Unitymedia Kleiner IPv6-Workshop

[Conan179]

Die openvpn verbindungen klappen so langsam bei mir.
Aber leider nur in eine richtugn, also von zuhause kann ich auf alle netzwerke zugreifen, die nicht bei mir sind, aber wen ich jetzt z.b. im Netz B sitzte, hab ich keinen zugriff auf mein netz zuhause, die verbindung steht, aber alles nur als einbahnstrasse, die route nach hause, hab ich in der fritzbox im netz b eingetragen, ein traceroute zeigt an, das das paket aber zwischen der fritzbox und dem raspi hin und her geschickt.

Weis hemand zufällig, warum der openvpn server im raspi sich weigert die paket zum netz a (also zuhause) zu shcicken? net.ipv4.ip_forward=1 in der sysctl.conf ist ohne # davor.

 

[SpaceRat]

Die Fritz!Box denkt - so wie Du's Ihr gesagt hast - daß der Pi das Gateway in Dein Heimnetz ist.
Der Pi hingegen hält die Fritz!Box für das passende Gateway.

Es fehlt also eine Route vom Pi durch's VPN ...

Sinnig ist es, die Client-Configs frei von solchen Einstellungen zu halten und den Server stattdessen alle Routen pushen zu lassen, damit man sie an nur einer Stelle vergewaltigen muß.

 

[Conan179]

der raspi ist der openvpn server, der im netz der fritzbox steht.

[admin@NASD9232D ~]# traceroute 192.168.1.2
traceroute to 192.168.1.2 (192.168.1.2), 30 hops max, 40 byte packets
1 fritz.box (192.168.2.1) 0.381 ms 0.368 ms 0.762 ms
2 praxisberry.fritz.box (192.168.2.222) 2.263 ms 0.927 ms 0.904 ms
3 fritz.box (192.168.2.1) 6.299 ms 1.835 ms 1.858 ms

Was ich gemeint habe ist, das ich von zu hause aus, mit dem openvpn client alle netzte ereichen kann über den openvpn server.

 

[Banis]

Gibt es eine Möglichkeit ein ein Dyndns Update bei freedns direkt über den Receiver (vu+) durchzuführen? Ich habe früher immer das Plugin inadyn genutzt, aber dieses funktioniert ja für ipv6 nicht. Ich habe aber für die vu+ bisher das neuere inadyn-mt noch nicht gefunden. Gibt es sowas oder evtl eine Alternative?

 

[SpaceRat]

Gibt es eine Möglichkeit ein ein Dyndns Update bei freedns direkt über den Receiver (vu+) durchzuführen? Ich habe früher immer das Plugin inadyn genutzt, aber dieses funktioniert ja für ipv6 nicht. Ich habe aber für die vu+ bisher das neuere inadyn-mt noch nicht gefunden. Gibt es sowas oder evtl eine Alternative?

Alle anständigen Images enthalten nicht inadyn sondern inadyn-mt und das kann IPv6.
Es gibt allerdings u.U. kein Plugin, welches die notwendigen Konfigurationseinstellungen erlaubt, so daß man inadyn-mt direkt auf Kommandozeilenebene selber konfigurieren muß.

Das ist allerdings auch kein Hexenwerk:
Auf der Shell eingeben:
crontab -e

Und folgenden Cronjob eintragen (Farblich markierte Angaben sind anzupassen, die fett markierte ist für die alternative Option, die ich gleich aufzeige, wichtig):
*/5 * * * * inadyn-mt --dyndns_system [email protected] --alias blabla.mooo.com,U3hWYTdVblablalbalMTM0 ip6 --ip_server_name ipv6.whatismyv6.com /

Damit wird alle 5 Minuten die IPv6 überprüft und ggf. aktualisiert.


Hilfweise kann inadyn-mt auch auf einem beliebigen anderen Gerät im LAN laufen und trotzdem Updates für die Box fahren, indem man die URL für das Ermitteln der IPv6 anpaßt, wenn man ein aktuelles Image auf der Box hat.

Dieser cronjob kann auf einem beliebigen anderen Rechner im LAN laufen:
*/5 * * * * inadyn-mt --dyndns_system [email protected] --alias blabla.mooo.com,U3hWYTdVblablalbalMTM0 ip6 --ip_server_name <IPv4 der Box> /web/getipv6

Auch dieser cronjob ermittelt alle 5 Minuten die aktuelle IPv6 und aktualisiert sie ggf., aber er holt sich die IPv6 nicht von einem externen Server (Womit das Gerät ja nur seine eigene IPv6 und nicht die IPv6 der Vu+ ermitteln würde), sondern von einer speziellen Adresse des OpenWebif direkt auf der zu aktualisierenden Box.

