Unitymedia Zugriff auf die Fritzbox mit myfritz.net

[Eismaus]

Hallo und einen wunderschönen Sonntag für alle.

Ich bräuchte mal eure Hilfe.
Vor einiger Zeit habe ich mit Hilfe des Beitrages "Kleiner TCP/IP-Workshop - IPv6 und IPv4" den myFritz.net dienst an meiner Box lauffähig eingerichtet.
Als dann der große "Hack" kam, habe ich den natürlich deaktiviert, das Passwort geändert und auch brav gewartet, das das Firmwareupdate eingespielt wurde.

Jetzt möchte ich den Zugang wieder aktivieren.
Also habe ich die Daten entsprechend in der Box geändert, und bekomme in der Übersicht auch die grüne Lampe für eine erfolgreiche Verbindung.
Wenn ich mit meinem Laptop von innerhalb des Netzwerkes auf den die Seite myfritz.net zugreife und mich einlogge, komme ich ganz normal auf meinen Router, bzw die Geräte, die ich gerne ansprechen möchte.
Sobald ich mich ausserhalb meines Netzwerkes befinde, werde ich nach dem Login zwar weitergeleitet, dann kommt aber die FM: Seite konnte nicht geladen werden.
Da sich an den Ports und so weiter nichts geändert hat, bin ich etwas ratlos, warum ich auf einmal nicht mehr auf die Box komme.

Hat jemand einen Tip für mich?
Gibt es vielleicht seit dem Update noch irgendwelche Häckchen die zusätzlich gesetzt werden müßen?

Vielen Dank für eure Antworten.
LG
Eismaus

 

[SpaceRat]

Wenn ich mit meinem Laptop von innerhalb des Netzwerkes auf den die Seite myfritz.net zugreife und mich einlogge, komme ich ganz normal auf meinen Router, bzw die Geräte, die ich gerne ansprechen möchte.

Gut.
Der MyFritz!-Dienst nutzt immer die externen IPs der Boxen und Geräte.
Damit ist also sicher, daß dieser Part (Der DynDNS-Dienst für die Box und die Geräte) funktioniert.

Sobald ich mich ausserhalb meines Netzwerkes befinde, werde ich nach dem Login zwar weitergeleitet, dann kommt aber die FM: Seite konnte nicht geladen werden.
Da sich an den Ports und so weiter nichts geändert hat, bin ich etwas ratlos, warum ich auf einmal nicht mehr auf die Box komme.

Hast Du DS-lite?
Dann bist Du ja nur per IPv6 erreichbar. Hast Du eventuell in dem entsprechenden Netz "außen" kein IPv6 (mehr)?

Was der funktionierende Zugriff aus dem Heimnetz auch nicht sicherstellt: Sind die Portfreigaben noch vorhanden?
Solange Du aus dem "Intranet" auf die Geräte zugreifst, greift die Firewall der Fritz!Box nicht, die betrifft nur den Zugriff von außen. Somit macht die den Hauptunterschied beim Zugriff über myfritz von innen und außen aus.

 

[Eismaus]

Sorry, war über die Karnevallstage nicht online, daher habe ich erst jetzt den Beitrag gesehen.

Ja, ich habe DS-Light.
Das mit dem dem IPV6 Netzt ist eine guter Hinweis. Bisher konnte ich aus dem Netzwerk meines Arbeitgebers aus zumindest bis auf das Fritzboxinterface zugreifen. Dies geht jetzt nicht mehr. Allerdings kann ich derzeit nicht ausschließen, das sich hier nicht auch etwas geändert.

Das es vom Handy nicht geht, ist logisch, das bietet ja zumindest über Mobilfunkt noch kein IPv6.

Allerdings geht es von es von dem Netzwerk eines Bekannten aus auch nicht, und der hat ebenfalls Unitymedia.
Wie gesagt, ich komme nicht mal mehr auf die Fritzbox..

