Kleiner IPv6-Workshop

In vielen Netzen von Unitymedia sind Internet und Telefonie bereits verfügbar.
Forumsregeln
  • Kunden aus Hessen und Nordrhein-Westfalen können über die Rufnummer 0221 / 466 191 00 Hilfe bei allen Problemen in Anspruch nehmen.
  • Kunden aus Baden-Württemberg können über die Rufnummer 0711 / 54 888 150 Hilfe bei allen Problemen in Anspruch nehmen.
Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 26.01.2015, 19:16

Citrusman hat geschrieben:War blöd ausgedrückt von mir, ich meinte ob ich den an den Ubee klemmen kann für die Portgeschichte.
Ich war nämlich der Meinung das das Ding auch eine Portfreigabeoption hatte. Sicher bin ich mir allerdingsnicht mehr.
Wenn's ein zum Access Point umfunktionierter Router ist (Bei den TP-Link durchaus sinnvoll, die reinen AP sind teurer als die Router), dann hat er u.U. Portfreigaben, ja.

Du kannst ihn dann auch hinter den ÜBEL klemmen und Portfreigaben vornehmen.
Alles, was Du dann im TP-Link freigibst kannst Du aus dem Netz des ÜBEL erreichen ...

Mensch ....

Es muß doch irgendwie mal in die Köppe reinzukriegen sein, daß Router Netze trennen (Daher auch schon mal "Border Device", auf Deutsch also "Grenz(übergangs)gerät", genannt) und deshalb nienicht mitten in ein Netz gehören.
Und in einem Netz braucht man keine Portfreigaben.

Und wenn ich einen zweiten Router hinter den ersten kaskadiere, dann habe ich eben auch das vom ersten Router erzeugte private Netz vor dem zweiten und nicht mehr das Internet. Was der erste Router nicht durchläßt, kann der zweite doch nicht auf einmal wieder bekommen ...

Wenn Du Deinen Briefschlitz zunagelst, dann kannst Du hinter der Haustür 10 Briefkästen aufstellen, es landet einfach keine Post drin.
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Banis
Kabelneuling
Beiträge: 4
Registriert: 31.01.2015, 11:41

Re: Kleiner IPv6-Workshop

Beitrag von Banis » 31.01.2015, 11:52

Hallo zusammen,

ich stehe nun auch vor dem Problem, dass ich einen neuen Vertrag bei KabelBW abgeschlossen haben und mich deshalb mit dem DS-Lite Verfahren begnügen muss. Vielen Dank an dieser Stelle an SpaceRat für den tollen Workshop.
SpaceRat hat geschrieben:Wenn's ein zum Access Point umfunktionierter Router ist (Bei den TP-Link durchaus sinnvoll, die reinen AP sind teurer als die Router), dann hat er u.U. Portfreigaben, ja.
Verstehe ich das richtig, dass ich also die Firewall des Ubee ausschalten könnte und dahinter einen zweiten OpenWRT Router platzieren könnte, der extern eine IPv6 Adresse hat und ein neues IPv4 Subnetz erzeugt in dem meine NAS hängt. Dann müsste es doch möglich sein von Extern auf den OpenWRT zuzugreifen und diese Anfragen über ein Portforwaring an meine NAS weiterleiten. Oder habe ich hier einen Denkfehler?

hajodele
Kabelkopfstation
Beiträge: 4821
Registriert: 10.04.2013, 14:19
Wohnort: Kabelbw-Land

Re: Kleiner IPv6-Workshop

Beitrag von hajodele » 31.01.2015, 11:59

Banis hat geschrieben:Verstehe ich das richtig, dass ich also die Firewall des Ubee ausschalten könnte und dahinter einen zweiten OpenWRT Router platzieren könnte, der extern eine IPv6 Adresse hat und ein neues IPv4 Subnetz erzeugt in dem meine NAS hängt.
Leider funktioniert das aktuell nur mit den Fritzboxen, da die Präfix des JuHu nicht weitergereicht wird.

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 31.01.2015, 12:32

Banis hat geschrieben:Verstehe ich das richtig, dass ich also die Firewall des Ubee ausschalten könnte und dahinter einen zweiten OpenWRT Router platzieren könnte, der extern eine IPv6 Adresse hat und ein neues IPv4 Subnetz erzeugt in dem meine NAS hängt. Dann müsste es doch möglich sein von Extern auf den OpenWRT zuzugreifen und diese Anfragen über ein Portforwaring an meine NAS weiterleiten. Oder habe ich hier einen Denkfehler?
Ja, der Denkfehler ist, daß Du nicht weitergelesen hast.

Es wurde nun schon x Mal klargestellt, daß Router Netze trennen, wenn man also mehrere Router hintereinander kaskadiert, erzeugt man mehrere Netze (und nicht eines, wie das im heimischen LAN normal gewünscht wird).
Weiter hinten liegende Router hängen dementsprechend auch nicht mehr "im Internet" sondern immer nur im privaten LAN des vorgeschalteten.

Damit sollte eigentlich auch klar sein, daß Portweiterleitungen auf nachgeschalteten Routern zwar durchaus funktionieren, aber nicht das machen, was man voraussichtlich wirklich will.

IPv4-Port-Weiterleitungen im Router sorgen dafür, daß Geräte hinter dem Router (Also in dessen LAN) aus dem davor liegenden Netz erreichbar sind. Das funktioniert immer. Nur daß bei einer Router-Kaskade das vorgeschaltete Netz eben nicht mehr das Internet ist, sondern nur ein anderes privates Netz.