Ob das so klappen würde, kann man ganz einfach vorab testen, indem man diese Service-URL direkt im Browser testet:
http://vusolo2/web/getipv6
bzw. z.B.
http://192.168.0.56/web/getipv6
sollte folgendes Ergebnis liefern:

My IP address is: 2001:db8:dead:0:c0c0:ecff:fe00:beef

Beide Methoden funktionieren auf jeder beliebigen E2-Box (Außer DM500/DM800HD/DM800se) mit jedem aktuellen Image (OpenATV, OpenViX, OpenPLi, ...), nicht aber auf nicht wirklich gepflegten Images wie dem Original-Herstellerimage sowie deren gepimpten Derivaten wie VTI oder BH.

 

[Conan179]

@SpaceRat wie bekomme ich es hin, das ich vom server netz ins netzwerk vom client komme? vom client zum server geht es.

 

[SpaceRat]

@SpaceRat wie bekomme ich es hin, das ich vom server netz ins netzwerk vom client komme? vom client zum server geht es.

Wie meinen?

 

[Conan179]

meine openvpn verbindung lät momentan nur eine einbandstrasse zu, vom client, in diesem fall ein rapsberry bei mir zuhause, kann auch ohne probleme zugreiffen auf alle netzte die am server angeschlossen sind, aber im netz des servers komme ich nicht ins netz werk des clients.

 

[SpaceRat]

meine openvpn verbindung lät momentan nur eine einbandstrasse zu, vom client, in diesem fall ein rapsberry bei mir zuhause, kann auch ohne probleme zugreiffen auf alle netzte die am server angeschlossen sind, aber im netz des servers komme ich nicht ins netz werk des clients.

Ab einer gewissen Komplexität fehlt mir die Vorstellungskraft, mir jeden möglichen Fehler vor Augen zu führen ohne die Sache auch selber zu sehen.

Es spricht aber viel für fehlende Routen.
Der Server muß wissen, daß er das Client-Netzwerk durch den OpenVPN-Server erreichen kann und das Client-Netzwerk muß wissen, daß es die anderen Netzwerke durch OpenVPN erreichen kann.

Besonders zu beachten ist das "Hilfsnetzwerk" - also z.B. 10.8.0.x o.ä. - wenn eine tun-Verbindung genutzt wird:
Der Client(-Router) muß dann sowohl 10.8.0.x o.ä. zum Rechner mit dem OpenVPN-Client routen, als auch alle per VPN erreichbaren LANs wie z.B. 192.168.5.x, 192.168.6.x, ...

 

[Conan179]

Zuhause hab ich 192.168.4.0 (hilfs netz) in die fritzbox als route und der gateway ist der raspi und das server netztwerk, im server netzt ist das hilfsnetzt und das netztwerk zuhause in die fritzbox eingetragen.
wen ich im server netzwerk dan ein tracert mache, das das paket ein ein ping pong ziwschen der fritzbox und dem raspi.

 

[Banis]

Beide Methoden funktionieren auf jeder beliebigen E2-Box (Außer DM500/DM800HD/DM800se) mit jedem aktuellen Image (OpenATV, OpenViX, OpenPLi, ...), nicht aber auf nicht wirklich gepflegten Images wie dem Original-Herstellerimage sowie deren gepimpten Derivaten wie VTI oder BH.

Danke für die Info, gibt es auch eine Methode die für das aktuelle VTI Image funktioniert? Andernfalls muss ich wohl auf ein anderes Image umsteigen

 

[SpaceRat]

Danke für die Info, gibt es auch eine Methode die für das aktuelle VTI Image funktioniert? Andernfalls muss ich wohl auf ein anderes Image umsteigen

Kommt darauf an, wieviel Du basteln willst.

Möglichkeiten gibt es durchaus.
Unter Umständen funktioniert der inadyn-mt vom Feed eines anständigen Images auch auf dem original Vu+-Image (Denn nix anderes ist VTI, nur eben gepimpt).
Für die zweite Methode müßte man entsprechend alle Python-Pakete durch die eines anderen Images ersetzen.

 

[Fruchtzwerg]

Moin zusammen!

Ich habe gerade den "Workshop" für IPv6 durchgelesen. Ich habe nämlich auch das Problem, daß ich nach dem Wechsel zum UM mit dem Kabelanschluss (DS-Lite) nicht mehr an meinen Server komme.

Meine Geräte sind so weit alle IP6-tauglich. Das Problem ist nur, daß zwischen FritzBox und Server noch ein Router hängt, der Server also in einem anderen Netz als die FB liegt. Kann mir jemand sagen, wie ich da einrichten muss, oder ob es gar nicht geht?

 

[Leseratte10]

Die Firewall der Fritzbox hat meines Wissens immer noch diesen gewaltigen Bug, der freigaben für Geräte hinter einem weiteren Router verhindert.

Lösen lässt sich das nur, wenn der zweite Router openwrt nutzt - dann einfach den Modus "IPv6-Relay" einstellen.

 

[Fruchtzwerg]

Danke für die Antwort!

Der zweite Router ist ein OpenWRT.

In welchem Menü finde ich den von Dir genannten Punkt?

