Zugriff auf Server per IP funktioniert - per DynDNS nicht

[Leonie1989]

Liebes Forum,

ich möchte von zu Hause aus auf den PC in unserer Physiotherapie-Praxis zugreifen. Dazu will ich ein VPN mit DDNS einrichten.

Wenn ich das VPN mit der WAN-IP des Praxis-Routers aufbaue funktioniert alles einwandfrei und ich kann mich per Remote Desktop auf den Praxis PC einloggen.
Wenn ich aber stattdessen meine DDNS Domain verwenden möchte, wird das VPN nicht aufgebaut.
Per nslookup wird die IP aber richtig ermittelt.

Wer kann mir einen Tipp für die Fehleranalyse geben?

Danke Euch!

 

[till69]

Evtl. teilt der DDNS auch eine IPv6 mit, und Dein VPN ist IPv4 only.

 

[Leonie1989]

Ich glaube dein Tipp geht in eine gute Richtung. Beim nslookup sehe ich auch eine IPv6. Muss ich dann bei meinem DDNS-Anbieter die IPv6 unterbinden lassen oder was wäre die Lösung?

Ergänzung (26. März 2022)

Ich verwende das VPN von Windows 10.

 

[Pilatesjünger]

Die WanIp muss auch richtig übermittelt werden.

 

[Leonie1989]

Ja, die IPv6 wird richtig übermittelt

 

[till69]

Aber das ist die falsche.

Ja, die IPv6 wird richtig übermittelt

Was denn nun?

Am einfachsten wäre ein DDNS dem nur die IPv4 mitgeteilt wird.
Alternativ das VPN IPv6-fähig machen.

 

[redjack1000]

Ich verwende das VPN von Windows 10.

IPSEC oder PPTP?

CU
redjack

 

[Leonie1989]

Sorry für die Verwirrung. Ja die IPv6 wird richtig angezeigt. Dann kann wohl mein VPN kein IPv6 oder?

Ergänzung (26. März 2022)

Verwende: L2TP/IPsec mit vorinstallierten Schlüssel

 

[redjack1000]

OK dann benutzt Du also PPTP. Ich rate "dringend" dazu, das nicht zu tun.

Die Sicherheit des Point-to-Point Tunneling Protocols​

Aufgrund 2012 bekannt gewordener Schwachstellen des Protokolls gilt PPTP als nicht mehr sicher. Prinzipiell ist jede PPTP-Verbindung mit relativ geringem Aufwand zu knacken. Im Internet existieren Angebote, die dies innerhalb weniger Stunden schaffen. Es wird lediglich ein mitgeschnittener Anmeldevorgang benötigt. Die Schwachstelle ist auf die verwendeten Authentifizierungsverfahren MS-CHAPv1 und MS-CHAPv2 zurückzuführen. Über einfache Brute-Force-Attacken lassen sich die zur Authentifizierung benötigten Hash-Werte schnell ermitteln.

Quelle: https://www.security-insider.de/was-ist-pptp-a-800294/#:~:text=Aufgrund bekannter Schwachstellen gilt PPTP heute als nicht mehr sicher.&text=Das Point-to-Point Tunneling,virtuelle private Netze (VPNs).&text=Die Abkürzung PPTP steht für Point-to-Point Tunneling Protocol.

Cu
redjack

 

[Nilson]

Bei IPv6 muss man im Gegensatz zu IPv4 die IP des Endgerätes (VPN-Servers) nutzen, nicht die des Routers. Daher: geht direkte Zugriff über die IPv6? Freigabe im Router entsprechend eingerichtet?

 

[Leonie1989]

@redjack1000: Warum denkst du, dass ich PPTP nutze? Es gibt im Windows VPN die Auswahl zwischen PPTP und L2TP/IPSec. Ich habe L2TP/IPSec ausgewählt.

@Nilson: Aber der Router ist mein VPN Server. Der direkte Zugriff funktioniert über die IPv4. Ich kann morgen gerne mal den direkten Zugriff über die IPv6 testen.

 

[redjack1000]

IPSEC kann IPV6, PPTP nicht. Von daher vermutete ich, das PPTP im Einsatz ist.


CU
redjack

 

[riversource]

Bei IPv6 muss man im Gegensatz zu IPv4 die IP des Endgerätes (VPN-Servers) nutzen, nicht die des Routers. Daher: geht direkte Zugriff über die IPv6? Freigabe im Router entsprechend eingerichtet?

Das ist die richtige Antwort. Über IPv6 wird das falsche Endgerät angesprochen.

Bei IPv6 gibt es keine Portweiterleitungen, wie bei IPv4. Jedes Gerät hat seine eigene öffentliche IP, und muss direkt angesprochen werden. In der Firewall des Routers stellt man folglich auch keine Portweiterleitungen ein, sondern Portöffnungen.