Aber weil Du OpenWrt erwähnt hast:
Man kann einen Router mit OpenWrt¹ so hinter das DK7200 oder ÜBEL EVIL klemmen, daß IPv4-mäßig zwar besagte Router-Kaskade entsteht² , IPv6-mäßig jedoch der OpenWrt-Router im selben Netz hängen wird wie das DK7200 oder das ÜBEL EVIL. Der OpenWrt-Router arbeitet dann für IPv6 nicht mehr als Router (Trennt also keine Netze, sondern verbindet sie), läßt aber seine IPv6-Firewall aktiv.
Es funktioniert immerhin so gut, daß ich die Dinger fertig konfiguriert verkaufen kann *g*, daher auch der Archer C7 in meiner Signatur.
Was ich verkaufe muß ich auch bereit sein, selber zu essen ;)

Die Grundkonfiguration ist jetzt gar nicht mal so schwer, in /etc/config/network sieht der Abschnitt wan6 so aus:

Code: Alles auswählen

config interface 'wan6'
        option ifname '@wan'
        option proto 'dhcpv6'
        option reqaddress 'try'
        option peerdns '0'
        option dns '2001:4860:4860::8888 2001:4860:4860::8844'
        option reqprefix 'no'
und in /etc/config/dhcp so:

Code: Alles auswählen

config dhcp 'wan6'
        option dhcpv6 'relay'
        option ra 'relay'
        option ndp 'relay'
        option master '1'
        option interface 'wan'
        option ignore '1'
        option ra_management '1'
Das reicht, damit Geräte hinter dem OpenWrt-Router IPv6-Adressen aus dem gemeinsamen IPv6-Netz von DK7200/ÜBEL EVIL3226 und OpenWrt-Router erhalten.
IPv6-Freigaben für nachgeschaltete Geräte gestalten sich bei UM/KBW allerdings wegen des dynamischen Präfixes schwer, denn mit dynamisch veränderlichen Adressen mag die Firewall nicht so recht.

IPv6-Freigaben auf dem OpenWrt-Router selber sind hingegen kein Problem, denn für diese Freigaben braucht man die Zieladresse nicht.
Das wiederum reicht, um einen OpenVPN-Server auf dem OpenWrt-Router laufen zu lassen und darüber von überall aus Vollzugriff auf's eigene LAN zu erhalten. In Verbindung mit einem IPv4-to-IPv6-Port-Proxy wie dem von feste-ip.net sogar aus reinen IPv4-Netzen (Wie z.B. Mobilfunk).

Will man unbedingt Geräte im LAN unmittelbar (also nicht erst über das VPN) freigeben, dann sollte das mit einem NAT-ähnlichen Konstrukt via tcpproxy (Ab Chaos Calmer der Ersatz für 6tunnel in OpenWrt) möglich sein, sogar für Server, die selber nur IPv4 sprechen.



1 = Ich empfehle, den aktuellen Chaos Calmer trunk zu verwenden und nicht Barrier Breaker oder älter. Dazu muß der Router aber mehr als 4 MB Flash haben, sonst gibt's keine grafische Oberfläche LuCi.
2 = Nicht schön, aber akzeptabel, da von außen eh nix mehr per IPv4 ankommt
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Banis
Kabelneuling
Beiträge: 4
Registriert: 31.01.2015, 11:41

Re: Kleiner IPv6-Workshop

Beitrag von Banis » 02.02.2015, 11:01

Vielen Dank für die Ausführliche Anleitung. Ich werde dies im Laufe der Woche mal ausprobieren.

lip
Kabelneuling
Beiträge: 1
Registriert: 07.02.2015, 12:37

Re: Kleiner IPv6-Workshop

Beitrag von lip » 07.02.2015, 13:10

Auch von mir vielen Dank @SpaceRat. Jedoch bekomme ich es nicht ans Laufen. Ich habe bereits letztes Wochenende etwas rumgedoktort und es jetzt erneut versucht. Auch habe ich alles einmal komplett resetet, dabei möchte ich doch nur das meine IPv6 Connectivity hinterm OpenWRT erhalten bleibt.
Neuste trunk Version, und nur deine Änderung übernommen funktionieren leider nicht bei mir, er verpasst meinen Geräten dennoch selbst eine Adresse (fd9e:f8e:8cd::24f/128). Ich verzweil noch :D Dabei fühle ich mich jetzt nicht so unfit in solchen Sachen. Habe auch die Befehle bestmöglich nachvollzogen und denke das sollte auch passen soweit (hier & hier).
Es widerstrebt mir auch nach einer DAU-Anleitung zu fragen, aber hättest du Hinweise zum Troubleshooting?
Wenn ich das Gerät testweile direkt ans TC7200 hänge bekomme ich auch die gewünschte IPv6, jedoch nicht später hinterm OpenWRT. Weiß nicht ob irgendetwas sonst auf TC7200 Seite zu beachten wäre, wobei ich die Firewall zeitweise auch mal deaktiviert hatte.
Ich bin zumindest leider am Ende, da ich jetzt auch nicht weiß wie ichs richtig eingrenzen könnte. Falls du Ideen hast, wäre ich dir sehr dankbar!

Schönes Wochenende in jedem Fall! Ich glaub ich geh mal vor die Tür... :)

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 07.02.2015, 13:33

lip hat geschrieben:er verpasst meinen Geräten dennoch selbst eine Adresse (fd9e:f8e:8cd::24f/128).
Das sagt leider gar nix:
Diese Adressen (ULAs) verpaßt OpenWrt den angeschlossenen Geräten immer, egal ob WAN-seitig IPv4-only, Dual Stack, DS-lite, ... anliegt.

