VPN bei Deutsche Glasfaser möglich?

[Magguz]

Ne bei WireGuard musste nichts eingeben, nur den Namen des Gerätes, dann spuckt dir die FB einen Mateixcode aus...

Ich werde die FB morgen nochmal zurücksetzen und nur meinen Laptop dran lassen und direkt die VPN via WireGuard einrichten...

 

[DLMttH]

Starte erst einmal nur neu und guck, dass du überhaupt über IPv6 ins Internet kommst. Dass es auf Laptop und Handy nicht geht, ist ein schlechtes Zeichen.

 

[hildefeuer]

Fehler Du hast den Haken bei DS Lite gemacht. Der Haken muss raus. DG hat kein DS Lite.
Wieso hat Deine FB 192.168.178.2?
Du musst die 178 ändern in einen anderen Wert außer 002. Den haben die Speedports. Nimm meinetwegen 192.168. 078.1.
Ferner .muss beim dchp Bereich oberhalb des dchp Bereichs noch was frei sein für vpn Clients.
Also dchp Bereich. Auf 192.168.078.20 bis 150 setzen. Nicht das da 254 drin ist 255 ist Broadcast und kann nicht genutzt werden.
Dann kannst Du die unteren händisch fest vergeben. Also 0, und 2bis 19.

 

[Pummeluff]

Mal noch ein Kommentar zur 1. Seite

Kann man statt eines v Servers nicht eine Side by Side Verbindung zu 3 Fritzen verwenden, vom dehnen eine dual Stack hat?

Ja, kann man. Jetzt kommt das "aber":

Die Wireguard-Config ist relativ einfach. Trotzdem kann man viele Sachen granular einstellen. In der Fritzbox wurde ein Frontend über die Wireguard-Konfiguration gelegt, damit auch jeder 0815-User eine Verbindung hinbekommt. Mit einem V-Server kann man das wesentlich besser konfigurieren.

Das betrifft Punkte wie:

• Welche VPN-Clients dürfen den Wireguard-Server als Exit-Point nutzen.
• Einstellung Keepalive-Time bzw. ob überhaupt benötigt.
• Port + IP

Zugegeben, ich hab einige Tage daran gebastelt, bis ich auf dem V-Server alles hatte, wie ich wollte. Besonders NFTables war erstmal eine Herausforderung. Und für 0815-Nutzer ist das auch ungeeignet, da das Ding ungesichert oder falsch konfiguriert halt auch schnell zur Spamschleuder werden kann.

 

[DLMttH]

So lange der Internetzugang nicht richtig eingerichtet ist, muss man sich nicht mit alternativen Wegen für das Erstellen von Wireguard Tunneln auseinandersetzen.

Der Haken DS Lite ist zwar total falsch (wo kommt der überhaupt her?) aber er schadet nicht.

 

[h00bi]

Zitat aus: https://www.computerbase.de/news/in...it-ueber-60-neuerungen-veroeffentlicht.89647/
" .... Wireguard-VPN jetzt auch für IPv6 ...."

Einfach den Absatz auch zuende lesen:

Bisher war es zwar bereits möglich, über IPv6-Netzwerke ein WireGuard-VPN aufzubauen, der Transport der Daten innerhalb des VPN erfolgte weiterhin über IPv4

Das ist ja der Part, der beim TE nicht klappt.

 

[riversource]

Ich interpretiere das so, dass bereits der Verbindungsaufbau nicht klappt. Und wenn man das hier liest, ist das auch kein Wunder:

Die IPv6 ist wie schon erwähnt keine richtige...

