Unitymedia IPv6 Zugriff auf Apache Server im Heimnetz

[kaeptnplanet]

Hallo in die Runde,

seit ca. 20 Onlinestunden bin ich in allen möglichen Foren (u.a. auch hier) auf der Suche nach einer Lösung zu meinem Problem. In vielen Themen wird es auch angerissen, jedoch konnte ich es nie abschließend klären. Auch das mittlerweile über tausend Beiträge zählende IPv6 Thema hat mich nicht sonderlich weitergebracht.

Meine Geräte:
2Play50-Anschluss, Cisco EPC3208G, DLINK DIR 600 als WLAN-Accesspoint, Macbook und WIN XP PC mit laufendem Apache-Server.

Die schlichte Aufgabe:
Externes Aufrufen einer PHP-Website auf dem Apache aus dem WWW.

Ein VPN der von jedem IPv4-Rechner zu erreichen ist kommt nicht in Frage, da 1. kostenpflichtig
und 2. Traffic-begrenzt. 50 GB sind bei NAS-Gebrauch in 2 Wochen verbraucht.
Nun habe ich natürlich schon eine Tunnellösung wie z.B. Sixxs aufgetan.
Kann ich über diesen Sixxs-Tunnel auch meinen Win PC anwählen der via Ethernet am Dlink DIR 600 hängt? Soweit ich das verstanden habe, käme ich mit dem Tunnel zwar am Cisco-Modem/Router auf IPv6 an, kann mir aber nicht vorstellen, wie der Dlink DIR600 (als Accesspoint) weiß an welchen Rechner er weiterleiten sollte, da der ja wiederum nur im IPv4 Heimnetz arbeitet. Liege ich da soweit richtig?

Gibt es vielleicht noch weitere Lösungen die ich vielleicht noch nicht bedacht habe?

Vielen Dank für eure Hilfe

Grüße

 

[Knifte]

Du kannst von ussen nur per IPv6 auf dein Heimnetz zugreifen.

Wenn dein Router aber nur IPv4 beherrscht, wird das so nicht funktionieren. Wenn der Router IPv6 beherrscht, könntest du deinen Rechner via IPv6 normalerweise von aussen erreichen.

 

[kaeptnplanet]

Du kannst von ussen nur per IPv6 auf dein Heimnetz zugreifen.

Vielen Dank, soweit bin ich schon. Die Frage ist nur ob es neben meinen beiden erwähnten Lösungen des Zugriffs aus der nicht IPv6-Welt noch weitere gibt und inwieweit hier das Zusammenspiel mit den unterschiedlichen Geräten funktioniert.

Wenn dein Router aber nur IPv4 beherrscht, wird das so nicht funktionieren. Wenn der Router IPv6 beherrscht, könntest du deinen Rechner via IPv6 normalerweise von aussen erreichen.

Deine Antwort ist recht pauschal. Heißt das, ich kann Sixxs nur mit einer Fritzbox nutzen, oder kann ich vom Cisco auch eine Art Tunnel durch den Dlink durch hin zum Server aufbauen?

 

[Knifte]

Ich bin da jetzt kein Fachmann, da warte mal besser auf SpaceRat.

Sixxxs kannst du wahrscheinlich auch mit anderer Hardware als einer FritzBox nutzen, nur scheinen die Fritzboxen das von Hause aus sehr gut zu unterstützen.

Ich weiss jetzt aber auch gar nicht, ob das 3208G intern auch IPv6-Adressen verteilen kann. Davon gehe ich aber eigentlich mal aus. Wenn dein hinter das 3208G geschalteter Router aber nur IPv4 beherrscht, kannst du alle Geräte dahinter ja nicht vie IPv6 erreichen.

Dein IPv6 basierter Internetzugang ist von aussen nur per IPv6 zu erreichen. Du kannst aber auch nur Geräte in deinem Heimnetz von aussen erreichen, die eine eigene IPv6-Adresse haben, die auch "mit dem Internet verbunden" ist. Wenn da aber ein reiner IPv4-Router dazwischen hängt, wird das meines Erachtens nicht funktionieren. Wie gesagt, bin kein Fachmann, aber so stelle ich mir das vor.

Aber wie gesagt, warte mal auf Space Rat. Der weiss garantiert ob das geht oder nicht.

 

[SpaceRat]

Cisco EPC3208G, DLINK DIR 600 ... WIN XP PC mit laufendem Apache-Server.
...
Externes Aufrufen einer PHP-Website auf dem Apache aus dem WWW.

Das sind so ziemlich alle Erschwernisse, die man haben bzw. sich machen kann.

