IPv6 von außen erreichen DS-Lite?

[zacherl129]

Hallo zusammen,

da mein kleiner lokaler Provider zwischenzeitlich schon 2 mal verkauft wurde, bin ich nun bei Inexio gelandet und habe das Problem, dass ich keine öffentliche IPv4 Adresse habe. Von Inexio würde ich für einen monatlichen Beitrag zwar eine öffentliche IPv4 bekommen, doch leider müsste ich dabei einen neuen Vertrag mit Inexio abschließen, was für mich aber nur zum Nachteil wäre und daher ist dies keine Option.

So und nun stecke ich leider im IPv6 Dilemma und möchte gerne von außen auf mein Heimnetz zugreifen. Da ich von IPv6 leider noch nicht so viel Ahnung habe, möchte ich als erstes mal von "außen IPv6" zu meinem "Heimnetzwerk IPv6 zugreifen". Später möchte ich das ganze über einen vServer mit IPv4/IPv6 und z.b. 6tunnel schöner gestalten...

In meiner FritzBox 7430 sehe ich jedoch unter Internet->Online Monitor bei Internet IPv4 und IPv6 das ich verbunden bin jedoch keine IP Adressen. Ist das Normal? Ich habe das anders in Erinnerung???

Ich habe den Dienst MyFritz eingerichtet und dieser soll ja auch IPv6 fähig sein und dort sehe ich nun eine IPv4 CGN Adresse und eine IPv6 Adresse.


Wenn ich jetzt diese IPv6 Adresse mit z.B. ipv6now anpinge, bekomme ich auch eine Antwort (Ich vermute das ist die IP der FritzBox).
Jetzt möchte ich aber auf meinen NUC in meinem Heimnetz zugreifen und habe dementsprechend eine Portfreigabe in der Fritzbox und der Firewall des NUCs eingerichtet und ab hier komme ich nicht mehr weiter...
In der FritzBox wird mir für meinen NUC eine "IP-Adresse im Internet" angezeigt. Aber diese IP Adresse kann ich von außen nicht erreichen und ipv6now zeigt mir 100% Paketverlust an. Ich habe aber gelesen, dass dank IPv6 jedes Gerät im Internet einzeln Adressierbar sein soll?!

Bei IPv4 konnte ich ja von außen einfach über die öffentlicheIPv4ort und der entsprechenden Portweiterleitung im Router auf das jeweilige Gerät im Netzwerk zugreifen. Aber so funktioniert es doch bei IPv6 nicht mehr?

Ich weiß leider auch nicht ob ich alles in meiner FritzBox richtig eingestellt habe und ich hoffe das mir hier jemand bei meinem IPv6 Dilemma helfen kann.

 

[chrigu]

https://avm.de/service/fritzbox/fri...w/845_IPv6-Freigaben-in-FRITZ-Box-einrichten/

 

[zacherl129]

entfernt

Genau so bin ich vorgegangen und es funktioniert nicht.

 

[Yuuri]

Bei IPv4 konnte ich ja von außen einfach über die öffentlicheIPv4ort und der entsprechenden Portweiterleitung im Router auf das jeweilige Gerät im Netzwerk zugreifen. Aber so funktioniert es doch bei IPv6 nicht mehr?

Doch, IPv6 funktioniert genauso. Für eine Verbindung benötigst du IP + Port, das hat IPv6 immer noch. Eine Portweiterleitung brauchst du bei IPv4, damit eine Verbindung auf fritzbox:1234 an den richtigen PC innerhalb des Netzwerks an nas:80 getunnelt wird. Nennt man NAT. Dein Provider macht genau das Selbe - nennt sich dort Carrier Grade Network Address Translation (CGNAT).

In der FritzBox wird mir für meinen NUC eine "IP-Adresse im Internet" angezeigt. Aber diese IP Adresse kann ich von außen nicht erreichen und ipv6now zeigt mir 100% Paketverlust an. Ich habe aber gelesen, dass dank IPv6 jedes Gerät im Internet einzeln Adressierbar sein soll?!

Du musst das Gerät bzw. den Port noch für eine Portfreischaltung qualifizieren. Das ist vom Effekt das Selbe, intern wird allerdings bei IPv6 nur die Weiterleitung auf das Gerät erlaubt, bei IPv4 wird hierbei ein Port in der Fritzbox erstellt, welcher jeglichen Inhalt an ein dir eingestelltes Ziel weiterleitet. Technisch betrachtet wird bei IPv6 regulär geroutet, bei IPv4 verbindet sich die Quelle mit deinem Router und der Router verbindet sich mit deinem Gerät.

Der Paketverlust kann kommen, weil auf Pings standardmäßig nicht reagiert wird - entweder gleich von der Fritzbox, aber das Gerät selbst muss auch nicht antworten. Wenn du weißt, dass es ein Gerät gibt, es aber nicht auf Pings antwortet, nutzt du dafür eher telnet mit Namen und Port - bspw. telnet computerbase.de 80. Kommt hier kein Fehler, ist die Verbindung hergestellt und trotz ausbleibender Pings wird geantwortet. Ausbleibende Pings können auch ein Zeichen von Überlastung sein, ist aber hierbei nicht relevant.