 

[chrigu]

hast du eine alte fritzbox?

 

[Leonie1989]

Das ist die richtige Antwort. Über IPv6 wird das falsche Endgerät angesprochen.

Bei IPv6 gibt es keine Portweiterleitungen, wie bei IPv4. Jedes Gerät hat seine eigene öffentliche IP, und muss direkt angesprochen werden. In der Firewall des Routers stellt man folglich auch keine Portweiterleitungen ein, sondern Portöffnungen.

Aber der DDNS liefert ja die IPv6 des Routers. Ich kann da auch gar nichts einstellen. Oder wo stelle ich ein, dass der DDNS die IPv6 des Endgerätes liefert?

hast du eine alte fritzbox?

Ich verwende von Telekom den Speedport smart 4.

IPSEC kann IPV6, PPTP nicht. Von daher vermutete ich, das PPTP im Einsatz ist.


CU
redjack

Hier ein Bild von der Einstellung meines VPN-Typs:

 

[riversource]

Aber der DDNS liefert ja die IPv6 des Routers.

Eben. Das ist falsch. Du brauchst die IP des PCs. Der hat eine andere, als der Router und muss direkt angesprochen werden.

Entweder musst du einen DDNS Client auf dem PC installieren, oder du brauchst einen DDNS Service, der ganze Subnetze mit Prefixaktualisierung erlaubt, wie z. B. dynv6. Ich weiß aber nicht, ob der Smart4 das unterstützt. Fritzboxen können das.

 

[Leonie1989]

Eben. Das ist falsch. Du brauchst die IP des PCs. Der hat eine andere, als der Router und muss direkt angesprochen werden.

Entweder musst du einen DDNS Client auf dem PC installieren, oder du brauchst einen DDNS Service, der ganze Subnetze mit Prefixaktualisierung erlaubt, wie z. B. dynv6. Ich weiß aber nicht, ob der Smart4 das unterstützt. Fritzboxen können das.

Ok, ich denke ich versuche mal den DDNS Client auf dem PC. Könnt ihr zufällig einen empfehlen?
Wenn ich diesen DDNS-Client auf dem PC verwende, brauche ich dann eine Portweiterleitung am Router? Wenn ja, welche Ports betrifft das?

Vielen Dank allen für die hilfreichen Tipps bisher!

 

[riversource]

Wenn ich diesen DDNS-Client auf dem PC verwende, brauche ich dann eine Portweiterleitung am Router?

Bei IPv6 brauchst du eine Portöffnung. Portweiterleitungen gibt es nicht mehr. Aber ja: Die Firewall muss entsprechend konfiguriert werden.

Ok, ich denke ich versuche mal den DDNS Client auf dem PC. Könnt ihr zufällig einen empfehlen?

Nee. Aber bei DDNS Diensten mit einer entsprechenden Update-API reicht vermutlich ein curl Aufruf.

 

[Raijin]

Ok, ich denke ich versuche mal den DDNS Client auf dem PC. Könnt ihr zufällig einen empfehlen?

In der Regel wird auf den Seiten des DDNS-Anbieters ein Client empfohlen. Ansonsten gibt zB ddclient, ein Klassiker unter den DDNS-Clients

Unterm Strich ist es aber so wie @riversource schreibt: Oftmals beschränkt sich ein DDNS-Update auf einen banalen Aufruf einer URL. Das sieht dann in etwa so aus:

https://[USERNAME]:[PASSWORD]@ein.ddns.provider.com/api/?hostname=[DOMAIN]&myip=[IP]

Tools wie ddclient unterstützen zahlreiche verschiedene DDNS-Anbieter und ihre entsprechenden Update-URLs bzw. etwaige andere Schnittstellen oder Protokolle. Bei vielen DDNS-Anbietern findet man auf den Supportseiten eine Konfiguration für ddclient.

So könnte das aussehen:

/etc/ddclient.conf:

protocol=dyndns2
ssl=yes # Erst ab ddclient Version 3.7 möglich, bitte prüfen
daemon=3600
usev6=if, if=eth0 # Bitte prüfen ob dies auch das korrekte Netzwerkinterface ist
if-skip=Scope:Link
server=www.dnshome.de
login=SUBDOMAIN.DOMAIN.TLD
password=PASSWORT
SUBDOMAIN.DOMAIN.TLD

Quelle: dnshome.de


Der Parameter "use" bzw. "usev6" gibt dabei an wie die zugeordnete IP-Adresse ermittelt werden soll, sei es durch einen IP-Checker im www oder eben über die IPv4/IPv6 einer Schnittstelle.