Wenn die WAN-Seite korrekt für IPv6 konfiguriert ist, stören diese Adressen auch nicht weiter.
Sie sind dann sogar im Gegenteil praktisch, wenn man auch im LAN mit IPv6 arbeiten will, da sie sich im Gegensatz zu den öffentlichen Adressen von UM nie ändern.
In dem Fall kriegen die Geräte diese ULA zusätzlich zur öffentlichen IPv6.

Ist die WAN-Seite hingegen nicht richtig für IPv6 konfiguriert, dann kriegen die Geräte diese ULA immer noch und manche - fehlerhafte - Programme schließen dann daraus, daß IPv6-Konnektivität vorhanden ist und nutzen sie auch. Entweder dauert es dann "ewig", bis "Dual Stack"-Server erreicht werden können (Weil zuerst erfolglos IPv6 versucht wird, bevor ein Rückfall auf IPv4 erfolgt) oder Verbindungsversuche schlagen sogar komplett fehl.
lip hat geschrieben:Es widerstrebt mir auch nach einer DAU-Anleitung zu fragen, aber hättest du Hinweise zum Troubleshooting?
Mir fällt grad aus dem Stegreif nix Schlaues dazu ein, dazu gibt es zu viele Variablen in der Gleichung.
Ich habe Dir aber auch noch eine PN geschickt ...
lip hat geschrieben:Weiß nicht ob irgendetwas sonst auf TC7200 Seite zu beachten wäre, wobei ich die Firewall zeitweise auch mal deaktiviert hatte.
Wenn/sobald alles läuft, sollte die IPv6-Firewall des DK7200 sogar ganz ausgeschaltet werden (Dann aber keine Geräte mehr direkt am DK7200 anschließen), damit sich OpenWrt allein um die Firewall-Regeln kümmern kann.
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Conan179
Übergeordneter Verstärkerpunkt
Beiträge: 585
Registriert: 25.01.2015, 22:38

Re: Kleiner IPv6-Workshop

Beitrag von Conan179 » 07.02.2015, 15:57

Mal eine frage, ich hab einen root server der eine fest ip hat. besteht irgendwie die möglichkeit, das ich die ports vom avm vpn über die feste ipv4 addresse auf meinen ds-lite anschluss umleiten kann, so das die verbindung hinhaut?
Es ist ein Linux server, mit ds anschluss.
BildBildBild

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 07.02.2015, 17:02

Conan179 hat geschrieben:Mal eine frage, ich hab einen root server der eine fest ip hat. besteht irgendwie die möglichkeit, das ich die ports vom avm vpn über die feste ipv4 addresse auf meinen ds-lite anschluss umleiten kann, so das die verbindung hinhaut?
Nein.
Das AVM-VPN nutzt IPSec, da ist es mit ein paar Port-Proxies nicht getan.

Conan179
Übergeordneter Verstärkerpunkt
Beiträge: 585
Registriert: 25.01.2015, 22:38

Re: Kleiner IPv6-Workshop

Beitrag von Conan179 » 07.02.2015, 17:06

tja war ein versuch wert, muss halt doch ne openvpn verbindung herhalten.
BildBildBild

Rooby
Kabelneuling
Beiträge: 17
Registriert: 17.02.2015, 22:40

Re: Kleiner IPv6-Workshop

Beitrag von Rooby » 17.02.2015, 23:36

Hallo

Ich bräuchte mal eure technische Hilfe.
Ich habe mir den TCP/IP-Workshop - IPv6 und IPv4 reingezogen, bin aber immer noch nicht 100%ig sicher was wie möglich ist. Da ich in den Raum Stuttgart ziehe überlege ich mir einen (kastrierten) Kabel BW Internet Anschluss zu holen. D.h. ich werde vermutlich nur ein DS-lite bekommen da ich die 10Mbit upload möchte. Business mit IPV4 -10Mbit upload ist da viel zu teuer.
Nun zu meinem Problem/Konfig:
Derzeit nutze ich ein modem+Asus Router (VDSL50, RT-AC66U+Asus Merlin Firmware). Der Router meiner Frau und der meiner Eltern (alle gleiche HW aber ADSL und alle nur IPV4) verbinden sich automatisch via OpenVPN mit meine Router und ich kann dann bequem auf alle Geräte (IP Kamera, Solaranlage, NAS, Netzwerksteckdose etc.) zugreifen. Alles wird über OpenVPN getunnelt und hat lokale IPV4 Adressen.
So und jetzt, wenn ich zu Kabel BW und DS-lite wechsle ist die Frage ob ich das überhaupt noch so wieder hinbekomme. Ich bin gerade dabei herauszufinden ob ich hinter meinem Routern alle Geräte generell auf IPV6 umstellen kann. Das muss ich noch klären. Andererseits es bleibt das Problem, dass der internet Anschluss der andren Routern derzeit noch IPV4 haben.
Alle Router möchte ich jedenfalls behalten.
Wie könnte das Setup aussehen damit ich wieder auf mein Geräte und die anderen Router auf meinem OpenVPN Server (im Router) von außen verbinden können. Ich vermute ich brauche einen tunnel provider. Wenn ich ein ubee evw3226 bekomme kann ich dann meinen Router noch irgendwie im routing modus betreiben. Ich möchte den ubee möglichts nur als modem nutzen (brige mode wird ja leider wegkastriert..). Ich trau auch Kabel BW nicht. So wie ich gehört habe, haben die generell remote Zugriff auf den ubee. Deshalb möchte ich alles irgendwie über meinen Router abkapseln.
Vielleicht kann das ja jemand skizzieren wie so ein Setup aussehen könnte oder ob das überhaupt so möglich ist. Konfigurationsdetails kann ich mir selbst erarbeiten. Ich brauche nur eine Übersicht wie so ein Setup aussehen könnte und was man braucht. Ich kann auch auf dem Router Skripte, cron jobs etc laufen lassen um z.B. spezielle DynDNS server zu kontaktieren.
Ich will vermeiden, dass ich dann 2 Jahre lange einen Anschluss habe mit dem ich nicht viel anfangen kann. Und einen Anschluss auf Probe gibts ja leider nicht.

