Unitymedia Port Weiterleitung via IPv6

[Quaid]

Hallo,

folgende Problemstellung:

Ein Freund von mir hat einen neuen UM Anschluss, leider nur Dual Stack Lite. Daher folgendes Problem, die Port Weiterleitung via IPv4 funktioniert nicht, da CGN von Unitymedia.
Wir benötigen aber zwingend den freien Port für eine einwandfreie Kommunikation.

Frage:

Wie schalte ich einen Port unter IPv6 frei (nicht weiter leiten, so viel habe ich schon gelernt) ohne bei UM um Dual Stack betteln zu müssen oder Tunnel verwenden zu müssen.

Wissensstand:

Ich habe mir nach etlichen Suchfunktionen die Tutorials von SpaceRat über viele Stunden durch gelesen und denke auch diese größtenteils verstanden zu haben.
Wenn notwendig, sollte das Telefon Comfort Upgrade für die FritzBox 63XX auch kein Hindernis darstellen.

Leider habe ich aus den ganzen Informationen noch nicht die explizite Lösung finden können, wie man über CS-Lite einen Port frei kriegt.

Daher meine Bitte, auch wenn diese viel Lesen und Denken nach sich ziehen sollte, wie realisiere ich das?

Ich möchte auch nochmals anmerken, dass ich wirklich ca. 6-8 vorab gelesen habe bis ich diesen Post verfasst habe.

über Hilfe wäre ich sehr , sehr dankbar!!!

 

[Knifte]

Da bei IPv6 jedes Gerät eine eigene öffentliche IP Adresse bekommt, ist eine Portweiterleitung, wie sie bei IPv4 erforderlich war, meines Wissens eigentlich gar nicht mehr nötig.

Du musst einfach gucken, dass alle eingesetzten Geräte eine IPv6-Adresse bekommen.

 

[tq1199]

..., meines Wissens eigentlich gar nicht mehr nötig.
...

... aber möglich. Siehe z. B. diesen Thread: http://forum.ubuntuusers.de/topic/ssh-und-ipv6/

 

[SpaceRat]

Das hat mit Port-Weiterleitungen/Port Forwarding nichts zu tun ...

Der Unterschied zwischen dem IPv4-NAT-Firewall-Geraffel und der IPv6-Firewall ist folgender:
Entfiele diese Komponente bei IPv6, dann wären alle Rechner im Heimnetz komplett von außerhalb erreichbar. Entfiele sie bei IPv4, dann hätte kein Rechner im LAN mehr Internet, weder eingehend noch ausgehend.

D.h. man hat bei IPv6 bereits den technisch erwünschten Normalzustand, also alle Geräte haben eine IP-Adresse und sind unter dieser erreichbar bzw. können mit dieser als Absendeadresse nach außen kommunizieren. Eine im Router vorhandene IPv6-Firewall schränkt nun nur noch die Erreichbarkeit von außen zum Schutz der Rechner im Heimnetz ein und zwar auf die Ports, die man in der Firewall explizit öffnet.

Bei IPv4 hingegen hat man erst einmal gar kein Internet im LAN, weil man gar nicht genug IP-Adressen für seine Geräte hat, sondern nur eine einzige, die aber schon der Router für sich braucht. Die NAT/Firewall-Komponente im Router stellt nun eine Frickellösung bereit, um doch auch mit den angeschlossenen Geräten ins Netz zu kommen, und leitet einfach hilfsweise alle von innen kommenden Anfragen ins Netz durch und ordnet die Antworten wieder dem anfragenden Rechner zu, leitet sie dann an diesen weiter usw. usf.
Und weil das eben nur dann funktioniert, wenn Geräte von innen nach außen kommunizieren (Der Router muß ja wissen, welches davon gerade eine Antwort erwartet, das weiß er aber eben nur, weil er auch die Anfragen für dieses rausgeschickt hat), braucht man bei IPv4 für den Server-Betrieb Port-Weiterleitungen, damit der Router Anfragen die auf einem bestimmten (Server-)Port aufschlagen auch immer an ein bestimmtes Gerät (= den eigentlichen Server) durchleitet, selbst wenn dieses keine Anfrage nach außen geschickt hat, was bei einem Server eben der Fall ist.

Anders gesagt:
Mit IPv6, mit dem jeder Rechner im Heimnetz seine eigene Adresse/Anschrift hat, kann der Rechner bereits vollumfänglich von außen erreicht werden. Jeder Rechner ist wie ein Einfamilienhaus und hat seine eigene Adresse und eigenen Briefkasten, die Anschrift alleine ist bereits eindeutig und ausreichend, um zum Bewohner des Hauses zu kommen. Die Firewall wirkt in diesem Fall wie ein Wachschutz, der nur die Besucher ins Viertel läßt, die man auch drin haben will (Also z.B. grüne Kombis, die zur Hausnummer 21 wollen, aber keine roten Sportwagen, die zur Hausnummer 23 wollen).

Mit IPv4, kann gar kein Rechner von außen erreicht werden oder nach außen kommunizieren. Jeder Rechner ist wie ein Bewohner eines Asylantenwohnheims, will er nach außen kommunizieren, dann muß ihm das erst einmal jemand - der Router - übersetzen (NAT) und soll er von außen erreichbar sein, dann muß der Router diesen Besucher auch bis ins Zimmer führen (Port Forwarding), denn von außen betrachtet gibt es nur eine Anschrift für "das Asylantenwohnheim" und einen Sammelbriefkasten, aber keine Individuen.