 

[hajodele]

Allerdings geht es von es von dem Netzwerk eines Bekannten aus auch nicht, und der hat ebenfalls Unitymedia.
Wie gesagt, ich komme nicht mal mehr auf die Fritzbox..

Wenn er schon länger bei UM ist, hat er noch IPv4. Nur die Neukunden kommen in den Genuss von IPv6/DS-Lite :zwinker:
Wenn er eine Fritzbox hat, kann er einfach einen 4to6 Tunnel kostenfrei aktivieren. Das stört ihn nicht und du kannst wieder Fritzboxen

 

[SpaceRat]

Allerdings geht es von es von dem Netzwerk eines Bekannten aus auch nicht, und der hat ebenfalls Unitymedia.

Wenn er schon länger bei UM ist, hat er noch IPv4. Nur die Neukunden kommen in den Genuss von IPv6/DS-Lite :zwinker:

"Genuß" ist vielleicht etwas zuviel des Guten

Wenn er eine Fritzbox hat, kann er einfach einen 4to6 Tunnel kostenfrei aktivieren. Das stört ihn nicht und du kannst wieder Fritzboxen

6to4 hieße das
Außerdem wäre es die schlechteste Wahl.

6to4 ist die Technik, bei der eher zufällige Relais' die Aufgabe übernehmen, in IPv4 gekapselte IPv6-Pakete auszupacken und über das IPv6-Internet weiterzuleiten. Dabei ist nicht garantiert, daß auf dem Rückweg wieder das selbe Relais verwendet wird. Es ist nicht einmal sicher, daß Du um 18 Uhr noch das selbe Relais verwendest wie um 17:58 Uhr und Du weißt auch nicht, wer das Relais betreibt (Im Idealfall ein barmherziger Samariter). Dadurch ist als Schlußfolgerung auch nicht sicher, daß Du auch um 18:01 Uhr noch IPv6-Pakete erfolgreich senden kannst (Selbst wenn es um 18:00 Uhr noch ging), sofern sich nämlich bis dahin das Relais wieder ändert und das neue einen Konfigurationsfehler hat.
Du kannst auch niemanden mit Problemen belästigen, da es sich um einen "unmanaged tunnel" handelt.

Am zuverlässigsten sind 6in4-Tunnel, bei der man sich sein Relais einmalig aussucht und von diesem auch ein eigenes, dauerhaftes IPv6-Subnetz erhält.
Ausgehender wie eingehender IPv6-Traffic geht dann immer über dieses Relais und Du hast auch einen Ansprechpartner bei Problemen, nämlich Deinen Internet Provider, wenn Du nicht einmal den Tunnelendpunkt erreichen kannst, oder denjenigen, der Dir den Tunnel zur Verfügung stellt, wenn Du zwar den Tunnelendpunkt aber keine IPv6-Hosts erreichen kannst. Daher ist das auch ein "managed tunnel", der Tunnel-Anbieter ist quasi wie ein zweiter Internet-Anbieter für uns.

Die einfachste Variante eines 6in4-Tunnels bei der Fritz!Box ist ein SixXS-Heartbeat-Tunnel. SixXS-Benutzername, -Kennwort und -Tunnel-ID in die Fritz!Box eintragen, fertig. Alles weitere macht die Fritz!Box.
Konfigurationsaufwand: Maximal 10 Minuten auch für Laien, inkl. Zeitaufwand für die Beantragung von (kostenlosem) SixXS-Konto und -Tunnel, allerdings exkl. der Wartezeit auf deren Genehmigung.


Viele andere Router haben leider keine Unterstützung für SixXS-Tunnel, dort geht aber fast immer ein nackter 6in4-Tunnel (Ein SixXS-Heartbeat-Tunnel ist faktisch auch in 6in4-Tunnel, aber mit kleinen Ergänzungen für die Autokonfiguration auf der Benutzerseite und das automatische Auffrischen der Benutzer-IPv4 bei dynamischer IP-Vergabe, weshalb dort Benutzer/Kennwort/Tunnel-ID reichen).