Also: Das IST eine korrekte IPv6 Adresse, und das wurde dir auch schon gesagt. Die Frage ist: Ist es die deiner Box? Da du immer alles anonymisierst, musst du das selber kontrollieren. Falls das nicht die IP deiner Box ist, dann weißt du ja nun, wo du ansetzen musst.
Der Fehler mit dem DS-Lite wurde dir ja schon erklärt. Die DG empfiehlt übrigens, an der Stelle "nativ IPv4" anzuwählen, weil dann der Verbindungsaufbau für VoIP schneller funktioniert. Unterm Strich ist das Ergebnis mit "nativ IPv6" (ohne DS-Lite!) allerdings das gleiche. Generell würde ich dir empfehlen, die Anleitungen entweder der DG oder von AVM zu befolgen, dann passieren solche Fehler nicht. Denn da steht nirgendwo, dass man für DG Anschlüsse DS-Lite aktivieren soll. Vielleicht macht es Sinn, die Box noch mal auf Werkseinstellungen zu setzen und gemäß der Anleitungen neu einzurichten. Wer weiß, was da sonst noch so eingestellt wurde ...

 

[Magguz]

Fehler Du hast den Haken bei DS Lite gemacht. Der Haken muss raus. DG hat kein DS Lite.
Wieso hat Deine FB 192.168.178.2?
Du musst die 178 ändern in einen anderen Wert außer 002. Den haben die Speedports. Nimm meinetwegen 192.168. 078.1.
Ferner .muss beim dchp Bereich oberhalb des dchp Bereichs noch was frei sein für vpn Clients.
Also dchp Bereich. Auf 192.168.078.20 bis 150 setzen. Nicht das da 254 drin ist 255 ist Broadcast und kann nicht genutzt werden.
Dann kannst Du die unteren händisch fest vergeben. Also 0, und 2bis 19.

Ah ok, der Haken ist automatisch gesetzt wenn man native IPv6 anwählt. Standard ist native IPv4 angewählt, da ändert sich aber im Grunde nichts... Nicht ereichbar so oder so. Neustart hatte gestern nichts gebracht, ich werde sie also heute abend mal neu einrichten.

Meine FB hat 192.168.178.1, der eingetragene DNS ist die NAS (diese hat 192.168.178.2), da läuft ein pihole drauf... Ist aber aktuell nicht aktiv, hatte ich nur schon mal eingetragen und wieder auf standart gemacht!

Ich interpretiere das so, dass bereits der Verbindungsaufbau nicht klappt. Und wenn man das hier liest, ist das auch kein Wunder:

Also: Das IST eine korrekte IPv6 Adresse, und das wurde dir auch schon gesagt. Die Frage ist: Ist es die deiner Box? Da du immer alles anonymisierst, musst du das selber kontrollieren. Falls das nicht die IP deiner Box ist, dann weißt du ja nun, wo du ansetzen musst.
Der Fehler mit dem DS-Lite wurde dir ja schon erklärt. Die DG empfiehlt übrigens, an der Stelle "nativ IPv4" anzuwählen, weil dann der Verbindungsaufbau für VoIP schneller funktioniert. Unterm Strich ist das Ergebnis mit "nativ IPv6" (ohne DS-Lite!) allerdings das gleiche. Generell würde ich dir empfehlen, die Anleitungen entweder der DG oder von AVM zu befolgen, dann passieren solche Fehler nicht. Denn da steht nirgendwo, dass man für DG Anschlüsse DS-Lite aktivieren soll. Vielleicht macht es Sinn, die Box noch mal auf Werkseinstellungen zu setzen und gemäß der Anleitungen neu einzurichten. Wer weiß, was da sonst noch so eingestellt wurde ...

In Beitrag #6 sieht man doch die aufgelöste IPv6... das ist nicht meine richtige IPv6 Adresse...

Was den rest deines Beitrages angeht, wie gesagt, es ist standard nach einer Werkseinstellung, auch wenn du es mir nicht glauben magst... Das einzige was ich eingestellt habe ist die umstellung auf native IPv6 weil ich das überall gelesen habe (auch hier) dass es was bringen würde...

 

[DLMttH]

Rein von der Logik her hast du die Fritz!Box ja zurückgesetzt, damit du den Anbieter Deutsche Glasfaser auswählen kannst.

Man sollte sich hier für eine von zwei Varianten entscheiden, entweder man weiß genau, mit welchen Verbindungseinstellungen man dem Provider entgegentreten muss und stellt alles von Hand ein (Zugangsdaten -> anderer Anbieter -> NICHT Deutsche Glasfaser oder deugl benennen) ODER man wählt aus der Liste der vordefinierten Anbieterprofile und ändert keine weiteren Einstellungen.

