JimMorrison hat geschrieben:Naja, für den Asus RT56U gibts eine sehr gute alternative Firmware die unter anderem Dual Stack bietet.
siehe Change log der letzten Version
- IPv6+IPv4 (dual stack).
- Linux kernel 3.4.60.
- Full build: included "transmission", "minidlna", "openvpn".
Ich schrieb ja auch:
SpaceRat hat geschrieben:Sicherlich, viele Router kann man mit Tomato, DD-WRT, OpenWRT usw. aufpeppen, aber leider muß man das auch früher oder später tun und sich dann mit Linux-Tools rumplagen, für etwas, das man bei einer Fritz!Box ganz leicht über die Oberfläche erreichen könnte.
Wer da Spaß dran hat, sich mit den Niederungen von Linux zu befassen, soll das tun. Sicherlich kann man IPv6-Server im Heimnetz auch erreichbar machen, indem man die ip6tables-Regeln manuell umschreibt ... man kann es aber auch lassen. Natürlich kann man DynDNS-Updates auch wie anno tubac auf jedem Gerät einzeln durchführen lassen ("Einfach" eben inadyn-mt für arm oder sh4 neu kompilieren, ...) ... kann man aber ebenfalls sehr gut sein lassen.
Mir fällt sehr wenig bis gar nichts ein, für das mind. ein normaler bis fortgeschrittener, großteils auch professioneller, Benutzer auf einer Fritz!Box irgend etwas direkt im Linux rumfuchteln müßte oder Freetz bräuchte, für andere Router hingegen zig Sachen.
Beispiel:
Um den Zugang über https und secure shell auf meine Sat-Receiver zu ermöglichen, lege ich einfach jeweils eine MyFRITZ!-Freigabe für diese an (jeweils HTTPS-Server) und ergänze den Port 22 unter den IPv6-Freigaben.
Im Prinzip bin ich damit fertig: Die Receiver haben damit die DynDNS-Adressen ultimo.<kryptische Buchstabenfolge>.myfritz.net und topf.<kryptische Buchstabenfolge>.myfritz.net und sind unter diesen Adressen dauerhaft erreichbar, auch wenn sich das IPv6-Präfix ändern würde (Was es fast immer tut, nämlich nur dann nicht, wenn man einen Tunnel oder NetCologne mit statischer IP benutzt, ansonsten ist IPv6 bei dt. Providern praktisch immer dynamisch, z.B. bei Drosselkom, Unitymedia, KabelBW, Kabel Deutschland, M-Net, NetCologne ohne statische IP, ....).
Bonus: Bei FreeDNS zwei CNAMEs für diese kryptischen Adressen eingetragen und die Geräte sind dauerhaft auch unter diesen einfacheren Adressen erreichbar, z.B. ultimo.mooo.com und topf.mooo.com.
Eine fire&forget-Geschichte ...
Nun machen wir das ganze mal bei einem Router, der diesen "Schnickschnack" alles nicht hat:
ip6tables-Rules anlegen, die sehen in etwa so aus:
Code: Alles auswählen
# First, delete all:
ip6tables -F
ip6tables -X
# Allow anything on the local link
ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A OUTPUT -o lo -j ACCEPT
# Allow anything out on the internet
ip6tables -A OUTPUT -o sixxs -j ACCEPT
# Allow established, related packets back in
ip6tables -A INPUT -i sixxs -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allow the localnet access us:
ip6tables -A INPUT -i br-lan -j ACCEPT
ip6tables -A OUTPUT -o br-lan -j ACCEPT
# Filter all packets that have RH0 headers:
ip6tables -A INPUT -m rt --rt-type 0 -j DROP
ip6tables -A FORWARD -m rt --rt-type 0 -j DROP
ip6tables -A OUTPUT -m rt --rt-type 0 -j DROP
# Allow Link-Local addresses
ip6tables -A INPUT -s fe80::/10 -j ACCEPT
ip6tables -A OUTPUT -s fe80::/10 -j ACCEPT
# Allow multicast
ip6tables -A INPUT -d ff00::/8 -j ACCEPT
ip6tables -A OUTPUT -d ff00::/8 -j ACCEPT
# Allow ICMPv6 everywhere
ip6tables -I INPUT -p icmpv6 -j ACCEPT
ip6tables -I OUTPUT -p icmpv6 -j ACCEPT
ip6tables -I FORWARD -p icmpv6 -j ACCEPT
# Allow forwarding
ip6tables -A FORWARD -m state --state NEW -i br-lan -o sixxs -s <subnet-prefix>::/48 -j ACCEPT
ip6tables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Set the default policy
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT DROP
Wirklich ein Klacks für Otto Normaluser.
Jetzt brauchen wir "nur" noch Portfreigaben für die Geräte, die erreichbar sein sollen, die sähen dann etwa so aus:
Code: Alles auswählen
# SSH in
ip6tables -A FORWARD -i sixxs -p tcp -d <subnet-prefix>::5 --dport 22 -j ACCEPT
Bei dynamischem Präfix (s.o.) müssen wir natürlich lediglich beachten, daß die Rules so anzulegen sind, daß hier:
ip6tables -A FORWARD -i sixxs -p tcp -d
<subnet-prefix>::5 --dport 22 -j ACCEPT
auch immer das aktuelle Präfix steht. Bei einem statischen Präfix (Tunnel) reicht es natürlich, das statische Präfix hier fest reinzuschreiben.
Et voila ... schon sind die Kisten von außen erreichbar ... wenn man die IPv6 kennt.
Also noch "eben schnell" inadyn-mt auf die Receiver gekloppt (Was nur so lange gut geht, wie man per telnet oder ssh auf das Gerät kommt und dort auch etwas speichern kann), was ja ganz einfach ist. Man stellt einfach zuerst einmal fest, daß inadyn-mt fast nirgendwo in der Paketverwaltung schon vorhanden ist und zieht sich dementsprechend die Quellen, kompiliert das eben mit'm Cross-Compiler für die vom NAS, Receiver, oder oder oder verwendete Architektur neu, kopiert es auf das Gerät, richtet es eben ein und sorgt noch dafür, daß es über die startup-scripts dauerhaft geladen wird oder regelmäßig gestartet wird. Kindergeburtstag.
Den Spaß macht man natürlich für jedes Gerät neu ...
Wieviel kostet nochmal eine Fritz!Box mehr?
Wie gesagt, kauft Euch, was Ihr wollt.
Mir ist jedoch der deutlich erhöhte Komfort einer Fritz!Box die paar Cents Aufpreis wert. Frickeln kann man viel, aber empfehlenswert werden die Alternativen dadurch in meinen Augen trotzdem nicht.