Portfreigabe für IPv6

[Hypernia]

Hallo zusammen,

ich habe ein Technicolor TC7200U-Modem im Einsatz von Unitymedia. Dahinter hängt ein Netgear Nighthawk X4S R7800. Ich möchte einen IPv6-Port freigeben.

Die Internetanbindung läuft über Dualstack. Im TC7200U habe ich die IPv6-Firewall ausgeschaltet. Zusätzlich habe ich eine Portweiterleitung eingestellt, die für einen einzelnen Port auf die interne IP 192.168.0.10 geht.

Der Netgear Nighthawk hat manuell die IP 192.168.0.10 am WAN-Anschluss. Hier habe ich eine Port-Weiterleitung für den gleichen Port an die 192.168.1.100. Diese IP ist manuell einem Raspberry Pi zugewiesen. Der Nighthawk hat intern die 192.168.1.1.

Diese Strecke hat zu reinen IPv4-Zeien noch einwandfrei funktioniert. Der Port am Raspberry Pi wird vom PC aus als offen angezeigt.

Wenn ich jetzt aber über eine IPv6-Adresse (z. B. Online-Portscanner) auf meine TC7200U-IPv6 Adresse (in der Konfiguration unter Grundeinstellungen - Internet - IPv6-Adresse) mit dem eingestellten Port zugreife, wird dieser als geschlossen angezeigt.

Was kann ich noch tun? Ich bin mit meinem Latein am Ende.

 

[h00bi]

Bei ipv6 gibts eigentlich keine Portfreigaben. Jedes Gerät hat eine eigene ipv6. Vom Provider bekommst du ein eigenes ipv6 subnetz und dein Router verteilt die Adressen danach.

Portscans sagen übrigens NICHT ob der Port offen ist oder nicht, es muss dahinter auch ein aktiver Service laufen. Nur aufmachen im Router und den Client nicht einschalten bringt das gleiche Ergebnis wie keine Weiterleitung zu machen.

Was ist denn dein eigentliches Vorhaben? Open VPN auf dem Pi?
Doppeltes NAT mit 2 Routern ist eigentlich immer ne schlechte Idee wenn man aus dem Internet ins eigene Netz will.

 

[Nizakh]

Du hast vermutlich kein Dual Stack, sondern DS Lite.

 

[till69]

Auch mit DS Lite sollten IPv6 Freigaben gehen ...

Und Portfreigaben gibt's schon, aber keine Portweiterleitung, da, wie schon gesagt, jedes Gerät im Heimnetz eine eigene IPv6 Adresse bekommt. (die beginnt mit 2001: )

Diese sollte man am PI mit "ip addr" auch sehen können.

 

[Fard Dwalling]

Naja vor allem geht eine ipv6 Freigabe auf eine ipv4 sowieso nicht.

 

[brainDotExe]

Wie schon gesagt wurde erhält jedes Gerät seine eigene IPv6 Adresse. Du musst also nicht die Adresse des TC7200U prüfen, sondern die des Raspberry Pis.

Vorrausgesetzt dieser erhält überhaupt korrekt eine IPv6 Adresse aus dem zugeteilten Subnetz. Dazu muss das TC7200U nämlich Prefix Delegation zum Netgear machen und dieser verteilt dann die Adressen an die Geräte.

 

[TK-Shockwave]

Schau ob die Privacy Extensions bei dir aktiv ist. Hier wird ein zufällig 64bit Interface Identifier generiert.
Entgegen der Aussage von hoobi - auch unter IPv6 gibt es Ports und somit auch Portfreigaben.
Er meinte wohl NAT, welches es unter IPv6 nicht gibt.

evtl. hilft dir das hier weiter:
https://www.elektronik-kompendium.de/sites/net/1601271.htm

 

[Helge01]

Dazu kommt noch, dass sich der IPv6 Präfix ändert und du keine ordentliche Regel mit Zielport und Adresse erstellen kannst. Du müsstest dann das Zielport für jede IPv6 Adresse in deinem Netz frei geben.

Das Problem habe ich bei mir gelöst in dem ich DHCPv6 verwende und dem Client / Server darüber einen Hostname zuweise. Diesen kann ich dann in den Firewall Regeln als Ziel eintragen.

Man sieht, das IPv6 so wie es in DE umgesetzt wird, einfach nur Grütze ist.

 

[Raijin]

Man sieht, das IPv6 so wie es in DE umgesetzt wird, einfach nur Grütze ist.

Das betrifft nicht nur Deutschland. Schon seit Anfang der 90er wird das Ende von IPv4 prophezeit, seit 1998 gibt es IPv6. 2018 hat IPv6 nach wie vor bestenfalls eine Randbedeutung, zumindest beim Endnutzer.