Danke im voraus.

hajodele
Kabelkopfstation
Beiträge: 4821
Registriert: 10.04.2013, 14:19
Wohnort: Kabelbw-Land

Re: Kleiner IPv6-Workshop

Beitrag von hajodele » 17.02.2015, 23:42

Rooby hat geschrieben:Ich will vermeiden, dass ich dann 2 Jahre lange einen Anschluss habe mit dem ich nicht viel anfangen kann. Und einen Anschluss auf Probe gibts ja leider nicht.
Indirekt gibt es den schon: "Highspeedversprechen" 2 Monate.

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 18.02.2015, 00:16

Rooby hat geschrieben:Derzeit nutze ich ein modem+Asus Router (VDSL50, RT-AC66U+Asus Merlin Firmware). Der Router meiner Frau und der meiner Eltern (alle gleiche HW aber ADSL und alle nur IPV4) verbinden sich automatisch via OpenVPN mit meine Router und ich kann dann bequem auf alle Geräte (IP Kamera, Solaranlage, NAS, Netzwerksteckdose etc.) zugreifen. Alles wird über OpenVPN getunnelt und hat lokale IPV4 Adressen.
Das sind soweit fast die perfekten Voraussetzungen.

Theoretisch genügt es, in den fremden Routern 6in4-Tunnel z.B. von Hurricane Electric/Tunnelbroker einzurichten und OpenVPN in den Dual-Stack-Betrieb zu konfigurieren.
Beides ist kein Hexenwerk:
  • Eine Anleitung für die Tunneleinrichtung unter AsusWrt gibt es hier
    Merlin sollte da nicht gravierend abweichen.
  • OpenVPN umzustellen besteht aus nichts weiter als in den Konfigurationsdateien "tcp-server" bzw. ""tcp-client" in "tcp6-server" bzw. ""tcp6-client" zu ändern (udp geht theoretisch genauso, würde ich aber vermeiden, dazu später mehr).
    Mit diesen Einstellungen steht der Server sowohl per IPv6 als auch per IPv4 zur Verfügung. Clients probieren zuerst IPv6, fallen aber auch auf IPv4 zurück, wenn IPv6 nicht zur Verfügung steht.
    Umgestellt ist damit nur das Trägernetz, innerhalb des VPNs - also bei der Payload - bleibt alles beim Alten.
  • Auf dem OpenVPN-Server brauchst Du natürlich auch eine entsprechende Freigabe des OpenVPN-Ports für IPv6, damit das klappt.
Das solltest Du sogar jetzt schon hinkriegen, indem Du auf allen drei Routern einen solchen 6in4-Tunnel einrichtest.

Jetzt kommen die Aber:
In der Theorie ändert sich dann beim Umzug an den KBW-Anschluß nur, daß IPv6 dann nativ zur Verfügung steht ...
In der Praxis bin mir aber nicht sicher, ob der Asus-Router hinter dem Übel EVIL3226 oder TC7200 ein IPv6-Präfix erhalten wird. Sollte er zwar, aber sicher bin ich mir da nicht.
Außerdem kann es sein, daß er zwar ein Präfix erhält, aber Adressen aus dem an den Asus delegierten Präfix nicht von außen erreichbar sind.

In dem Fall wäre ein Wechsel auf einen Router mit OpenWrt (Am besten das neueste "Chaos Calmer") sinnvoll, da OpenWrt auch ein vorhandenes Präfix eines vorgeschalteten Routers mitbenutzen kann (Bei der IPv6-WAN-Verbindung wird dazu alles, also DHCPv6, NDP, ... auf "Relay" gestellt). Der OpenWrt-Router arbeitet dann als reine IPv6-Firewall (und IPv4-Router).

Rooby hat geschrieben:Wie könnte das Setup aussehen damit ich wieder auf mein Geräte und die anderen Router auf meinem OpenVPN Server (im Router) von außen verbinden können.
tcp -> tcp6
oder
udp -> udp6
Das ist im Prinzip alles, sofern Merlin IPv6-fähige OpenVPN-Binaries enthält.

Du solltest tcp verwenden, weil Du das zusätzlich oder alternativ auch über einen Port-Proxy (z.B. http://www.feste-ip.net) per IPv4 bereitstellen kannst (Um z.B. vom IPv4-only Mobilfunk aus in Dein VPN zu kommen). udp kann man so aber nicht proxien.

Rooby hat geschrieben:Ich vermute ich brauche einen tunnel provider.
Wenn in Merlin IPv6-fähige OpenVPN enthalten sind, wäre das die eleganteste Lösung.
Die Clients kriegen dabei gratis noch Dual Stack oben drauf.