Jetzt möchte ich aber auf meinen NUC in meinem Heimnetz zugreifen und habe dementsprechend eine Portfreigabe in der Fritzbox und der Firewall des NUCs eingerichtet und ab hier komme ich nicht mehr weiter...

Wie gesagt ist es bei IPv4 eine Weiterleitung, bei IPv6 eine Freischaltung. Probier halt mit telnet ob du auf das Gerät kommst. Evtl. Zugriffe musst du halt in der Firewall protokollieren oder du erstellst dir einfach nen simplen HTTP-Server und loggst dort die Zugriffe, was für den Laien einfacher ist als eine Firewall zu konfigurieren.

 

[till69]

Hiermit schauen ob der Port überhaupt offen ist:

http://www.ipv6scanner.com/

 

[zacherl129]

entfernt

Wenn ich hier meine IPv6 Adresse aus meinem MyFritz Konto eingebe und den Port, bekomme ich einen FILTERED Status

Wie gesagt ist es bei IPv4 eine Weiterleitung, bei IPv6 eine Freischaltung. Probier halt mit telnet ob du auf das Gerät kommst. Evtl. Zugriffe musst du halt in der Firewall protokollieren oder du erstellst dir einfach nen simplen HTTP-Server und loggst dort die Zugriffe, was für den Laien einfacher ist als eine Firewall zu konfigurieren.

Was meinst du genau mit "Freischaltung"?


Das hier sind meine IPv6 Einstellungen in der FritzBox:

 

[till69]

Wenn ich hier meine IPv6 Adresse aus meinem MyFritz Konto eingebe und den Port, bekomme ich einen FILTERED Status

Aber schon die IPv6 der Freigabe ... NCHT die der Box

 

[thomasschaefer]

Falls das Problem noch besteht, biete ich die nächste Stunde hier kostenfreie Hilfe an:
Link zu einer Videokonferenz entfernt

 

[zacherl129]

entfernt

Ein ganz großes DANKESCHÖN an Thomas für seine Hilfe!!!

Um das Problem aufzulösen und vielleicht hilft es jemand anderem auch, der über den gleichen blöden Fehler stolpert...

Ich habe mich darauf verlassen, dass die automatischen Einträge der Fritzbox unter "Freigaben" und der Auswahl des Gerätes stimmen. Jedoch wurde bei mir eine falsche oder veraltete IPv6 Adresse unter dem Punkt "IPv6 Interface-ID" eingetragen und daher konnte das Gerät von außen nicht erreicht werden. Durch die Manuelle Eingabe der IPv6 Adresse funktioniert es jetzt.

Vielen Dank nochmal an Thomas für deine Hilfe und der Lehrstunde über das Thema IPv6!

 

[thomasschaefer]

Noch ein Nachtrag meinerseits. Mitunter ist der DNS-Rebindschutz noch ein beliebtes Problem beim Testen aus dem eigenen WLAN/LAN heraus. Das haben wir an dieser Stelle nicht geprüft. Zum Testen der externen Erreichbarkeit bietet sich mittlerweile auch ein Smartphone(Hotspot/Testhering) an. Im Netz von der Telekom oder Vodafone kann man sich damit die Nutzung fremder Portscanner sparen. (Mit o2 ist derzeit kein Zugriff auf Dienste hinter DS-lite Anschlüssen möglich.)

 

[pyccku212]

Noch ein Nachtrag meinerseits. Mitunter ist der DNS-Rebindschutz noch ein beliebtes Problem beim Testen aus dem eigenen WLAN/LAN heraus. Das haben wir an dieser Stelle nicht geprüft. Zum Testen der externen Erreichbarkeit bietet sich mittlerweile auch ein Smartphone(Hotspot/Testhering) an. Im Netz von der Telekom oder Vodafone kann man sich damit die Nutzung fremder Portscanner sparen. (Mit o2 ist derzeit kein Zugriff auf Dienste hinter DS-lite Anschlüssen möglich.)

Ich hätte noch eine Frage bzgl. der IPv6 Interface-ID: Jedes Mal wenn sich meine FritzBox neu verbindet erhalten die Geräte neue IPv6 Adressen, der Eintrag unter IPv6 Interface-ID wird aber nicht automatisch angepasst, d.h. nach jedem neu verbinden der FritzBox muss ich die Interface-ID jedes mal manuell anpassen. Kann man das irgendwie umgehen? Und warum ist das überhaupt so?

 

[hantelfix]

mal denn haken bei

IPv4-anbindung über DS-Lite herstellen weg nehmen

 

[riversource]

@hantelfix: Warum soll das denn gegen wechselnde Interface IDs helfen?

Wenn sich die Interface-ID bei Neu-Verbindung ändert, dann ist das eine Sache der Endgeräte. Nur das Prefix ist Sache des Internetanbieters. Die Endgeräte müssen z.B. auf EUI-64 eingestellt werden, damit die Interface-ID von der MAC Adresse abgeleitet wird. Natürlich muss auch sichergestellt sein, dass die MAC statisch ist, was bei kleinen embedded Geräten auch nicht zwangsläufig sichergestellt ist. In dem Fall sollte man möglichst statische Interface-IDs vergeben.