 

[Leseratte10]

Weiß ich nicht, ich habe leider keinen openwrt Router. Ich weiß nur, dass diese Einstellung das Problem löst. Das wurde aber bestimmt schon mal irgendwo hier im forum (vielleicht sogar in diesem thread) erwähnt.

 

[Fruchtzwerg]

Hallo Weltraumratte!

Danke für den Link. 37 Seiten durchzulesen, ist anstrengend, und wenn man nicht genau weiß, welchen Suchbegriff man nehmen soll, macht's das auch nicht gerade einfacher.

 

[SpaceRat]

Hallo Weltraumratte!

Danke für den Link. 37 Seiten durchzulesen, ist anstrengend, und wenn man nicht genau weiß, welchen Suchbegriff man nehmen soll, macht's das auch nicht gerade einfacher.

Ja, vor allem weil es ein anderer Thread ist, in dem das steht
Du hättest es in diesem Thread also eh nicht oder nicht so ausführlich gefunden.

 

[Fruchtzwerg]

'Tschuldigung, wenn ich nerve, aber ich schaff's einfach nicht.

Bevor ich jetzt noch mehr Stunden meines Lebens mit erfolglosen Experimenten vergeude, möchte ich lieber erst noch einmal nachfragen: ist es mit der aktuellen Konstellation (FB 6490, IPv6/DS-Lite) überhaupt möglich, vom Internet an einen Server zu gelangen, der im Heimnetz hinter einem weiteren Router steckt?

Und wenn ja: ist das auch mit jedem mobilen Endgerät möglich, ohne erst spezielle Software installieren oder Modifikationen vornehmen zu müssen?

Der Grund für diese Frage: ich habe einen Server, auf dem nicht nur ich von extern zugreife, sondern noch andere Benutzer, die meisten per HTTPS (Port 443). Zur Not würde der eine Port reichen, alles andere kann ich als CGI bereitstellen. Aber ich kann den Benutzern unmöglich zumuten, auf ihren PC, Smartphones und Tabletts irgendwelche Tunnelgeschichten zu installieren. Laut telefonischer Auskunft ist es UM-Mitarbeitern jetzt strickt verboten, bei Neuverträgen IP4 anzubieten. Das bedeutet für mich im Endeffekt, daß ich den Vertrag mit UM innerhalb von 14 Tagen stornieren/widerrufen muss, wenn der Zugriff auf den Server über das Netz von UM nicht genau so einfach für die Anwender ist, wie bei meinem bisherigen Anbieter. Mein Sohn ist auch schon am meckern, weil seine Online-Spiele nicht mehr funktionieren. Da muss also etwas passieren, und das ganze innerhalb der nächsten 10 Tage wegen der Widerrufsfrist. Daher würde ich mich wirklich über schnelle und für Laien verständliche Antworten freuen.

Danke im Voraus!

 

[Fruchtzwerg]

Vielen Dank für Deine ausführliche Antwort! :smile:

An einem OpenWRT-Router soll's nicht scheitern, den habe ich. Der trennt zur Zeit mein Heimnetz per VLAN in verschiedene Subnetze. Einen zweiten TP841 gäbe es für 15 Euro neu, das wäre keine große Ausgabe.

Wichtig ist auf alle Fälle, daß die von außen erreichbaren Server keinen Zugriff auf die anderen Netze bekommen, umgekehrt aber schon. (DMZ) Wobei es bei den Up-/Download-Geschwindigkeiten per Kabel nicht unbedingt erforderlich wäre, daß ich die Server über LAN erreichen kann, der Umweg über das Internet dürfte bei 6MBit Upload kaum noch ins Gewicht fallen. Das ist 10 mal mehr als ich jetzt an Upload habe.

Ich hätte auch noch eine zweite unbenutzte FritzBox, eine 7320. Die kann auch im Routerbetrieb eingesetzt werden, die könnte ich reaktivieren. Die hat zwar nur 2 LAN-Anschlüsse, wovon LAN1 dann zum WAN wird, aber das sollte evtl reichen, um ein Netz vom den anderen zu trennen. Dahinter kann ja dann ein einfacher Hub.

Siehst Du bei meinem geschilderten Gerätepark eine Chance, daß ich Kunde bei UM bleiben und trotzdem meine Server betreiben kann?

Hättest Du vielleicht entsprechende Konfig-Dateien für den OpenWRT, mit denen ich es ausprobieren kann?

 

[andreas221988]

Hallo, könnt Ihr mir helfen wie ich mit meinem IPv6 Anschluss mit DS-Lite-Tunnel von außerhalb wieder auf meine Dreambox zugreifen kann?

 

[Leseratte10]

Genau dazu ist doch dieser Workshop da?

Du musst halt auch von außen über IPv6 zugreifen, nicht über IPv4.

 

[andreas221988]

Das wird über mein iPhone schwierig

 

[umuserhe]

Wieviele IPv6 Adressen bekommt man man als Privatkunde mit 2Play Start?

 

[Leseratte10]

Genügend. Vor einiger Zeit als ich noch Privatkunde war war es ein /57-Netz wenn ich mich richtig erinnere.