Für einen 6in4-Tunnel muß man etwas mehr bzw. anderen Kram einstellen, nämlich (Wird alles beim Anlegen des Tunnels mitgeteilt):
- IPv4-Adresse des Tunnelproviders
- IPv6-Adresse des Tunnelproviders
- unsere IPv6-Adresse
- eigenes IPv6-Subnet
Dieser Part ist alles kein Hexenwerk, einfach Cut'n'Paste aus den Anmeldeinformationen des Tunnel-Providers, z.B. Hurricane Electric/Tunnelbroker

Schwieriger ist der Punkt, daß der Tunnel-Provider auch unsere IPv4 kennen muß und die ist ja leider i.d.R. dynamisch.
Deshalb muß man zusätzlich noch ein DynDNS-Update fahren, welches eine veränderte externe IPv4 (z.B. nach Reconnect) dem Tunnel-Provider mitteilt.
Der Update-Mechanismus ist derselbe wie bei DynDNS.org, aber natürlich mit einer anderen Update-URL.

Sofern der Router DynDNS-Updates bei DNS-o-Matic¹, für benutzerdefinierte DynDNS-Dienste² oder bei Tunnelbroker.net selber unterstützt, ist das kein Problem, ansonsten würde man einen entsprechenden Client auf irgendeinem Gerät im Netzwerk zusätzlich brauchen.

Konfigurationsaufwand: 10 Minuten für erfahrene Benutzer bei guter Unterstützung durch den Router (DynDNS-Updates), können aber auch 60 Minuten werden, wenn man sich komplett selber um die DynDNS-Updates kümmern muß.

¹DNS-o-Matic ist praktisch ein "Multi-DynDNS-Updater":
Sobald man ein DynDNS-Update bei DNS-o-Matic macht, aktualisiert DNS-o-Matic wiederum alle DynDNS-Dienste, die man bei DNS-o-Matic eingerichtet hat, also z.B. DynDNS.org+Tunnelbroker+No-IP.com+...
Meine Empfehlung, da man meist im Router nur einen Dienst aktualisieren kann, wenn das aber DNS-o-Matic ist, kann man darüber beliebig viele aktualisieren.

²Dieses am besten für DNS-o-Matic konfigurieren, siehe 1.

 

[Eismaus]

Erstmal vielen Dank für die Antworten und die Hilfe!
Es lag tatsächlich an dem nicht vorhandenen IPV6 Netz. Mit dem Sixxs Tunnel komme ich sowohl vom Handy als auch aus dem Netz meines Bekannten wieder auf meine Fritzbox und auf die angeschlossenen Geräte.

Die bisherige Lösung sieht ja vor, das alle Endgeräte die noch IPV4 haben durch einen Tunnel in IPV6 umgewandelt werderen und dann Zugriff haben.
Gibt es das eigendlich auch andersrum?
Also das nicht jedes Gerät den Tunnel braucht, sondern z.B. das NAS den Tunnel bekommt und dann über ipv4 erreichbar ist?

 

[SpaceRat]

Erstmal vielen Dank für die Antworten und die Hilfe!
Es lag tatsächlich an dem nicht vorhandenen IPV6 Netz. Mit dem Sixxs Tunnel komme ich sowohl vom Handy als auch aus dem Netz meines Bekannten wieder auf meine Fritzbox und auf die angeschlossenen Geräte.

Die bisherige Lösung sieht ja vor, das alle Endgeräte die noch IPV4 haben durch einen Tunnel in IPV6 umgewandelt werderen und dann Zugriff haben.

Nur um das klarzustellen: Die werden dadurch auf (vollwertigen) Dual Stack aufgerüstet und nicht etwa auf IPv6-only umgestellt, wie ein Laie das aus Deiner Aussage lesen könnte ...

Gibt es das eigendlich auch andersrum?
Also das nicht jedes Gerät den Tunnel braucht, sondern z.B. das NAS den Tunnel bekommt und dann über ipv4 erreichbar ist?