1. Windows XP kann nur eingeschränkt IPv6.
   Windows XP verwendet einen anderen TCP/IP-Stack als Windows Vista/7/8.x, nämlich getrennte Protokollstapel für IPv4 und IPv6, während die neueren Windows-Versionen einen einzigen "Dual-Stack" für IPv4 und IPv6 gemeinsam verwenden.
   Eine Menge an Software ist nicht für die getrennten Protokollstapel ausgelegt, so auch Apache.
   
   Dieses Problem ist noch relativ einfach zu lösen:
   

   @echo off
   netsh interface portproxy add v6tov4 80
   netsh interface portproxy add v6tov4 443

   Den als Code markierten Teil in einem Batch speichern und bei jedem Systemstart ausführen lassen, dann sorgt Windows selber dafür, daß Zugriffe auf die Ports 80 (http) und 443 (https) von IPv6 an den nur an IPv4 gebundenen Apache weitergeleitet werden.
   
   Ab Vista und höher kann das entfallen, indem man Apache einfach sowohl für IPv4 als auch IPv6 konfiguriert.
2. Der D-Link DIR600 braucht ein Firmware-Update für IPv6
   Es ist wohl so, daß es verschiedene Hardware-Versionen von diesem Teil gibt. Ich habe schon Screenshots vom DIR-600 gesehen, auf denen ganz klar ein Menüpunkt "IPv6" zu sehen war, das ist aber keine Garantie, daß das für alle Hardware-Versionen gilt.
   Wenn's die Hersteller-Firmware nicht kann, könnte DD-WRT/OpenWRT helfen.
   
   Der D-Link DIR600 braucht dabei in Bezug auf IPv6 eigentlich nichts besonderes können, er muß nur im verwendeten Kernel IPv6-Support haben, damit die IPv6-Kommunikation nicht zwischen der Außenwelt/dem Cisco EPC3208G einerseits und dem eigentlichen Heimnetz andererseits durch ein IPv4-only-Gerät unterbrochen wird.
3. Das Cisco EPC3208G kann zwar IPv6, ist dabei aber nicht sonderlich hilfreich
   Sobald das Heimnetz IPv6-tauglich ist (Siehe die vorherigen zwei Punkte), braucht man eigentlich nur noch entsprechende IPv6-Portfreigaben in den Firewalls, um den Apache auf dem Windows PC per IPv6 von außen erreichen zu können. Windows XP gibt m.W. mit jeder Firewall-Ausnahme sowohl IPv4 als auch IPv6 frei, aber was ich nicht weiß ist, ob das Cisco EPC3208G seine IPv6-Firewall überhaupt portweise öffnen kann.
   
   Der nächste Punkt ist, daß der Windows PC zwar eine IPv6-Adresse kriegt, sich diese aber mit jeder Einwahl ändert. Man braucht also noch einen IPv6-tauglichen DynDNS-Dienst und muß diesen regelmäßig aktualisieren. Im Gegensatz zu den Fritz!Boxen leistet das Cisco hierbei keine Hilfe.

 

[kaeptnplanet]

Hey SpaceRat,

erst einmal vielen vielen Dank das du dich so detailiert mit meiner Frage beschäftigt hast. :super: :smile:
Das ist alles andere als selbstverständlich und habe ich so nicht erwartet. Toll.

2.Der D-Link DIR600 braucht ein Firmware-Update für IPv6...
Wenn's die Hersteller-Firmware nicht kann, könnte DD-WRT/OpenWRT helfen.

Der D-Link DIR600 braucht dabei in Bezug auf IPv6 eigentlich nichts besonderes können, er muß nur im verwendeten Kernel IPv6-Support haben, damit die IPv6-Kommunikation nicht zwischen der Außenwelt/dem Cisco EPC3208G einerseits und dem eigentlichen Heimnetz andererseits durch ein IPv4-only-Gerät unterbrochen wird.

Ich habe jetzt mal drei rudimentäre Tests gefahren.
1. IPv6 ermitteln: Ist da, ändert sich aber nach WLAN Aus/Ein ?
Sollte IPv6 nicht genau diesen Umstand ändern, also hin zur unveränderlichen IP-Adresse pro Gerät?
Oder habe ich hier die entsprechenden Einstellungen verschlafen?

2. IPv6 Konnektivität checken: Alles grün (wieistmeineip.de)

3. IPv6 Ping von extern (subnetonline.com): 4 von 4 Paketen empfangen, keines verloren.
Sowohl am Macbook als auch am iPhone getestet. Beide geräte sind über WLAN mit dem Dlink Dir 600 verbunden. Kann ich das als Bestätigung für die IPv6-Fähigkeit des Dlink Routers werten?

ob das Cisco EPC3208G seine IPv6-Firewall überhaupt portweise öffnen kann.

