Server erreichbar machen: DG (DS-Lite) + Telekom (IPv4) - Best Practice?

[D0bby]

Moin,

bald wird mein Anschluss von der Deutschen Glasfaser aktiviert, und ich habe ein paar Fragen zur optimalen Nutzung. Ich betreibe ein kleines 2-Mann-Büro und nutze den Anschluss unter anderem, um auf einige Dienste von außen zugreifen zu können (z. B. über freigegebene Nextcloud-Links).

Zusätzlich habe ich weiterhin einen Anschluss bei der Telekom, der herkömmliches IPv4 unterstützt. Meine Idee ist, den neuen DG-Anschluss primär über IPv6 zu nutzen, während der Telekom-Anschluss als Fallback dienen soll. Gemeni hat mir bestätigt, dass das technisch machbar ist.

Meine Frage ist nun, ob dies im Hinblick auf Kosten und Nutzen die sinnvollste Lösung für mich ist. Ein Business-Tarif bei der Deutschen Glasfaser wäre für den Umfang meiner Nutzung schlichtweg zu teuer.

Vielen Dank vorab!

Die "State of the Art"-Lösung, um deinen Server von außen erreichbar zu machen, ohne auf teure Geschäftskundentarife angewiesen zu sein und die Vorteile von IPv6 mit einem Fallback auf IPv4 zu kombinieren, wäre eine Kombination aus:

1. IPv6 über Deutsche Glasfaser:
   
   • Nutze die dir von der DG zugewiesene öffentliche IPv6-Adresse.
   • Konfiguriere die IPv6-Firewall deines DG-Routers so, dass die notwendigen Ports für deine Dienste freigegeben sind.
   • Stelle sicher, dass dein Server und deine Dienste IPv6-fähig sind.
2. DynDNS-Dienst für IPv6:
   
   • Da sich IPv6-Adressen, auch wenn seltener als IPv4, ändern können, richte einen DynDNS-Dienst ein, der IPv6 unterstützt.
   • Empfehlenswerte Anbieter, die sowohl A (IPv4) als auch AAAA (IPv6) Records unterstützen, sind z.B.:
     • dynv6.com (kostenlos, mit Fokus auf IPv6)
     • noip.com (kostenlose und kostenpflichtige Optionen)
     • DuckDNS (kostenlos)
   • Viele Router, auch Fritz!Boxen, haben eingebaute DynDNS-Clients, die auch IPv6-fähig sind.
3. Fallback über Telekom-Anschluss mit DynDNS und Portweiterleitung für IPv4:
   
   • Nutze deinen Telekom-Anschluss als Backup-Lösung für Clients, die noch kein IPv6 unterstützen.
   • Richte einen DynDNS-Dienst für den Telekom-Anschluss ein (kann auch der gleiche Anbieter wie für IPv6 sein, muss es aber nicht).
   • Konfiguriere Portweiterleitungen auf dem Telekom-Router für die benötigten Dienste auf die IPv4-Adresse deines Servers.
4. DNS-Einträge für AAAA (IPv6) und A (IPv4):
   
   • Erstelle in den DNS-Einstellungen deiner Domain sowohl einen AAAA-Record, der auf die DynDNS-Adresse für IPv6 (DG-Anschluss) verweist, als auch einen A-Record, der auf die DynDNS-Adresse für IPv4 (Telekom-Anschluss) verweist.
   • Moderne Clients bevorzugen automatisch IPv6 und nutzen, wenn verfügbar, die Verbindung über die DG-Leitung.
5. (Optional) Tailscale/WireGuard:
   
   • Für einen noch einfacheren und sichereren Fernzugriff auf deinen Server (unabhängig von IPv4 oder IPv6), könntest du zusätzlich ein VPN wie Tailscale (basiert auf WireGuard) oder direkt WireGuard einrichten.
   • Vorteile:
     • Einfache Einrichtung: Tailscale macht die Konfiguration sehr einfach, auch ohne tiefgehende Netzwerkkenntnisse.
     • Keine Portweiterleitung notwendig: Da eine direkte Verbindung zwischen deinen Geräten hergestellt wird, musst du keine Ports in deinem Router öffnen.
     • Sicherheit: WireGuard gilt als sehr sicher und performant.
     • Globale Erreichbarkeit: Du kannst von überall auf deinen Server zugreifen, als wärst du in deinem Heimnetz.
   • Nachteil:
     • Du musst auf jedem Gerät, das auf deinen Server zugreifen soll, einen Client installieren.
     • Stellt eine weitere, zu betreuende Software auf deinem Server da.

Vorteile dieser "State of the Art"-Lösung:

• Maximale Performance: IPv6 und die Glasfaserleitung werden bevorzugt genutzt.
• Hohe Erreichbarkeit: Sowohl IPv6- als auch IPv4-Clients können zugreifen.
• Kosteneffizient: Du nutzt deine bestehenden Anschlüsse und kostenlose oder günstige DynDNS-Dienste.
• Zukunftssicher: IPv6 ist die Zukunft des Internets.
• Sicher und komfortabel mit Tailscale/WireGuard: Vereinfacht den Zugriff und erhöht die Sicherheit.