Alle sagten: "Das geht nicht!". Dann kam einer, der wusste das nicht und hat es einfach gemacht.


Im Prinzip geht das schon, es ist nur niemand darauf vorbereitet, daß dieser Weg mal hätte relevant werden können:
Bei allen Planungen war man davon ausgegangen, daß auf jeden Fall rechtzeitig auf IPv6 migriert werden würde. Dementsprechend war es bedeutender, den technisch interessierten Kunden oder solchen bei herausragend trägen Providern über Tunnel eine brauchbare IPv6-Anbindung zu verschaffen, als "mit viel Liebe" IPv4 in Form der Übergangsmechanismen wie NAT64, DS-lite oder eben Unterstützung für IPv4-Tunnel in Routern usw. nochmals künstlich zu zombifizieren.
Man könnte rein theoretisch durchaus neben den 6in4-Tunneln auch 4in6-Tunnel anbieten und diese genauso einfach im Router einrichtbar machen wie bei der Fritz!Box den SixXS-Tunnel. Mir ist aber weder ein Plastik-Router bekannt, der das könnte, noch ein Anbieter solcher Tunnel und wenn, dann würde dieser mit Sicherheit aufgrund der IPv4-Adressknappheit auch Geld kosten.

Damit sind wie bei der Behelfs-Behelfslösung: VPNs.
Es gibt durchaus Anbieter für solche VPNs/Tunnel, über die man an eine öffentliche IPv4-Adresse kommen kann. Errichtet sind die auch flott, auf praktisch jedem NAS oder E2-Receiver bzw. Router kann man dazu OpenVPN installieren, mit dem sich ein Großteil der angebotenen VPN-Tunnel nutzen läßt.
Aber: VPN-Tunnel sind ja eigentlich dazu gedacht, zwei vertrauenswürdige Netze (Heimarbeitsplatz+Firmen-Intranet, zwei LANs von Freunden, ....) zusammenzuschalten. Deshalb werden die Endpunkte in Routern auch direkt mit der LAN-Seite gebrückt, auf dem NAS oder einem Receiver liegen sie so oder so im LAN. Baut man nun einen solchen Tunnel statt zwischen zwei solchen LANs zwischen dem eigenen LAN und dem Internet auf, dann holt man sich das Internet damit hinter die eigene Firewall ...
Wenn man also diese Lösung nutzen will, dann sollte man sich dessen bewußt und in der Lage sein, zwischen dem Tunnelendpunkt und dem eigenen LAN selber eine Firewall einzurichten.

Möglich ist es also durchaus, nur bei weitem nicht so komfortabel einzurichten, wenn man es richtig machen will.

 

[dasacom]

Erstmal vielen Dank für die Antworten und die Hilfe!
Es lag tatsächlich an dem nicht vorhandenen IPV6 Netz. Mit dem Sixxs Tunnel komme ich sowohl vom Handy als auch aus dem Netz meines Bekannten wieder auf meine Fritzbox und auf die angeschlossenen Geräte.

Die bisherige Lösung sieht ja vor, das alle Endgeräte die noch IPV4 haben durch einen Tunnel in IPV6 umgewandelt werderen und dann Zugriff haben.
Gibt es das eigendlich auch andersrum?
Also das nicht jedes Gerät den Tunnel braucht, sondern z.B. das NAS den Tunnel bekommt und dann über ipv4 erreichbar ist?

Wo trägt man die Sixx Daten bei der Fritz.box ein?

Hab mich auch registriert und alles , aber hab im eigentlichen Sinne Null Ahnung

Danke f die Hilfe

 

[Leseratte10]

Der Tunnel muss nicht in deine Fritzbox, sondern in die Fritzbox an dem Ort, von dem du auf dein Netz zugreifen willst. Das geht dann unter Internet - Zugangsdaten - Ipv6.

 

[dasacom]

Dankeschön. Ich hatte gehofft, dass man durch eintragen in der eigenen Box quasi ipv4 vorgaukeln könnte.

