Verstehe ich das richtig, dass ich also die Firewall des Ubee ausschalten könnte und dahinter einen zweiten OpenWRT Router platzieren könnte, der extern eine IPv6 Adresse hat und ein neues IPv4 Subnetz erzeugt in dem meine NAS hängt. Dann müsste es doch möglich sein von Extern auf den OpenWRT zuzugreifen und diese Anfragen über ein Portforwaring an meine NAS weiterleiten. Oder habe ich hier einen Denkfehler?
Ja, der Denkfehler ist, daß Du nicht weitergelesen hast.
Es wurde nun schon x Mal klargestellt, daß Router Netze trennen, wenn man also mehrere Router hintereinander kaskadiert, erzeugt man mehrere Netze (und nicht eines, wie das im heimischen LAN normal gewünscht wird).
Weiter hinten liegende Router hängen dementsprechend auch nicht mehr "im Internet" sondern immer nur im privaten LAN des vorgeschalteten.
Damit sollte eigentlich auch klar sein, daß Portweiterleitungen auf nachgeschalteten Routern zwar durchaus funktionieren, aber nicht das machen, was man voraussichtlich wirklich will.
IPv4-Port-Weiterleitungen im Router sorgen dafür, daß Geräte hinter dem Router (Also in dessen LAN) aus dem davor liegenden Netz erreichbar sind.
Das funktioniert immer. Nur daß bei einer Router-Kaskade das vorgeschaltete Netz eben
nicht mehr
das Internet ist, sondern
nur ein anderes privates Netz.
Aber weil Du OpenWrt erwähnt hast:
Man kann einen Router mit OpenWrt¹ so hinter das DK7200 oder ÜBEL EVIL klemmen, daß IPv4-mäßig zwar besagte Router-Kaskade entsteht² , IPv6-mäßig jedoch der OpenWrt-Router im selben Netz hängen wird wie das DK7200 oder das ÜBEL EVIL. Der OpenWrt-Router arbeitet dann für IPv6 nicht mehr als Router (Trennt also keine Netze, sondern verbindet sie), läßt aber seine IPv6-Firewall aktiv.
Es funktioniert immerhin so gut, daß ich die Dinger fertig konfiguriert verkaufen kann *g*, daher auch der Archer C7 in meiner Signatur.
Was ich verkaufe muß ich auch bereit sein, selber zu essen
Die Grundkonfiguration ist jetzt gar nicht mal so schwer, in /etc/config/network sieht der Abschnitt wan6 so aus:
Code:
config interface 'wan6' option ifname '@wan' option proto 'dhcpv6' option reqaddress 'try' option peerdns '0' option dns '2001:4860:4860::8888 2001:4860:4860::8844' option reqprefix 'no'
und in /etc/config/dhcp so:
Code:
config dhcp 'wan6' option dhcpv6 'relay' option ra 'relay' option ndp 'relay' option master '1' option interface 'wan' option ignore '1' option ra_management '1'
Das reicht, damit Geräte hinter dem OpenWrt-Router IPv6-Adressen aus dem gemeinsamen IPv6-Netz von DK7200/ÜBEL EVIL3226 und OpenWrt-Router erhalten.
IPv6-Freigaben für nachgeschaltete Geräte gestalten sich bei UM/KBW allerdings wegen des dynamischen Präfixes schwer, denn mit dynamisch veränderlichen Adressen mag die Firewall nicht so recht.
IPv6-Freigaben auf dem OpenWrt-Router selber sind hingegen kein Problem, denn für
diese Freigaben braucht man die Zieladresse nicht.
Das wiederum reicht, um einen OpenVPN-Server auf dem OpenWrt-Router laufen zu lassen und darüber von überall aus Vollzugriff auf's eigene LAN zu erhalten. In Verbindung mit einem IPv4-to-IPv6-Port-Proxy wie dem von feste-ip.net sogar aus reinen IPv4-Netzen (Wie z.B. Mobilfunk).
Will man unbedingt Geräte im LAN unmittelbar (also nicht erst über das VPN) freigeben, dann sollte das mit einem NAT-ähnlichen Konstrukt via tcpproxy (Ab Chaos Calmer der Ersatz für 6tunnel in OpenWrt) möglich sein, sogar für Server, die selber nur IPv4 sprechen.
1 = Ich empfehle, den aktuellen Chaos Calmer trunk zu verwenden und nicht Barrier Breaker oder älter. Dazu muß der Router aber mehr als 4 MB Flash haben, sonst gibt's keine grafische Oberfläche LuCi.
2 = Nicht schön, aber akzeptabel, da von außen eh nix mehr per IPv4 ankommt