Du kannst aber auch das Konstrukt über den Port-Proxy wählen:
  • Du stellst den Server per IPv6 bereit und suchst Dir einen möglichst abwegigen Port aus.
  • Für den Server legst Du einen IPv6-DynDNS-Hostname an, z.B. ipv6.rooby.chickenkiller.com bei FreeDNS.
  • Dann legst Du auf http://www.feste-ip.net einen Port-Mapper an, der auf besagten Port von ipv6.rooby.chickenkiller.com weiterleitet.
    Dadurch erhältst Du einen Hostname a la rooby.feste-ip.net auf dem man unter - im Idealfall - demselben Port Deinen OpenVPN-Server auch per IPv4 erreichen kann.
    Der Port-Mapper nimmt IPv4-Verbindungen an und leitet sie per IPv6 an den angegebenen Port auf dem angegebenen IPv6-Server weiter.
    Deshalb sollte der Port auch möglichst abwegig gewählt sein, damit ihn nicht schon jemand anderes nutzt und Du einen 1:1 Port-Mapper (= Selber Port auf rooby.feste-ip.net wie auf ipv6.rooby.chickenkiller.com) bekommst.
    Notfalls versuchst Du verschiedene Port-Nummern, bis Du einen oder mehrere 1:1-Mapper hast und paßt dann Deinen OpenVPN-Port darauf an.
Jetzt kommt der Clou:
Nun löst Du einfach den Hostname rooby.feste-ip.net auf eine IPv4-Adresse auf und legst Dir einen eigenen DynDNS-Host ipv4.rooby.chickenkiller.com mit dieser IP an. Da sich diese nicht ändert, braucht dieser Host nicht aktualisiert zu werden.
Dann legst Du einen Host rooby.chickenkiller.com als A-Record mit wieder dieser IPv4 an und noch einmal denselben Host rooby.chickenkiller.com als AAAA-Record mit Deiner aktuellen IPv6.
Aktualisieren mußt Du danach nur ipv6.rooby.chickenkiller.com und den AAAA-Record für rooby.chickenkiller.com.

Im Ergebnis hast Du einen DynDNS-Hostname rooby.chickenkiller.com, der - für die gemappten Ports - von IPv6-only-, IPv4-only- und Dual-Stack-Clients aus gleichermaßen nutzbar ist, ganz so als hättest Du selber auch Dual Stack.
Mittels ipv6.rooby.chickenkiller.com bzw. ipv4.rooby.chickenkiller.com hast Du zusätzlich noch die Möglichkeit, das eine oder das andere Protokoll zu erzwingen.

Im Ergebnis funktioniert dann ein OpenVPN-Client-Profil mit diesen Einstellungen:

Code: Alles auswählen

proto tcp6-client
remote rooby.chickenkiller.com 64279
aus allen Netzen.
IPv6-fähige Clients nutzen IPv6, IPv4-only-Clients IPv4.

Rooby hat geschrieben:Und einen Anschluss auf Probe gibts ja leider nicht.
Es gab da mal einen Monat Rücktrittsrecht, wenn man nicht zufrieden ist.
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Rooby
Kabelneuling
Beiträge: 17
Registriert: 17.02.2015, 22:40

Re: Kleiner IPv6-Workshop

Beitrag von Rooby » 18.02.2015, 00:36

Hallo SpaceRat

man das war aber ein schnelle super Antwort. Vielen Dank!!
Ich muss das alles erstmal sacken lassen. Ich hab zwar dein tutorial gelesen aber ich denke ich muss da nochmal durch um deine Antwort im Detail zu verstehen.
Aber ich nehme mal an das das im Prinzip funktionieren sollte. D.h. ich werde noch etwas brauchen bis ich alles verstanden habe. Könnte ich ich dich dann nochmal direkt kontaktieren falls doch noch Detailfragen offen sind.
D.h. eine habe ich noch. Mein OpenVPN habe ich so konfiguriert, dass auch die clients untereinander kommunizieren.
Ich habe aber nie verstanden wie das geroutet wird. Geht das alles über den server oder kommuniziere die clients dann untereinander?
Geht das dann trotzdem noch? Das ist wichtig, damit ich auch von überall nach überall zugreifen kann.

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 18.02.2015, 00:55

Rooby hat geschrieben:man das war aber ein schnelle super Antwort. Vielen Dank!!
Büdde.

Rooby hat geschrieben:Aber ich nehme mal an das das im Prinzip funktionieren sollte.
Auf jeden Fall.
Der Betrieb von (anständigen) Servern über IPv6 ist überhaupt kein Problem.

Du solltest Dir lieber Sorgen um die anderen Probleme im IPv4-Betrieb machen:
Kein Senden von E-Mails mit Anhang möglich (TC7200)
Uploadfehler u. Timeout

Rooby hat geschrieben:D.h. ich werde noch etwas brauchen bis ich alles verstanden habe. Könnte ich ich dich dann nochmal direkt kontaktieren falls doch noch Detailfragen offen sind.
Detailfragen immer.

Rooby hat geschrieben:D.h. eine habe ich noch. Mein OpenVPN habe ich so konfiguriert, dass auch die clients untereinander kommunizieren.
Ich habe aber nie verstanden wie das geroutet wird. Geht das alles über den server oder kommuniziere die clients dann untereinander?
Geht das dann trotzdem noch? Das ist wichtig, damit ich auch von überall nach überall zugreifen kann.
Innerhalb des VPN ändert sich dadurch wie es äußerlich aufgebaut wird nix.