Nachteile:

• Etwas Konfigurationsaufwand: Die Einrichtung erfordert etwas technisches Verständnis, ist aber mit Anleitungen gut machbar.
• Geringere Geschwindigkeit über IPv4: Der Fallback über die Telekom-Leitung ist langsamer.

Zusammenfassend:

Diese Kombination aus IPv6, DynDNS, Fallback über IPv4 und optional Tailscale/WireGuard stellt eine moderne, effiziente und kostengünstige Lösung dar, um deinen Server von außen erreichbar zu machen, ohne auf einen teuren Geschäftskundentarif angewiesen zu sein. Sie bietet eine gute Balance zwischen Performance, Erreichbarkeit und Sicherheit. Und ist von den hier diskutierten Möglichkeiten die, die am nächsten an "State of the Art" herankommt.

 

[Scirca]

Hi,

ja kannst du machen, dafür brauchst du dann eine geeignet Hardware die ein Failover unterstützt. Auch solltest du beachten das du deine Freigaben / Dienste etc... dann bei einem möglichen Ausfall über eine andere IP bereitstellst.

 

[Masamune2]

Ja klar das geht, du brauchst halt einen Router der zwei WAN Anschlüsse unterstützt. Eine der einfachsten und günstigsten Möglichkeiten dürften hier die Geräte von Ubiquiti sein. Das Cloud Gateway Ultra gibts ab etwa 100 EUR.

 

[D0bby]

Aktuell nutze ich alles über Unifi. (UDM Pro)

Aber meinen wir hier das gleiche? Ich meine Als Fallback, falls der Anfragende Client kein ipv6 kann switched er auf ipv4.

Grüße

 

[Masamune2]

Was der Client anfragt liegt an ihn, da hast du ja keinen Einfluss drauf. Was dein Server anbietet kannst du aber bestimmen.
Veröffentliche die Nextcloud bzw. deine VPN Verbindung über die Telekom Leitung und du kommst auf jeden Fall dran.

 

[Malex2018]

Aktuell nutze ich alles über Unifi. (UDM Pro)

Aber meinen wir hier das gleiche? Ich meine Als Fallback, falls der Anfragende Client kein ipv6 kann switched er auf ipv4.

Grüße

Das geht nicht, alles, was diesen einen weg hinausgeht, muss auch auf diesem weg wieder rein.
Fallback bedeutet nur (im fall der UDM) wenn die primäre Leitung offline geht, dass die sekundäre aktiv geht.

Ob die UDM auch Lastverteilung kann, weiß ich gerade nicht.

 

[D0bby]

Ich kann doch beim DynDNS dienst den Record ipv4 und ipv6 splitten oder nicht?

Edit:
So meine ich das nicht. Sondern können ja stand jetzt noch nicht alle ipv6 und genau die sollen dann einfach perm. über die Telekom gehen und alles anderen bleiben auf dem ipv6 über DG

 

[DLMttH]

Meine Frage ist nun, ob dies im Hinblick auf Kosten und Nutzen die sinnvollste Lösung für mich ist.

Würde ich im Zusammenhang mit

Ein Business-Tarif bei der Deutschen Glasfaser wäre für den Umfang meiner Nutzung schlichtweg zu teuer.

als unwahrscheinlich erachten.

Sollten 100 Mbit/s dir ausreichen, würde ich über den externen Dienstleister die IPV4-Weiterleitung bestellen und den Anschluss der Telekom kündigen.

Als Warnung hier aber, eine gewerbliche Nutzung eines DG-Anschlusses mit Privatkundentarif ist von der DG alles andere als erwünscht. Du wirst wahrscheinlich nicht dauerhaft in einem Privatkundentarif bleiben können, da die DG das aktiv unterbindet.

 

[VDC]

Ja, du kannst den selben Namen per A auf die DSL und per AAAA auf die Glasfaserverbindung legen, evtl. der einfachheit halber für einen sprechenderen Namen noch einen CName auf deiner Domäne davor.

 

[derchris]

Ob die UDM auch Lastverteilung kann, weiß ich gerade nicht.

UDM Pro kann unter anderem Policy based routing. Du kannst den $Server sagen er soll über WAN1 (Telekom) "sprechen" und den $Clients sagen sie sollen über WAN2 (DG) "sprechen".

 

[h00bi]

Möchte hier mal noch kurz einhaken:
DG nutzt afaik kein DS-lite sondern CGNAT.

Ändert an der Problematik erstmal wenig, aber ist ein relevanter Unterschied bei diversen Lösungsansätzen.

 

[DLMttH]

Leider sitzt bei der deutschen Glasfaser derzeit sogar ein Support-Mitarbeiter, der fälschlicherweise selbst darauf hinweist, dass DS Lite eingesetzt würde.

Meine Anfrage, mit dem Support-Mitarbeiter von Vodafone Plätze zu tauschen, der die Existenz von DS Lite abstreitet und immer nur "IPv4 öffentlich und nicht öffentlich" spricht, lief leider bislang ins Leere.