaus eine (wahrscheinlich nicht von Ottonormalnutzer benötigte aber dennoch für so manchen) nicht gänzlich unnütze Anwendung, oder?

 

[jspies]

Bei einer NAT-Funktion für IPv6 geht es weniger um die "Verheimlichung" von IP-Adressen (was ja auch angesichts von Portscannern etc. wenig Sinn ergäbe)

Nur am Rande: [Klugscheiss]Mit einem Portscanner Rechner in einem IPv6-Subnetz zu finden, dürfte kaum möglich sein, da jedes Subnetz 2^64 (~2 * 10^19) Adressen umfasst. (Insbesondere wenn wie z.B. bei Windows keine EUI-64 basierten Interface-Identifier sondern zufallsgenerierte verwendet werden.)[/Klugscheiss]

Das wäre doch durchaus eine (wahrscheinlich nicht von Ottonormalnutzer benötigte aber dennoch für so manchen) nicht gänzlich unnütze Anwendung, oder?

Kann sein, auch wenn mir jetzt keine Anwendung einfällt. Für mich persönlich überwiegen die Nachteile durch das NAT allerdings bei weitem.