Orange Flex 5G / IPv6 – brak możliwości nawiązania połączeń przychodzących

[Tsugumi]

Cześć, próbuję zestawić bezpośrednie połączenie P2P pomiędzy komputerem stacjonarnym w sieci domowej a laptopem łączącym się przez hotspot komórkowy. Obie karty SIM działają w usłudze Orange Flex w zasięgu 5G/LTE.

Konfiguracja: Host (Dom): Router ZTE 5G (karta Orange Flex, APN: internetipv6), komputer z systemem Fedora Linux. Klient: Laptop Windows podłączony przez hotspot 5G z telefonu w Orange Flex (APN: internetipv6). Adresacja: Obie strony uzyskują w pełni poprawne, publiczne adresy IPv6 (2a00:...). Testy: Serwis test-ipv6.com na obu urządzeniach wskazuje wynik 10/10.

W panelu routera ZTE dodano regułę w filtrze IPv6 z akcją Akceptuj dla adresu MAC i docelowego adresu IPv6 komputera. Porty w zaporze systemowej (firewalld na Linuksie) zostały otwarte (UDP 41641 dla Tailscale, 47984-48010 dla Sunshine/Moonlight), testowano również z całkowicie wyłączonym firewalld. Profil sieci na laptopie (Windows) ustawiony na Prywatny.

No i mimo posiadania publicznego adresu IPv6, ruch przychodzący do hosta jest całkowicie blokowany. Ping nie odpowiada, a Tailscale wymusza ruch przez przekaźnik DERP.

No i stąd pytania

1. Czy zapora sieciowa Orange na poziomie stacji bazowych w usłudze Orange Flex przy APN internetipv6 całkowicie odrzuca niesprowokowany ruch przychodzący dla IPv6?

2. Czy w Orange Flex istnieje jakakolwiek możliwość odblokowania portów przychodzących po IPv6?

[Piotrekk85]

2. Nie. Tylko Orange Vpn w abo.

[Glut]

@Tsugumi https://nasz.orange.pl/t5/Orange-Flex/Orange-Flex-zewn%C4%99trzne-IP/td-p/349691

[atlas_cudow]

Największą wadą Orange Flex jest właśnie to o czym piszesz. Trzeba się ratować Tilescale, Zerotierem lub jakimś VPS"em z publicznym IP.  

[Tsugumi]

Tak, tylko że tu jest właśnie absurd tej sytuacji: Orange Flex daje publiczny, globalnie routowalny adres IPv6, a jednocześnie sztucznie wycina niesprowokowany ruch przychodzący i nie daje użytkownikowi możliwości zdjęcia tej blokady.

Przy IPv4 można to jeszcze tłumaczyć CGNAT-em, ale przy IPv6 adres jest publiczny i end-to-end z definicji ma sens właśnie wtedy, gdy użytkownik może sam decydować o regułach firewalla. Tutaj Orange narzuca dodatkowy filtr po swojej stronie i nie daje opcji jego wyłączenia (przynajmniej na razie nie znalazłem takiej opcji).

[atlas_cudow]

Tak, to prawda i nic z tym nie zrobimy. Było wiele prób przekonania zespołu Orange, aby odpłatnie dali możliwość wykupienia obsługi VPN,. czyli publicznego IPv4 ale bezskutecznie. Odnośnie polityki ipv6 to chyba każdy operator mobilny wycina ruch przychodzący  u siebie na FV.