Natürlich kann man nicht einfach den Schalter umlegen, aber immer noch können die meisten Geräte nicht mit IPv6 umgehen. Würde man heute, 20 Jahre nach Veröffentlichung des IPv6-Standards wirklich den Schalter umlegen, würde ein Großteil der Menschen von heute auf morgen offline sein bzw. das WLAN-Radio ginge nicht mehr, das TV-Bild würde schwarz bleiben, etc...

 

[brainDotExe]

aber immer noch können die meisten Geräte nicht mit IPv6 umgehen.

Das würde ich heute nicht mehr so unterschreiben.
iOS und Android unterstützen IPv6, also quasi alle Smartphones.
Windows seit XP.
Die FritzBoxen schon seit einigen Jahren und selbst die Speedports.
Das dürfte der Großteil der Geräte sein, welche beim Endnutzer (in DE) im Einsatz sind.

Welche Geräte problematisch sind:
Spielekonsolen
Smart TVs
Set-Top-Boxen

Was es meiner Meinung nach mal bräuchte, wäre ein beliebter Dienst, welcher nur noch per IPv6 erreichbar ist. Dann würden die Provider und Routerhersteller schleunigst zusehen, dass IPv6 unterstützt wird.
Wikipedia könnte ich mir gut dafür vorstellen.

 

[Raijin]

Spielekonsolen
Smart TVs
Set-Top-Boxen

Das meinte ich ja eigentlich. Daher die Beispiele mit dem TV und dem Internetradio. Geräte, die direkt im www sind, also Router und Smartphones, können in den meisten Fällen mit IPv6 umgehen, das ist richtig. Wenn aber im lokalen Netzwerk dann nur die Hälfte der Endgeräte funktioniert (oder zumindest einige Schlüsselgeräte wie du sie aufgezählt hast), ist das wohl kaum befriedigend.

Ich stelle mir gerade vor wie jemand sich nen smarten Kühlschrank für ein paar Teuros kauft und am Ende bleibt das Teil bei IPv6 offline..

Zwar tut sich etwas im Bereich IPv6, aber die Hiobsbotschaften, der große Blackout von IPv4 wird seit 20 Jahren prophezeit und es ist nicht absehbar wann IPv6 das Ruder vollständig übernehmen kann. Wie oft wird allein hier im Forum bei Netzwerkproblemen dazu geraten, IPv6 abzuschalten und plötzlich funktioniert alles wieder? IPv6 muss deutlich mehr gepusht werden, allen voran bei den Endgeräten. Letztendlich können höchstwahrscheinlich selbst die günstigsten NICs selbst in embedded devices bereits IPv6, aber die Firmware muss es auch unterstützen - und hier liegt wohl der Hase im Pfeffer..

*edit
Im übrigen kann eine Fritzbox zwar IPv6, aber der VPN-Dienst ist davon ausgenommen. Auch hier wird also nur das nötigste IPv6 unterstützt und erweiterte Funktionen werden nicht mitgezogen.

 

[brainDotExe]

Ich stelle mir gerade vor wie jemand sich nen smarten Kühlschrank für ein paar Teuros kauft und am Ende bleibt das Teil bei IPv6 offline..

So lange die Hersteller solcher Geräte aber nicht "gezwungen" werden IPv6 zu unterstützen, werden sie es auch nicht machen...
Ein Teufelskreis.
Btw. mit NAT46/DNS46 können auch IPv4 Geräte in einem reinen IPv6 Internet weiter betrieben werden, doch auch hier sieht noch kaum ein Routerhersteller die Notwendigkeit.

Wie oft wird allein hier im Forum bei Netzwerkproblemen dazu geraten, IPv6 abzuschalten und plötzlich funktioniert alles wieder?

Leider wird dann meistens das eigentliche Problem nicht behoben...

Im übrigen kann eine Fritzbox zwar IPv6, aber der VPN-Dienst ist davon ausgenommen. Auch hier wird also nur das nötigste IPv6 unterstützt und erweiterte Funktionen werden nicht mitgezogen.

Das ist auch einer der Gründe, warum ich den VPN Dienst der FritzBox nicht nutze
Eigentlich ein Armutszeugnis für einen "Premium"-Hersteller wie AVM.

 

[Raijin]

Ein Teufelskreis.
Btw. mit NAT46/DNS46 können auch IPv4 Geräte in einem reinen IPv6 Internet weiter betrieben werden

Ein Teufelskreis, in der Tat. NAT bei IPv6 wiederum sehe ich als Krücke, auch wenn mittel- oder gar langfristig vermutlich kein Weg dran vorbeiführt. Eigentlich sollte mit IPv6 ja das Thema NAT erledigt sein, weil stets mit großen Worten davon gesprochen wird, dass der Adressraum so groß ist, dass man aaaaaalle Geräte dieser Erde damit abdecken kann. Durch mangelhafte Umsetzung seitens der Hersteller der Endgeräte, wird es aber auf kurz oder lang dennoch auch IPv6 <>IPv4 NAT hinauslaufen. Wenn aber wenigstens da mal Bewegung reinkäme, könnten zumindest WAN-seitig diese elendigen DS-Lite Geschichten ein Ende haben...