Im Fernsehen kommt auch immer derselbe Sch31ß, egal ob Du per DVB-S, DVB-T, DVB-C oder IPTV guckst:
"Asis im Brennpunkt", "Der Bätschler" und das "ZZZ-Promi-Camp" kommen da so oder so.
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Rooby
Kabelneuling
Beiträge: 17
Registriert: 17.02.2015, 22:40

Re: Kleiner IPv6-Workshop

Beitrag von Rooby » 18.02.2015, 01:09

ok danke nochmal für die Tipps.
Ich muss jetzt erstmal Hausaufgaben machen und mich selbst auf IPV6 upgraden um alles nochmal im Detail zu verstehen.
Und werde mal versuchen OpenVPN schon vorab auf dual stack umzukonfigurieren falls OpenVPN im Router IPV6-fähig ist.
Ich vermute ich werd mich dann in ein paar Tagen nochmal melden.

Conan179
Übergeordneter Verstärkerpunkt
Beiträge: 585
Registriert: 25.01.2015, 22:38

Re: Kleiner IPv6-Workshop

Beitrag von Conan179 » 18.02.2015, 10:06

@SpaceRat
ich hab da eine winzig kleine frage, zur deiner supper anleitung, wen ich stats feste-ip.net meinen root server nutzten möchte, wie muss ich das machen? er ha feste ipv4undv6.
BildBildBild

Rooby
Kabelneuling
Beiträge: 17
Registriert: 17.02.2015, 22:40

Re: Kleiner IPv6-Workshop

Beitrag von Rooby » 18.02.2015, 11:02

@SpaceRat
Ich habe auch gleich noch eine Frage.
Wie verhält sich das mit dem IPV4 fallback.
Da ich clients habe die nur IPV4 können, bekommen die dann automatisch auch eine IPV4 Adresse vom Router DHCP?
Aber Portweiterleitung geht doch nicht. GIbt es dann eine Lösung?
Gibt es ein mapping von einer IPV6 adresse für den client auf IPV4?
Wenn ich den client nur über OpenVPN über lokale IPV4 anspreche kann ich das dann weitehin wie zuvor mit IPV4+port machen?

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 18.02.2015, 13:37

Conan179 hat geschrieben:@SpaceRat
ich hab da eine winzig kleine frage, zur deiner supper anleitung, wen ich stats feste-ip.net meinen root server nutzten möchte, wie muss ich das machen? er ha feste ipv4undv6.
Dann machst Du es im Prinzip ganz genauso, nur daß Du keine Port-Mapper bei feste-ip.net einrichtest, sondern für jeden weiterzuleitenden Port einmal 6tunnel auf dem Root-Server startest:

Code: Alles auswählen

apt-get install 6tunnel
(Ich hoffe mal für Dich, daß der mit Debian läuft)

und dann

Code: Alles auswählen

6tunnel <Port> <IPv6-Adresse zuhause> <Port>
also z.B.

Code: Alles auswählen

6tunnel 65123 ipv6.conan.chickenkiller.com 65123
um Port 65123 auf dem Root-Server per IPv4 anzunehmen und per IPv6 an den heimischen Rechner mit der Adresse ipv6.conan.chickenkiller.com auf Port 65123 weiterzuleiten.

Um das nicht bei jedem Neustart des Servers neu eingeben zu müssen, kannst Du es auch in die /etc/rc.local eintragen.
Einfach vor "exit 0" für jeden Port eine der o.g. Zeilen einfügen, dann aber mit " &" abschließen", also

Code: Alles auswählen

...
6tunnel 65123 ipv6.conan.chickenkiller.com 65123 &
6tunnel 45123 ipv6.barbar.chickenkiller.com 45123 &
...
... usw. ...
exit 0

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 18.02.2015, 13:46

Rooby hat geschrieben:Wie verhält sich das mit dem IPV4 fallback.
Da ich clients habe die nur IPV4 können, bekommen die dann automatisch auch eine IPV4 Adresse vom Router DHCP?
Innerhalb des LAN hast Du weiterhin auch IPv4.

Rooby hat geschrieben:Aber Portweiterleitung geht doch nicht. GIbt es dann eine Lösung?
Gibt es ein mapping von einer IPV6 adresse für den client auf IPV4?
Die selbe Art von Proxy wie ich sie eben für den eigenen Root-Server beschrieben habe, kann man auch auf irgendeinem lokalen Linux-Rechner einrichten, dann einfach nur umgekehrt:

Code: Alles auswählen

6tunnel -4 -6 65123 192.168.111.50 65123
würde auf diesem Linux-Rechner IPv6-Verbindungen auf Port 65123 annehmen und per IP4 an den lokal vorhandenen Client 192.168.111.50 auf Port 65123 weiterleiten.

Statt des eigentlichen Ziels (z.B. eine ranzige IP-Cam) gibst Du dann für die Außenwelt diesen Linux-Rechner (z.B. Dein NAS) frei und erst der vermittelt dann zwischen IPv6 und IPv4.
Wenn Du nix dergleichen im LAN hast, kannst Du einen Raspberry Pi für diesen Zweck umrüsten.

Rooby hat geschrieben:Wenn ich den client nur über OpenVPN über lokale IPV4 anspreche kann ich das dann weitehin wie zuvor mit IPV4+port machen?
Nochmal:
Innerhalb des VPN ändert sich dadurch wie es äußerlich aufgebaut wird nix.

Rooby
Kabelneuling
Beiträge: 17
Registriert: 17.02.2015, 22:40

Re: Kleiner IPv6-Workshop

Beitrag von Rooby » 18.02.2015, 15:46

SpaceRat hat geschrieben:Wenn Du nix dergleichen im LAN hast, kannst Du einen Raspberry Pi für diesen Zweck umrüsten.
Lässt sich dieser Tunnel nicht gleich auf dem Router per script einrichten.