Bisher ging ich davon aus, dass es mit IPv6 generell keine Portfreigaben mehr gibt/braucht. Im Cisco 3208G selbst habe ich keinen Eintrag zur Portfreigabe entdeckt. Gibt es hier eine andere Bezeichnung dafür, oder ist es im 3208G schlichtweg unmöglich Ports zu öffnen und somit mein Vorhaben zu realisieren?

Vielen Dank für eure Beiträge zum Thema.

Gruß

 

[SpaceRat]

erst einmal vielen vielen Dank das du dich so detailiert mit meiner Frage beschäftigt hast. :super: :smile:
Das ist alles andere als selbstverständlich und habe ich so nicht erwartet. Toll.

Nun, ich habe wenig Geld und viel Zeit ...

Ich habe jetzt mal drei rudimentäre Tests gefahren.
1. IPv6 ermitteln: Ist da, ändert sich aber nach WLAN Aus/Ein ?
Sollte IPv6 nicht genau diesen Umstand ändern, also hin zur unveränderlichen IP-Adresse pro Gerät?
Oder habe ich hier die entsprechenden Einstellungen verschlafen?

Ja. Siehe "Privacy Extensions".

Dieser Batch

@echo off
Netsh Int ipv6 install
netsh interface ipv6 set privacy state=disabled store=active
netsh interface ipv6 set privacy state=disabled store=persistent
netsh interface ipv6 set global randomizeidentifiers=disabled store=active
netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent
netsh interface 6to4 set state disabled
netsh interface teredo set state disable
netsh interface isatap set state disabled
netsh interface httpstunnel set interface state=disabled

Installiert IPv6 unter Windows XP (Standardmäßig nicht installiert) und deaktiviert die Privacy Extensions sowie alle IPv6-Übergangsmechanismen (Unnötig, wenn native IPv6 vorhanden) unter Windows XP.

Für Windows Vista und höher entfällt die Zeile "Netsh Int ipv6 install", dort ist IPv6 standardmäßig installiert.
Notwendige Schritte unter Linux und Mac OS X solltest Du unter dem Stichwort "Privacy Extensions" leicht über Google finden.

3. IPv6 Ping von extern (subnetonline.com): 4 von 4 Paketen empfangen, keines verloren.
Sowohl am Macbook als auch am iPhone getestet. Beide geräte sind über WLAN mit dem Dlink Dir 600 verbunden. Kann ich das als Bestätigung für die IPv6-Fähigkeit des Dlink Routers werten?

Sieht gut aus.

ob das Cisco EPC3208G seine IPv6-Firewall überhaupt portweise öffnen kann.

Bisher ging ich davon aus, dass es mit IPv6 generell keine Portfreigaben mehr gibt/braucht. Im Cisco 3208G selbst habe ich keinen Eintrag zur Portfreigabe entdeckt. Gibt es hier eine andere Bezeichnung dafür, oder ist es im 3208G schlichtweg unmöglich Ports zu öffnen und somit mein Vorhaben zu realisieren?

In Fritz!Boxen ist es etwas mißverständlich formuliert, dort heißen die Portweiterleitungen teilweise auch Portfreigaben.

Eine (IPv4-)Portweiterleitung beinhaltet zwei Komponenten ...

1. Das Öffnen des Ports in der (IPv4-)Firewall des Routers
2. Weiterleiten dieses Ports an einen bestimmten Rechner bzw. dessen private IPv4-Adresse im Heimnetz

... die (IPv6-)Portfreigabe hingegen nur eine ...

1. Das Öffnen des Ports in der (IPv6-)Firewall des Routers

Eingehender IPv4-Traffic ist ja, mangels genug Adressen für mehrere Geräte im Netzwerk, immer an die öffentliche IPv4-Adresse des Routers gerichtet. Der adressiert sie dann durch Zuordnung zu von innen heraus aufgebauten Verbindungen (Connection Tracking/conntrack) oder eben anhand von Einstellungen zu Portweiterleitungen/Port Forwardings um (NAT).

Eingehender IPv6-Traffic ist, da jedes Gerät seine eigene Adresse hat, schon an das richtige Gerät adressiert. Das hindert einen Router aber nicht daran, ihn bei der Durchleitung über eine IPv6-Firewall zu filtern. Die Einstellungen für IPv6-Portfreigaben könnten sich dementsprechend auch unter IPv6-Firewall befinden.