 

[damotil]

Hallo Forum,

habe auch das Problem, dass ich von außen über myfritz auf die Fritzbox zugreifen muss.
Habe dazu schon bei "feste-ip.net" einen Portmapper eingerichtet.
Trotzdem komme ich nicht auf die box

Vorgehensweise: kwh.feste-ip.netORTMAPPINGFÜRPORT443
er lädt kurz und dann kommt die nachricht: "Die Verbindung zum Server wurde zurückgesetzt, während die Seite geladen wurde"

 

[SpaceRat]

Hallo Forum,

habe auch das Problem, dass ich von außen über myfritz auf die Fritzbox zugreifen muss.
Habe dazu schon bei "feste-ip.net" einen Portmapper eingerichtet.
Trotzdem komme ich nicht auf die box

Vorgehensweise: kwh.feste-ip.netORTMAPPINGFÜRPORT443
er lädt kurz und dann kommt die nachricht: "Die Verbindung zum Server wurde zurückgesetzt, während die Seite geladen wurde"

Funktioniert denn der Zugriff von außen über IPv6 direkt auf Deine Fritz!Box?

Das ist Voraussetzung dafür, daß so ein Port-Proxy seinen Dienst verrichten kann ...

 

[damotil]

blöde Frage: wie teste ich das denn? sitze ja selber auch nur in ipv4 netzwerken...

 

[hajodele]

blöde Frage: wie teste ich das denn? sitze ja selber auch nur in ipv4 netzwerken...

Von innen :zwinker:
Wenn du im Browser myfritz.net (oder deine "Myfritz-Domäne") verwendest, gehst du zuerst in die große weite Welt des Internets, wirst vom NSA gecheckt und kommst dann irgendwann wieder bei deiner Fritzbox raus. Das alles natürlich über IPv6.

 

[damotil]

ACHSOO

ja das geht!

 

[koax]

Wenn du im Browser myfritz.net (oder deine "Myfritz-Domäne") verwendest, gehst du zuerst in die große weite Welt des Internets, wirst vom NSA gecheckt und kommst dann irgendwann wieder bei deiner Fritzbox raus. Das alles natürlich über IPv6.

Wirklich?
Normalerweise schlägt doch bei DynDNS-Lösungen der Local-Loop in der Fritzbox zu. Keine Ahnung aber Zweifel, ob das bei Myfritz anders geregelt ist.

 

[SpaceRat]

Normalerweise schlägt doch bei DynDNS-Lösungen der Local-Loop in der Fritzbox zu. Keine Ahnung aber Zweifel, ob das bei Myfritz anders geregelt ist.

Ne, natürlich nicht.
Wäre ja auch hochgradig albern, wenn netzinterner Traffic erst ins Internet geroutet würde, und sei es nur auf die WAN-Seite des Routers.

Es wäre auch ein Heidenspaß für das lokale Netzwerk, denn natürlich läuft längst alles was irgend geht über IPv6, z.B. das Windows-Netzwerk:

 TCP [2001:db8:affe:0:96de:80ff:fe6c:c0c0]:18224 [2001:db8:affe:0:222:15ff:fe17:c1c1]:445 HERGESTELLT

Das würde ja alles nicht funktionieren, wenn das erst über das WAN-Interface des Routers und damit auch durch dessen Firewall müßte, nur weil es sich um eine öffentliche IP-Adresse handelt ... die aber eben im lokalen Netz liegt.


Also ob eine IPv6-Freigabe von außen erreichbar ist, muß man wohl oder übel schon von außen probieren, genauso wie bei einer IPv4-Freigabe auch.

Wenn dieser Portscan auf der entsprechenden IPv6 und dem richtigen Port erfolgreich ist, dann kann man mutmaßen, das es funktionieren sollte, aber mehr auch nicht.

 

[damotil]

oh man ich Dussel ich....

hätte mal das "https" davor schreiben sollen... KLAPPT ALLES!
Aber danke für eure Hilfe!