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 18.02.2015, 17:26

Rooby hat geschrieben:
SpaceRat hat geschrieben:Wenn Du nix dergleichen im LAN hast, kannst Du einen Raspberry Pi für diesen Zweck umrüsten.
Lässt sich dieser Tunnel nicht gleich auf dem Router per script einrichten.
Je nach Router schon.

OpenWrt z.B. bringt dazu ab Chaos Calmer "tcpproxy" mit, zuvor 6tunnel.

Conan179
Übergeordneter Verstärkerpunkt
Beiträge: 585
Registriert: 25.01.2015, 22:38

Re: Kleiner IPv6-Workshop

Beitrag von Conan179 » 18.02.2015, 19:41

@SpaceRat
SUPER, so was suche ich shcon seid ich bei kabelbw bin.

Eine frage noch, was ist ein A-Recort und ein AAAA-Recort?
Der server hat kein debian drauf, dafür aber Ubuntu :)

Edit:
Verstehe ich das so richtig.
Meinem server verpasse ich die dyndns addresse:
oserver.conan.dyndns.de
und dan für den server eine reine ipv4 addresse:
ipv4.oserver.conan.dyndns.de
mit der ipv4 addresse des Servers und eine reine ipv6 addresse:
ipv6.oserver.conan.dyndns.de

verstehe ich das bis dahin richtig?
BildBildBild

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 19.02.2015, 06:50

Conan179 hat geschrieben:Eine frage noch, was ist ein A-Recort und ein AAAA-Recort?
Im DNS-System
- ist ein A-Record die Zuordnung einer IPv4-Adresse zu einem (Host-)Name und
- ein AAAA-Record die Zuordnung einer IPv6-Adresse zu einem (Host-)Name.

Um das zu komplettieren:
- Ein CNAME ist die Zuordnung eines alternativen Namens (Alias) für einen anderen (Host-)Name.

Vor diesem Hintergrund meldet uns ein Aufruf von host oder nslookup genau dies zurück:
Kommandozeile hat geschrieben:C:\>nslookup http://www.facebook.com
...
Name: star.c10r.facebook.com
Addresses: 2a03:2880:f01c:2:face:b00c:0:1
31.13.93.3
Aliases: www.facebook.com
= (Eigentlicher) Host-Name, AAAA-Record, A-Record, Alias(se) bzw. CNAME(s)
Conan179 hat geschrieben:Der server hat kein debian drauf, dafür aber Ubuntu :)
Bäh.
Kommt aber bzgl.

Code: Alles auswählen

apt-get install 6tunnel
für die Installation von 6tunnel auf's Selbe raus.

Conan179 hat geschrieben:Meinem server verpasse ich die dyndns addresse:
oserver.conan.dyndns.de
und dan für den server eine reine ipv4 addresse:
ipv4.oserver.conan.dyndns.de
mit der ipv4 addresse des Servers und eine reine ipv6 addresse:
ipv6.oserver.conan.dyndns.de

verstehe ich das bis dahin richtig?
Das hast Du richtig verstanden.
Pflicht ist das so natürlich nicht, nur ein (sinnvoller) Vorschlag.

Ziel ist ja ...
  • Ein Hostname ohne Angabe des Protokolls drin, z.B. oserver.conan.dyndns.de (Mit A- und AAAA-Records)
    ... wäre dabei der "everyday use"-Hostname für Deinen Server.
    Unter dieser Adresse erreicht jeder korrekt konfigurierte Client diesen Server, egal ob er auch IPv6 oder nur IPv4 hat:
    Ein IPv6-Client nutzt bevorzugt den AAAA-Record und ein IPv4-Client nur den A-Record.
... also genau wie bei Facebook (s.o.).

Die anderen beiden braucht man nicht zwingend, aber ich halte sie für sinnvoll:
  • Ein Hostname nur für IPv6, z.B. ipv6.oserver.conan.dyndns.de (Nur mit AAAA-Record)
    Dieser Hostname stellt z.B. - wenn Du ihn nutzt - sicher, daß es zu keiner Schleife beim Proxien von IPv4 auf IPv6 kommt.

    Ein Beispiel:

    Code: Alles auswählen

    6tunnel 443 oserver.conan.dyndns.de 443
    würde genauso als 4-to-6 Proxy funktionieren, aber es führt zumindest vom Bild her zu einer möglichen Schleife, da ja unter oserver.conan.dyndns.de auch die IPv4 des Systems hinterlegt ist, auf dem dieser 6tunnel läuft.
    Ich weiß nicht, ob es bei Ausfall der IPv6-Verbindung auf dem Proxy sogar tatsächlich zu einer solchen Schleife käme, spätestens aber bei Verwendung des Schalters -4 hast Du sie.

    Schreibst Du hingegen

    Code: Alles auswählen

    6tunnel 443 ipv6.oserver.conan.dyndns.de 443
    , dann ist schon beim ersten Blick klar, wohin dieser Tunnel führen soll.
    Bei Verwendung des Schalters -4 funktioniert dieser 6tunnel dann gar nicht mehr und ein klares Fehlerbild ist immer besser als diffuses Fehlverhalten.
  • Ein Hostname nur für IPv4, z.B. ipv4.oserver.conan.dyndns.de (Nur mit A-Record)
    Wie oben beschrieben täte es für korrekt konfigurierte IPv4-only-Clients eigentlich auch der allgemeine Hostname oserver.conan.dyndns.de.