 

[Hypernia]

Wow, danke für die extrem zahlreichen Antworten

Bei ipv6 gibts eigentlich keine Portfreigaben. Jedes Gerät hat eine eigene ipv6.

Das weiß ich. Der TC7200U bekommt am WAN eine IPv6. Im Lan vergibt er aber eine IPv4. Auch der nachgeschaltete Netgear-Router arbeitet mit IPv4.

Portscans sagen übrigens NICHT ob der Port offen ist oder nicht, es muss dahinter auch ein aktiver Service laufen. Nur aufmachen im Router und den Client nicht einschalten bringt das gleiche Ergebnis wie keine Weiterleitung zu machen.

Auch das weiß ich. Der Dienst läuft, daher auch mein Hinweis darauf, dass es zu IPv4-Zeiten noch korrekt lief.

Was ist denn dein eigentliches Vorhaben? Open VPN auf dem Pi?

Unter anderem. Ich hatte OpenVPN, SSH, FTP, HTTP und noch ein paar Spielereien. Zu IPv4-Zeiten ganz einfach mit DynDNS.

Du hast vermutlich kein Dual Stack, sondern DS Lite.

Das stimmt, mein Fehler.

Wie schon gesagt wurde erhält jedes Gerät seine eigene IPv6 Adresse. Du musst also nicht die Adresse des TC7200U prüfen, sondern die des Raspberry Pis.

Diese Aussage, aber auch die Kombination der anderen Antworten scheint für mich einfach nicht zur "IPv6-Portfreigabe" im TC7200U zu passen. Dort ordne ich unter IPv6-Weiterleitungen Eingangs-Ports zu lokalen IPv4-Adressen und lokalen Ports um:

Das müsste dann ja in diesem Beispiel einen Eingang am Netgear, Port 20020 am WAN-Port hervorrufen. Dort habe ich auch eine passende Weiterleitung (z. B. hier für einen anderen Port):

 

[TheCadillacMan]

Diese Aussage, aber auch die Kombination der anderen Antworten scheint für mich einfach nicht zur "IPv6-Portfreigabe" im TC7200U zu passen. Dort ordne ich unter IPv6-Weiterleitungen Eingangs-Ports zu lokalen IPv4-Adressen und lokalen Ports um:

Das scheint mir so keinen rechten Sinn zu machen. IPv6 wirst du nicht auf eine IPv4-Adresse leiten können. (Das geht nur mit einem Tunnel, was hier wohl nicht gemeint sein kann.)
Ich würde mal versuchen bei "Lokale IP-Adresse" die IPv6-Adresse des Ziels einzutragen. Gleiches gilt für den Netgear. Dort musst du auch mit IPv6-Adressen arbeiten.

 

[Hypernia]

Stimmt, die Umleitung muss auf eine IPv6 erfolgen. Interessanterweise kann ich eine IPv4 eingeben, die auch gespeichert wird. Habe ich allerdings eine IPv6 eingegeben, kann ich danach nicht auf eine IPv4 zurück, da diese DANN als ungültig angezeigt wird. Komische Programmierung.

Ich habe zumindest die Weiterleitung (Firewall-Regel) jetzt schon erfolgreich für das Fernwartungs-Interface des Netgear getestet. Nur mein Odroid bezieht unter Ubuntu noch keine IPv6 bzw. hat keine Route:

Kernel IPv6 routing table
Destination Next Hop Flag Met Ref Use If
::1/128 :: U 256 0 0 lo
2a02:908:1589:981c::/64 :: U 100 0 0 eth0
fe80::/64 :: U 100 1 0 eth0
fe80::/64 :: U 256 0 0 eth0
::/0 fe80::1234:5678:feba:293c UG 100 0 0 eth0
::/0 :: !n -1 1 549 lo
::1/128 :: Un 0 1 29 lo
fe80::21e:123:4567:20b1/128 :: Un 0 1 154 lo
ff00::/8 :: U 256 3 3 eth0
::/0 :: !n -1 1 549 lo


Vielleicht hat da ja noch jemand eine Idee für mich? ufw und iptables sind aus bzw. kein Problem.

 

[Hypernia]

Falls jemand hier drauf stößt: Ich habe das zuletzt genannte Problem dadurch behoben, dass ich den Network Manager deinstalliert und die /etc/network/interfaces genutzt habe. Jetzt läuft IPv4 UND IPv6.
Auch das ursprüngliche Problem ist gelöst, indem ich die Portweiterleitung (= Firewall-Regel) im Router einstelle. Dort habe ich bislang die globale IPv6 eingetragen. Ob das bei einer Präfix-Änderung angepasst wird oder ich die Link-lokale Adresse nehmen kann, muss ich noch ausprobieren.