FritzOS 8/FritzBox: kein IPv6 mit WireGuard Tunnel auf iOS nach Update

[CaptainPighead]

• FritzBox 5590 Fiber
• Glasfaser Anschluss, Deutsche Telekom, IPv6 aktiviert
• FritzOS 8.0
• WireGuard App auf iPhone (iOS 17)

Ich nutze auf meinem iPhone die WireGuard App um von unterwegs einen VPN/Wireguard Tunnel in mein Heimnetzwerk zu erstellen. Das funktioniert auch tadellos, ich habe es so ziemlich nach Standard eingerichtet, heisst: WireGuard/VPN in der FritzBox aktiviert und per DynDNS den Tunnel hinterlegt. Als DynDNS Anbieter nutze ich DuckDNS, welcher sowohl IPv4 als auch IPv6 unterstützt.

Bisher war es so, dass ich nach Aktivierung des Tunnels aber immer nur per IPv4 rausgekommen bin. Nicht, dass mich das gestört hätte oder Probleme gemacht hat, aber letzte Woche hat auch meine Fritzbox 5590 nun endlich das große FritzOS 8 Update bekommen.

In den Release Notes von FritzOS 8 steht drin, dass mit dem WireGuard Tunnel seitens der FritzBox nun auch IPv6 unterstützt wird. (Siehe Sreenshot 1)

Das habe ich jetzt einmal von unterwegs mit meinem bestehenden Tunnel ausprobiert, aber ich habe trotzdem keine IPv6 Adresse wenn ich über den WireGuard Tunnel rausgehe. Müsste nach dem Update von FritzOS das jetzt nicht funktionieren oder verstehe ich etwas falsch?

Oder ist es so, dass dies nicht für bestehende (bereits in FritzOS konfigurierte) Tunnel geht und man diesen noch einmal frisch aufsetzen muss um die IPv6 Funktionalität zu bekommen?

 

[Helge01]

Eigentlich steht es in deinem ersten Bild (rot umrandet).
IPv6 ist im Tunnel möglich, aber es gibt keine Weiterleitung ins Internet.

 

[CaptainPighead]

Hm, wie habe ich das genau zu verstehen: was geht mit dem WireGuard Tunnel mit IPv6 was vorher (also mit FritzOS 7.x) nicht ging? Ich dachte eigentlich, dass ich dann IPv6 auch mit WireGuard nutzen kann ... heisst: nur für den Tunnel selbst aber nicht aus dem Tunnel raus? Ich bin verwirrt.

Wie würdest Du das "new WireGuard Connection required" aus den Release Notes verstehen? Muss der Tunnel dafür neu aufgesetzt werden?

 

[Helge01]

heisst: nur für den Tunnel selbst aber nicht aus dem Tunnel raus?

Genau so verstehe ich das.

Muss der Tunnel dafür neu aufgesetzt werden?

Vermutlich, zumindest muss die WireGuard Konfiguration entsprechend angepasst werden (hinzufügen der IPv6 Adressen).

 

[till69]

heisst: nur für den Tunnel selbst aber nicht aus dem Tunnel raus?

Und genau deswegen ist diese "Neuerung" ziemlich nutzlos

 

[TomH22]

heisst: nur für den Tunnel selbst aber nicht aus dem Tunnel raus? Ich bin verwirrt.

Es wird zusätzlich zur IPv4 aus dem Fritzbox Netz noch eine ULA („private“) IPv6 zugewiesen:

Diese IPv6 wird aber nicht ins Internet gerouted, dafür bräuchte es eine GUA für den Tunnel

Wie würdest Du das "new WireGuard Connection required" aus den Release Notes verstehen? Muss der Tunnel dafür neu aufgesetzt werden?

Ja

 

[Helge01]

Mit IPv6 ist das auch nicht ganz so einfach. Der WireGuard Peer (Client) kann ja kein SLAAC oder DHCPv6, deswegen müsste man die routbare Global Unique Address (GUA) manuell hinzufügen. Da sich bei uns der Präfix ändern kann, müsste das immer wieder manuell angepasst werden. Deswegen wird eine Unique Local Adressses (ULA) vergeben, die ist aber nicht routbar.

Ich habe das bei WireGuard auf der pfSense gelöst, in dem ich (Achtung nichts für schwache Nerven ) IPv6 NATte. Die ULA NATte ich ausgehend in das Internet in die GUA vom WAN Interface.

 

[CaptainPighead]

Danke für die Erklärungen! Ich werde dann den Tunnel noch mal neu aufsetzen. Schade, aber dachte wie gesagt, dass ich dann mit IPv6 auch über den Tunnel rauskomme. Nun ja, wenn es nicht geht, dann ist es eben so und nur innerhalb des Tunnels. Ich habe noch mal weiter recherchiert und auf heise.de wurde es auch wie folgt erklärt:

Wireguard-VPN-Tunnel transportieren nun auch IPv6-Pakete. Bisher konnte man solche Tunnel zwar schon über IPv6 als Transportprotokoll aufbauen, was Nutzern beispielsweise an TV-Kabel- oder Glasfaser-Internetanschlüssen mit DS-Lite beziehungsweise CG-NAT nützt. Aber innerhalb des Tunnels lief nur IPv4-Verkehr zwischen den VPN-Endpunkten.​

 

[till69]

IPv6 NATte

Skandal! Steinigen!

 

[Helge01]

Skandal!

Ja ja, ich habe gegen eins der Zehn IPv6 Gebote verstoßen, du sollst nicht NATten!