Unter deutsche Glasfaser "Cracks" hat sich erstere Variante durchgesetzt, da nur dann der Traffic Shaper auf die tatsächliche tarifliche Datenrate eingestellt werden kann und die Priorisierung funktionieren kann.

 

[riversource]

Was den rest deines Beitrages angeht, wie gesagt, es ist standard nach einer Werkseinstellung, auch wenn du es mir nicht glauben magst...

Standard nach der Werkseinstellung ist aber nicht gut. Anleitung von DG oder AVM nach Werkseinstellung befolgen, das ist gut. Da müssen ne Menge Dinge angepasst werden, die in den Default Werkseinstellungen so nicht aktiv sind. Auch die Auswahl von "Deutsche Glasfaser" als Provider nimmt dir nicht alles ab, die LAN Einstellungen zum Beispiel werden vom Profil nicht beeinflusst, müssen aber auch korrekt eingerichtet werden.

In Beitrag #6 sieht man doch die aufgelöste IPv6... das ist nicht meine richtige IPv6 Adresse...

Das hab ich befürchtet. Darauf wurdest du mehrfach hingewiesen, das zu überprüfen und ggf. zu korrigieren. Deshalb war ja auch eine meiner ersten Fragen nach deinem dyndns System etc. Wenn du myfritz nutzt, dann ist die Box ganz offensichtlich nicht korrekt dort eingebunden.

 

[Magguz]

Rein von der Logik her hast du die Fritz!Box ja zurückgesetzt, damit du den Anbieter Deutsche Glasfaser auswählen kannst.

Unter deutsche Glasfaser "Cracks" hat sich erstere Variante durchgesetzt, da nur dann der Traffic Shaper auf die tatsächliche tarifliche Datenrate eingestellt werden kann und die Priorisierung funktionieren kann.

Ich hatte halt die offizielle Anleitung erstmal befolgt... Deswegen weiss ich jetzt nicht, warum immer darauf verwiesen wird, dass ich mich daran halten soll... Ich habe mich ja daran gehalten! Werde aber nochmal zurücksetzen wie gesagt, denke aber nicht, dass sich da was ändern wird...

Standard nach der Werkseinstellung ist aber nicht gut. Anleitung von DG oder AVM nach Werkseinstellung befolgen, das ist gut. Da müssen ne Menge Dinge angepasst werden, die in den Default Werkseinstellungen so nicht aktiv sind. Auch die Auswahl von "Deutsche Glasfaser" als Provider nimmt dir nicht alles ab, die LAN Einstellungen zum Beispiel werden vom Profil nicht beeinflusst, müssen aber auch korrekt eingerichtet werden.

Wo finde ich denn die Anleitung auf die du dich beziehst? Ich kenne nur diese hier und so habe ich es gemacht! Da werden auch keine weiteren Einstellungen empfohlen? Welche Einstellungen soll ich denn bei DG einstellen?

Das hab ich befürchtet. Darauf wurdest du mehrfach hingewiesen, das zu überprüfen und ggf. zu korrigieren. Deshalb war ja auch eine meiner ersten Fragen nach deinem dyndns System etc. Wenn du myfritz nutzt, dann ist die Box ganz offensichtlich nicht korrekt dort eingebunden.

Meine dynDNS bei spdyn spuckt ja die gleiche IP aus, wie die myfritz. Das sind ja eigentlich 2 komplett unterschiedliche "Systeme" in der FB und beide spucken die gleiche IP aus. myfritz funktioniert laut FB auch einwandfrei und wäre von aussen Verfügbar (was definitiv nicht so ist).

 

[riversource]

Wo finde ich denn die Anleitung auf die du dich beziehst?

Bei der DG im Downloadbereich. Dein Link funktioniert nicht. Jedenfalls steht darin nichts von DS-Lite.

Meine dynDNS bei spdyn spuckt ja die gleiche IP aus, wie die myfritz. Das sind ja eigentlich 2 komplett unterschiedliche "Systeme" in der FB und beide spucken die gleiche IP aus.