Dabei ist zu sagen:
Die Fritz!Boxen haben eine vollständige und portweise konfigurierbare IPv6-Firewall, andere Router, also evtl. auch das Cisco EPC3208G, nicht zwingend.
Die IPv6-Firewall des DK7200 z.B. kennt nur zwei Zustände: an und aus. Dabei dürfte "an" reines conntrack sein (Also nur Antworten durchlassen) und "aus" wirklich alles durchlassen.

 

[kaeptnplanet]

So, habe mich länger nicht gemeldet. Aus unerfindlichen Gründen ließ sich mein Apache nicht mehr starten. Dann wollte ich das System neu aufsetzen und konnte nicht mehr von CD booten, Bios nicht mehr erreichbar, CMOS-Reset, Bootfehler... Immer weiter zurückgeworfen. Also wieder zurück auf Los. Habe mir jetzt Windows 7 Professional draufgeschafft. Somit sollte damit schonmal ein Schritt in die richtige Richtung getan sein.

 

[kaeptnplanet]

Haltet mich jetzt bitte nicht für aufmerksamkeitssüchtig.
Der WAMP-Server läuft und ist Heimnetz-intern via IPv4 zu erreichen.
Nur jetzt spinnt mein Internetanschluss.
Beim Test in Win 7 "ipv6.google.com" hatte ich keinen Erfolg.
Auch http://www.test-ipv6.com hat mir die fehlende ipv6-Konnektivität bestätigt.
Testweise habe ich "ipv6.google.com" und "www.test-ipv6" auch nochmal auf meinem iPhone und Mac im eigenen WLAN aufgerufen, was vorher reproduzierbar und einwandfrei geklappt hat.
Es funktioniert jetzt nicht mehr. Nirgendwo. :wand: :wand: :wand:

Kann es sein, dass Unitymedia hier stillschweigend auf mein Gezeter reagiert und umgestellt hat?
Wie kann ich das herausfinden?

Ich werde hier langsam verrückt. Es scheint alles daneben zu gehen...

Grüße

Update:
Habe gerade mit der UM-Technik telefoniert und erfahren, das bei der DS-lite Technik auch manchmal eine IPv4 anstelle der IPv6 vergeben wird. Das heißt dann wohl im Umkehrschluss selbst über einen Sixxs-Tunnel nur mit Glück auf meinen Server käme. Habe ich das richtig verstanden?

 

[SpaceRat]

Kann es sein, dass Unitymedia hier stillschweigend auf mein Gezeter reagiert und umgestellt hat?
Wie kann ich das herausfinden?

Das müsstest Du irgendwo im Cisco sehen können.

Habe gerade mit der UM-Technik telefoniert und erfahren, das bei der DS-lite Technik auch manchmal eine IPv4 anstelle der IPv6 vergeben wird. Das heißt dann wohl im Umkehrschluss selbst über einen Sixxs-Tunnel nur mit Glück auf meinen Server käme. Habe ich das richtig verstanden?

Wenn es so wäre, hättest Du es richtig verstanden.
Aber das hätte jemand berichtet, wenn er trotz DS-lite zeitweilig eine öffentliche IPv4 statt der privaten IPv4+öffentliches IPv6-Präfix bekommen hätte.

 

[kaeptnplanet]

Die weiße Flagge ist gehisst. Ich gebe auf. Es scheint in meinem Fall schlichtweg nicht machbar zu sein.
Habe mich jetzt erniedrigt, einen Business-Anschluss zu bestellen und kündige direkt!

Danach nie wieder.

Ich danke euch allen, insbesondere dir SpaceRat für eure Zeit und eure Unterstützung bei dem Versuch der Lösung meines Problems. :super:

Grüße

Kaeptn.

 

[GoaSkin]

Es gibt übrigens tatsächlich einen Workaround, um Webserver auf Rechnern, die über einen DS-Lite Anschluss im Netz sind, auch für die IPv4-Welt erreichbar zu machen. Allerdings etwas kompliziert.

Beim Apache-Webserver gibt es ein schönes Modul "mod_proxy_http", über das man sorgen kann, dass bestimmte Domains oder auch nur Unterverzeichnisse einer Domain von einem anderen Server abgerufen werden. Man benötigt einen Dualstack-fähigen Root-Server, auf dem man einen Apache-Webserver entsprechend so konfiguriert, dass er Abrufe auf eine festgelegte Domain von der IPv6-Adresse des Rechners zu Hause bezieht und durchreicht. Diese Domain benötigt wiederum einen DNS-Eintrag, der auf die IPv4-Adresse des Servers zeigt, der die Umleitung machen soll. Als Umleitungsserver kommt der per DynDNS erreichbare IPv4-Webserver eines Kumpels oder irgend ein Dedicated Server in Betracht.