Verständnisfrage: IPv6

[user31085]

Hallo,

derzeit habe ich einen VDSL Anschluss mit DualStack und einer FritzBox 7530.

Da ein Provider ausbaut, werde ich in den nächsten Monaten meinen Anbieter wechseln und werde dann nur noch DS-Lite haben.

Nun möchte ich schonmal die Vorbereitungen treffen, dass ich auch per IPv4 auf meinen Server/NAS komme.

Meine Idee ist ein VPS Server mit 6tunnel. Das Problem, welches ich habe, ist dass das IPv6 Präfix (aktuell) ändert. Das ist bei 6tunnel natürlich nicht optimal, da die öffentliche IPv6 per Befehl hinterlegt wird.

Wie richte ich 6tunnel ein, wenn ich IPv6 Präfix habe, welches sich ändert?

Danke.

 

[Nilson]

Es gibt auch DynDNS-Dienste für IPv6. Dann wird der Tunnel über DNS aufgebaut und nicht direkt über die IP.
Oder wenn der VPS eine feste IP hat, bau den Tunnel von dir zum Server auf.

 

[riversource]

Oder nutze einen anderen Tunnel, der flexibel auf wechselnde Prefixes reagiert. OpenVPN zum Beispiel.

 

[rony12]

aus meiner erfahrung bei vodafone kann der prefix theoretisch wechseln - tut dies jedoch ... nie.

Hab bei mir die IPv6 in meinem DNS bei hetzner eingetragen und dort steht sie seit einigen Monaten.
Diese IPv6 habe ich auch bei "Feste-IP" eingetragen - welche quasi einen IPv4 zu IPv6 Tunnel anbieten.


Anonsten wie es Nilson sagte - die IPv4 kann eben auch über den DNS tunneln

 

[X__]

Du könntest auch selbst DynDNS spielen, in dem du per ssh eine Datei mit der jweils gültigen v6-Adresse an den Server schickst und der automatisch mit dieser Information den neuen Tunnel aktiviert.
Ist ein bischen bash bzw. batch Skripting aber ich würds mal ausprobieren

 

[joel]

Funktionsweise von Dual Stack Lite​

[IMG]https://www.elektronik-kompendium.de/sites/net/bilder/19040411.png[/IMG]

Das kennzeichnende Merkmal von Dual Stack Lite ist, dass der Provider über kein IPv4-, sondern nur über ein IPv6-Netz verfügt. Darin bekommt jeder Teilnehmer einen globalen IPv6-Präfix zugeteilt. Um auch IPv4-Datenverkehr übertragen zu können, wird der ausgehende IPv4-Pakete im Endkunden-Router mit einer privaten IPv4-Adresse versehen und über einen 4in6-Tunnel ins öffentliche IPv4-Netz getunnelt. Dabei erhält jedes IPv4-Paket einen neuen IPv6-Header. Zwischen dem privaten Provider-Netz und dem öffentlichen IPv4-Netz vermittelt Carrier-Grade-NAT (CG-NAT). Der dafür zuständige NAT-Server steht beim Provider und kümmert sich um die Adressübersetzung zwischen den privaten und öffentlichen IPv4-Adressen und reicht die Pakete anschließend ins öffentliche IPv4-Netz weiter.

Ein weiteres Merkmal von Dual Stack Lite ist eine B4-Komponente im Endkunden-Router (CPE), die den IPv4-Datenverkehr per IPv6 zu einem AFTR-Device (Address Family Transition Router) transportiert, der den Datenverkehr ins IPv4-Internet weiterleitet. Wenn der Provider private IPv4-Adressen an seine Endkunden vergibt, dann wird beim Tunnel-Endpunkt des Providers per Carrier-Grade-NAT ins IPv4-Internet geroutet.
(Aus Elektronik-Kompendium)

Es sollte somit auch ohne irgendwelche vorkehrungen funktionieren!?

 

[X__]

Es sollte somit auch ohne irgendwelche vorkehrungen funktionieren!?

Leider nur in eine Richtung und das ist zufällig die falsche 🤷‍♂️

 

[norKoeri]

werde ich in den nächsten Monaten meinen Anbieter wechseln und werde dann nur noch DS-Lite haben.

Aus reiner Neugierde: Welcher wird es, welche Anschluss-Technologie (DSL, Mobilfunk, Fiber)?

 

[user31085]

Deutsche Glasfaser.

Ich würde halt gerne von extern (z.B. aus einem Hotel) mich per RDP auf meinen Server schalten und oft ist es so, dass ich nur eine IPv4 bekomme. Aktuell bin ich noch bei der Telekom und dort ändert sich das Präfix.

Ich würde jetzt nicht gerne mit Tunnel oder VPN arbeiten, vielmehr würde ich die Geräte direkt erreichen. IPv4->RDP->6tunnel->IPv6 Server.

 

[riversource]

Genau, bei der Telekom ändert sich das Präfix. D.h., da musst du Vorkehrungen treffen. Bei der deutschen Glasfaser ändert sich das Präfix quasi nie. Bei mir hat es sich in 5 Jahren nur einmal geändert, als ich den Router getauscht habe.
Nur der Vollständigkeit halber: Die Deutsche Glasfaser macht kein DS-Lite. Sie machen DS mit CGNAT. Im Gegensatz zu DS-Lite hast du bei der deutschen Glasfaser eine lokale IPv4 Adresse, allerdings eine Private. Macht in der Praxis kaum einen Unterschied, muss man bei der Einrichtung allerdings beachten.

Was ich nicht verstehe: Warum RDP? Das mit dem 6tunnel über einen VPS halte ich für eine gute Idee, aber wofür brauchst du RDP auf dem Weg? Greif doch direkt auf die Dienste zu.