Die FB meldet ihre momentan aktive IP an den dyndns Dienst. Wenn die nicht beim dyndns Dienst auftaucht, dann ist die Einrichtung falsch.

Welche IPs hast du denn miteinander verglichen? Zeig die mal aus der Box und aus dem dyndns Dienst.

 

[Magguz]

Bei der DG im Downloadbereich. Dein Link funktioniert nicht. Jedenfalls steht darin nichts von DS-Lite.

Welche meinst du denn von den Anleitungen? Verlinkt hatte ich die eingekreiste, da steht aber nichts drin bezüglich optimierten Netzwerkeinstellungen. Aber auch nichts von nativer IPv6 wie es hier empfohlen wurde.
Mit den Standardeinstellung "nativer IPv4" ging es ja auch nicht...

Die FB meldet ihre momentan aktive IP an den dyndns Dienst. Wenn die nicht beim dyndns Dienst auftaucht, dann ist die Einrichtung falsch.

Welche IPs hast du denn miteinander verglichen? Zeig die mal aus der Box und aus dem dyndns Dienst.

Sie meldet ja etwas an den Dienst, aber nur den Präfix. Man sieht auch bei spdyn dass die Kommunikation zwischen FB und spdyn funktioniert...

Ich bin aktuell nicht zuhause, werde das aber nachreichen heute abend!

 

[Web-Schecki]

Sie meldet ja etwas an den Dienst, aber nur den Präfix.

Das ist im Falle von myfritz auch vollkommen korrekt, und das ist im Grunde genommen bei IPv6 auch nur so wirklich sinnvoll.
Die Geräte, die du von außen erreichbar machen willst, musst du meines Wissens einzeln in der FritzBox als myfritz-Freigabe hinzufügen. Dann wird das an den myfritz-Dienst gemeldet und diese Geräte bekommen mit ihrer eigenen Adresse einen entsprechenden AAAA-Record für die passende subdomain, also etwa "gerätename.blabla.myfritz.net".
Für "blabla.myfritz.net" erhält man in der Regel einen AAAA-Record mit der IP-Adresse der Box.

Irgendwas scheint dort aber insgesamt faul zu sein. In #6 sieht man ja den DNS-Eintrag; ich nehme an für blabla.myfritz.net, d.h., man würde dort also die IPv6-Adresse der Box erwarten. Wir können anhand von #23 nicht erkennen, ob das die korrekte Adresse ist, weil du sie dort unkenntlich gemacht hast. Es wäre wohl unwahrscheinlich, dass die Adresse der Box im Suffix fast ausschließlich aus Nullen besteht, deswegen scheint dort irgendetwas nicht zu stimmen. Die Frage ist, woher myfritz auf diese Adresse kommt. Stimmt der Präfix denn, oder ist der schon falsch? Was sagt myfritz.net, was sagen die Fritzbox-Logs dazu?

Ein weiteres Problem scheint zu sein, dass du gar keine IPv6-Konnektivität nach außen hast. Und da das zusammenhängen könnte, ist es ggf. sinnvoll, dieses Problem zuerst zu lösen.
Auch da können wir aber wenig helfen, wenn in #29 die Adressen so umfassend unkenntlich gemacht sind. Die Frage wäre: Passen die Adressen zum aktuellen Präfix, den die fritzbox anzeigt?

 

[riversource]

Sie meldet ja etwas an den Dienst, aber nur den Präfix.

Das gibt es auch, aber oben hast du definitiv eine vollständige IP gezeigt, und nicht nur ein Präfix.

Der Anwendungsfall mit dem Präfix ist natürlich nur für Geräte aus deinem Heimnetz interessant. Da hinterlegst du dann die Interface ID beim dyndns Anbieter, die Box aktualisiert das Präfix, und aus beidem zusammen kann man jederzeit die IP eines Heimnetzgerätes zusammensetzen. Aber die Fritzbox hat ja gar keine IP aus dem Präfix, sondern eine eigene. Das heißt, der Anwendungsfall mit dem Präfix ist für dich uninteressant. Deshalb meldet die Fritzbox standardmäßig auch immer die eigene IP und nicht nur das Präfix - wenn man nicht was anderes eingestellt hat. Das wiederum weißt nur du, denn du verrätst ja nicht, was du eingestellt hast.