    Es gibt aber Fälle von fehlkonfigurierten Clients und Client-Netzen. So ist z.B. in OpenWrt werksseitig ein ULA-Präfix vorkonfiguriert, d.h. innerhalb des LAN hast Du hinter einem OpenWrt-Router immer IPv6, selbst wenn keine IPv6-fähige Internetverbindung eingerichtet ist.
    Je nachdem wie ein Client-Programm nun damit umgeht (Betrachtet es ULAs überhaupt als funktionierende IPv6-Anbindung? Fällt er auch bei "no route to host"/"Zielnetzwerk nicht erreichbar" auf IPv4 zurück?) kann es in diesem Fall zu Verzögerungen oder gar dem kompletten Scheitern des Verbindungsaufbaus kommen, wenn für den Server auch eine IPv6/AAAA-Record hinterlegt ist.
    Da ist es praktisch, wenn man durch einfaches Voranstellen von "ipv4." einen Verbindungsaufbau über IPv4 erzwingen kann.

    Den umgekehrten Fall gibt es dank Unitymedia übrigens auch:
    Die Schrottrouter TC7200 und Co. können auch mal die Verbindung zum AFTR-Gateway verlieren, dann ist das LAN dahinter "IPv6-only". Da die Clients aber weiterhin ihre privaten IPv4-Adressen kriegen, merken sie davon nix.
    Normal fällt das nicht weiter auf, da IPv6-fähige Clients eh IPv6 bevorzugen, aber wenn z.B. ausgerechnet zu diesem Zeitpunkt das Präfix des Servers wechselt, zeigt der AAAA-Record ja kurzfristig noch auf die alte Adresse, womit der Server für den Moment auch per IPv6 unerreichbar wird. Ein fehlerhafter Client könnte sich in dieser Situation auf die IPv4-Adresse des Servers einschießen ...
Aus den vorgenannten Gründen halte ich das zusätzliche Anlegen von protokollspezifischen DynDNSen für sinnvoll und sei es nur, um im Zweifelsfall einen gezielten Versuch damit machen zu können.
Receiver/TV:
  • Vu+ Duo² 4xS2+2xC / OpenATV 6.1@Samsung 50" Plasma
  • AX Quadbox HD2400 2xS2+2xC / OpenATV 6.1@Samsung 32" TFT
  • 2xVu+ Solo² / OpenATV 6.1
  • DVBSky S2-Twin PCIe@SyncMaster T240HD (PC)
  • TechniSat SkyStar HD2@17" (2.PC)
Pay-TV: Schwarzfunk, Redlight Elite Superchic, SCT 10, HD-, Sky
Fon: VF Komfort-Classic (ISDN), 2xFritz!Fon C4+Siedle DoorCom Analog@F!B 7390
Internet: UM 1play 100 / Cisco EPC3212+Linksys WRT1900ACS / IPv4 (UM) + IPv6 (HE)
Bild

Benutzeravatar
SpaceRat
Glasfaserstrecke
Beiträge: 2467
Registriert: 08.05.2010, 01:30
Wohnort: Kreis Aachen
Kontaktdaten:

Re: Kleiner IPv6-Workshop

Beitrag von SpaceRat » 19.02.2015, 07:00

Nachtrag

Warum ich die CNAMEs ins Spiel gebracht habe:
Je nach DynDNS-Anbieter kann man auch CNAMEs definieren (Nicht mit Webhop Redirects zu verwechseln!), z.B. bei FreeDNS.

Anstatt die IPs direkt zu hinterlegen, kann man dann auch mit CNAMEs arbeiten:
  • ipv4.oserver.conan.dyndns.de wäre dann z.B. ein CNAME für den Hostname, den man bei feste-ip.net erhält, z.B. conan.feste-ip.net
    Da ipv4.oserver.conan.dyndns.de dann nur ein Alias für conan.feste-ip.net ist, wird im Endeffekt conan.feste-ip.net nachgeschlagen, so daß dieser Eintrag immer paßt, selbst wenn conan.feste-ip.net mal den Server wechseln sollte.
  • Bei Verwendung einer Fritz!Box am DS-lite-Anschluß kann man ipv6.oserver.conan.dyndns.de als CNAME für den kryptischen MyFritz-Namen nehmen, den eine MyFritz-Freigabe erzeugt, also z.B. oserver.rghdiohndiufhndifubn.myfritz.net
    Da Fritz!Boxen diese kryptischen Hostname selber mit der aktuellen IPv6 pflegen (Daß die Fritz!Box keine öffentliche IPv4 hat merkt sie selber und macht dann keine A-Record-Updates!) und der merkbarere Hostname ipv6.oserver.conan.dyndns.de ja nur ein Alias dafür ist, braucht man in diesem Fall nicht mehr selber für DynDNS-Updates des IPv6-Hosts sorgen.
  • Bei Verwendung einer Fritz!Box am Dual-Stack-Anschluß kann man oserver.conan.dyndns.de als CNAME für den kryptischen MyFritz-Namen nehmen, den eine MyFritz-Freigabe erzeugt, also z.B. oserver.rghdiohndiufhndifubn.myfritz.net
    Da Fritz!Boxen diese kryptischen Hostname selber mit den aktuellen IPv4- und IPv6-Adressen pflegen und der merkbarere Hostname oserver.conan.dyndns.de ja nur ein Alias dafür ist, braucht man in diesem Fall nicht mehr selber für DynDNS-Updates des Dual-Stack-Hosts sorgen.

Antworten

Wer ist online?

Mitglieder in diesem Forum: blackh0le, brisbone, MaXX, srxx und 9 Gäste