 

[user31085]

Direkt auf die Dienste zugreifen, mache ich bei der NAS. Der AVM MyFritz Dienst löst ja die IPv6 Adressen der Geräte auf. Könnte ich bei 6tunnel einfach dieseAdresse eingeben? Sprich:

6tunnel 3389 server.shjq1730ksl.myfritz.net 3389

Das ist nur ein Beispiel.

 

[riversource]

Ach, jetzt dämmert es. Du willst gar keine RDP Instanz auf dem VPS laufen lassen, sondern über den 6tunnel auf RDP zugreifen.

Das geht natürlich grundsätzlich, wobei man niemals - NIEMALS - einen RDP Server direkt ins Internet hängen darf. Es gibt über 300 dokumentierte und nicht geschlossene Sicherheitslücken, mit denen man jeden RDP Server sofort mit Admin Rechten übernehmen kann. Dazu dürfte es noch mal mindestens genau so viele geheime Lücken geben. Und dann auch noch auf dem Standard RDP Port ... da kannst du auch direkt dein Serverpasswort mit in die URL schreiben.

Aber grundsätzlich geht es so. Du kannst einen 6tunnel auf die Ziel-Adresse öffnen und auf dem VPS auch auf IPv4 den Port öffnen. Das funktioniert natürlich nur für TCP Ports, aber so kommst du von einer IPv4 Adresse auf deine IPv6 Dienste zu Hause. Falls du auch UDP brauchst, müsstest du mit anderen Tools arbeiten. Ein VPN wäre denkbar, oder auch sowas wie socat als 6tunnel Ersatz.

Aber bedenke: Die Serverdienste von zu Hause hängen ungeschützt im Internet auf der Adresse des VPS. Gerade bei RDP ist ein VPN davor ein absolutes MUSS, für viele andere Dienste auch.

 

[user31085]

Den Standard RDP Port habe ich geändert, dass RDP aber so unsicher ist, war mir nicht bekannt. Man sollte eigentlich von MS erwarten, dass die bekannte Lücken patchen.

Das Problem, was ich habe, ist allerdings dass sich die IPv6 Präfix Adresse (zumindest aktuell) ändert. So kann ich kein 6tunnel aufbeuen, wenn sich im 6tunnel die hinterlegte IPv6 Adresse ändert.

Ich kann halt nicht immer einen VPN benutzen. Wenn ich z.B. Dateien von meiner NAS teilen will, hat nicht jeder eine IPv6 Adresse. Daher ist es mir wichtig, dass man mit einem reinen IPv4 Anschluss, auf meinen reinen IPv6 Anschluss zugreifen kann.

 

[Nilson]

Standard RDP ist nicht dafür ausgelegt. Für Zugriff von außen gibt es das RD-Gateway:

End users can connect to internal network resources securely from outside the corporate firewall through RD Gateway.

https://learn.microsoft.com/en-us/w...esktop-services/rds-plan-access-from-anywhere

 

[riversource]

Das Problem, was ich habe, ist allerdings dass sich die IPv6 Präfix Adresse (zumindest aktuell) ändert. So kann ich kein 6tunnel aufbeuen, wenn sich im 6tunnel die hinterlegte IPv6 Adresse ändert.

Genau. Entweder baust du einen regelmäßigen Check mit einer dyndns Adresse auf, der ggf. den 6tunnel neu aufbaut, oder du nutzt einen Tunnel, der unempfindlich gegen IP-Wechsel ist. OpenVPN zum Beispiel. wireguard ist in dem Fall mindestens genauso schlimm, wie 6tunnel.

 

[h00bi]

Die ganzen Überlegungen sind soch am Thema vorbei.
Relevant wird das doch nur, wenn du von einer IPv4 only Source kommst.
Ansonsten bau dir einfach einen IPv6 VPN Server nach Hause, egal ob auf dem Router, auf einem Pi oder einem anderen Host.
Innerhalb des VPN Tunnels ist IPv6 dann egal.

Wenn du widerkehrend von einer IPv4 only Source kommst, dann kannst du einen Portmapper nutzen.
IPv4 only gibts aber eigentlich nur:

• in sehr seltenen Fällen im Mobilfunk
• in Netzen hinter manchen Business/Enterprise Anschlüssen, die eine feste IPv4 oder ein IPv4 Subnetz haben.

Den Standard RDP Port habe ich geändert, dass RDP aber so unsicher ist, war mir nicht bekannt.

RDP Extern wird über https abgesichert über das RDP Gateway.
RDP selbst ist nicht sicher, auch wenn du den Port versteckst.

Da ein Provider ausbaut, werde ich in den nächsten Monaten meinen Anbieter wechseln und werde dann nur noch DS-Lite haben.

Bist du dir denn absolut sicher, dass es DS-Lite wird und keine andere IPv4/IPv6 Technik?
Welcher Provider wirds denn?

 

[user31085]

Tarif und Anschluss wird von der Deutschen Glasfaser kommen. Die haben IPv6 und IPv4 Carrier NAT. Gibt es auf Linux-Basis einen Portmapper ähnlich wie 6tunnel?

 

[riversource]

Klar, kann man mit iptables machen, oder mit socat.

 

[user31085]

Mit dem unsicheren RDP hat mir zu denken gegeben. Was haltet ihr von 2FA? Z.B. Cisco Duo? Könnte ich RDP dann wieder im Internet freigeben?

 

[Raijin]

Hast du beim neuen Provider mal nachgefragt ob du eventuell eine öffentliche IPv4 bekommen kannst? Einige Provider bieten das einfach zum Freischalten an, andere nehmen dafür ein paar Euro Gebühr, bei wieder anderen gibt es das nur in Kombination mit bestimmten Tarifen. Frage einfach mal nach und im Idealfall musst du dir gar nicht so einen großen Kopf um IPv6 machen.