Übrigens: Die Box meldet die Änderungen nur, wenn sich was geändert hat. Wenn du also deinen Router eingerichtet hast, und am Anfang ging die Aktualisierung schief, dann steht da eine alte IP drin, und sie wird nie aktualisiert, weil sie sich nicht ändert. Wenn du die dyndns Konfiguration anpasst, wird die IP erneut übertragen. Aber wie gesagt: Es muss auch eingestellt sein, dass die IP aktualisiert wird.

Übrigens sagt die spdyn API Dokumentation nichts von einem Prefix. Auch in der Host-Konfiguration kann man nicht nur eine Interface-ID angeben, wie es für eine Prefix Aktualisierung nötig wäre. Für mich sieht das nicht so aus, als würde man bei spdyn nur das Prefix aktualisieren können. Ich denke, da geht bei dir grundsätzlich was schief.

Ich hoffe auch, deine DNS Anfrage aus #6 ging auf die toplevel myfritz Domain (blabla.myfritz.net), und nicht auf einen dort hinterlegten Host (nas.blabla.myfritz.net). Das würde auch erklären, warum die IPs falsch sind. Die IP der Box verbirgt sich hinter der toplevel myfritz Domain.

Welche meinst du denn von den Anleitungen?

Deshalb schrieb ich ja auch, die AVM Anleitungen solltest du auch beachten. Zum Beispiel die hier:
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/573_IPv6-in-FRITZ-Box-einrichten/
Und auch in der DG Anleitung steht nichts von DS-Lite.

 

[Magguz]

Ich hoffe ich habe nicht zu viel verpixelt, nur möchte ich nicht meine Daten unnötig im Netz verteilen... Fehlt noch was?

Deshalb schrieb ich ja auch, die AVM Anleitungen solltest du auch beachten. Zum Beispiel die hier:
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590/573_IPv6-in-FRITZ-Box-einrichten/
Und auch in der DG Anleitung steht nichts von DS-Lite.

Hab mal geschaut, das sind eigentlich die Standardeinstellung beim aktivieren von IPv6. Musste nichts anspassen.

 

[riversource]

Ja, sieht doch gut aus. IP der Box und DNS Abfrage passen zusammen.

Der IPv6 Test bei wieistmeineip ist vom VPN Client? Dann musst du dafür sorgen, dass dein Endgerät eine IPv6 Adresse bekommt.

Also das IPv6 und DNS Setup der Fritzbox ist in Ordnung. Bleiben drei Baustellen, die wir der Reihe nach überprüfen müssen: Die VPN Einrichtung der Box, die VPN Einrichtung des VPN Clients, und das IP-Setup des Clients. Wenn oben der Test vom VPN Client ist, dann solltest du mit dem IP-Setup des Clients anfangen. Dort musst du für eine IPv6 Adresse sorgen.

 

[Magguz]

Der Test ist von meinem Laptop aus meinem Netzwerk heraus.
Der VPN Client (mein Smartphone) besteht den Test.

 

[riversource]

Offenbar leitest du den gesamten Internet Traffic übers VPN. Willst du das? Oder reicht der Zugriff aufs Heimnetz?

Ich würde mit dem Zugriff aufs Heimnetz anfangen, dass bringt das Routing des Smartphones nicht durcheinander. Dafür musst du bei den Allowed IPs dein Eintrag "0.0.0.0/0" rausnehmen und nur das "192.168.178.0/24" drin lassen.

 

[Web-Schecki]

Es wäre wohl unwahrscheinlich, dass die Adresse der Box im Suffix fast ausschließlich aus Nullen besteht, deswegen scheint dort irgendetwas nicht zu stimmen.

Jo, das war btw Quatsch. Die Adresse des Routers kann ja durchaus vom Anbieter kommen und muss nicht aus dem delegierten Präfix stammen. Dann ist sowas natürlich möglich.