Aus diesem Grund führt auch der Portier/Router bei IPv6 keine Port-Weiterleitungen mehr von seiner Adresse auf die eines angeschlossenen Gerätes durch, wer etwas vom Gerät will, soll sich eben gleich an dieses Gerät wenden.
Bei IPv4 muß der Portier/Router das aber machen, weil es eben nur die Adresse des Portiers "wirklich" gibt und die Bezeichnungen der Zimmer (192.168.x.y) nur innerhalb des Wohnheims gültig sind, bereits das nächste Asylantenwohnheim nutzt dieselben Zimmernummern ganz anders.

In dem verlinkten Thread hat der Fragesteller am Ende auch den Wachschutz des Viertels angewiesen, einfach alle Besucher zu ihm durchzulassen (um sie dann hoffentlich durch seinen eigenen Wachschutz/Firewall prüfen zu lassen).

 

[Quaid]

Danke für die Antworten, ich habe die Funktionsweise und Unterschiede nun auch (denke ich) ziemlich verstanden, aber mein Problem ist bisher leider trotzdem nicht gelöst.

Die IPv6 ist unter Win8.1 SP1 automatisch bezogen. Neu installiert. Defender aus, Windows Firewall aus, noch keine Sicherheitssoftware drauf.
Im Unitymedia Router TC7200 die IPv6 Firewall aus. Natürlich soll der Rechner auch ausreichend geschützt werden, es geht erst einmal um den Test.

D.h. man hat bei IPv6 bereits den technisch erwünschten Normalzustand, also alle Geräte haben eine IP-Adresse und sind unter dieser erreichbar bzw. können mit dieser als Absendeadresse nach außen kommunizieren. Eine im Router vorhandene IPv6-Firewall schränkt nun nur noch die Erreichbarkeit von außen zum Schutz der Rechner im Heimnetz ein und zwar auf die Ports, die man in der Firewall explizit öffnet.

Unter den oben genannten Voraussetzungen sollte das dann ja eigentlich funktionieren. Tut es aber leider nicht

Verschiede gewünschte Anwendungen benötigen einen weitergeleiteten / offenen Port, um einwandfrei oder richtig zu funktionieren.

Ich selbst daheim habe noch einen IPv4 Anschluß (laut ipv6test.com kein IPv6 support) (und die meisten die ich kenne), hier funktionieren die Programme alle einwandfrei, weil eben per IPv4 der entsprechende Port weiter geleitet wird, die Einstellung war bisher nun wirklich nicht schwer, auch mit installierter Sicherheitssoftware etc.

Nun bei meinem Kumpel, der als erster mit CS-Lite konfrontiert ist, sagen alle Programme der Port sei dicht (auch bei manuellem Test) und nichts läuft richtig wo weitergeleitete bzw. neuerdings dann nun offene Ports benötigt werden.

Ich gebe eigentlich bei solchen Problemen meist nie auf und lese immer weiter. Jedoch muss ich bisher sagen, dass die Funktionsweise von IPv6 wunderbar beschrieben wird, aber nirgendwo der neue Lösungsweg beschrieben wird, wie z.B. Voraussetzung A, B, und N müssen erfüllt sein, dann funktioniert es. Oder gehe vor nach Schritt 1, 2, und N. Muss die jeweilige Software explizit IPv6 unterstützen? Eine extra "IPv6" Einstellung / Reiter in den Anwendungen habe ich bisher leider nicht gesehen. Muss man in Windows irgendwo Regeln für IPv6 noch einstellen? Kann mir schwer vorstellen, dass jegliche Kommunikation nach aussen und innen über IPv6 einfach durchgelassen wird (obwohl wie ich es bisher verstanden habe, ohne eingeschaltete IPv6 Firewall tatsächlich so ist). Muss man ggf. IPv4 im Windows irgendwo deaktivieren...? Nebenbei den ipv6test.com habe ich bei meinem Kumpel noch nicht getestet. Wenn DS-Lite, dann muss IPv6 aber supportet sein, oder?

Genau hierzu bitte ich um Hilfestellung. Vielleicht sehe ich im Moment den Wald vor lauter Bäume nicht. Ich bitte um Nachsicht und bin für jeden Tip dankbar!

 

[SpaceRat]

Ich gebe eigentlich bei solchen Problemen meist nie auf und lese immer weiter. Jedoch muss ich bisher sagen, dass die Funktionsweise von IPv6 wunderbar beschrieben wird, aber nirgendwo der neue Lösungsweg beschrieben wird, wie z.B. Voraussetzung A, B, und N müssen erfüllt sein, dann funktioniert es. Oder gehe vor nach Schritt 1, 2, und N.

Nun, eigentlich habe ich genau das im TCP/IP-Workshop getan.

Muss die jeweilige Software explizit IPv6 unterstützen?

Ja.
Es nutzt nichts, wenn Du einem IPv4-only-Server einen IPv6-Port freigibst, die sprechen einfach nicht dieselbe Sprache.

Sämtliche anständige Software unterstützt bereits beides - also IPv4 und IPv6, auch beides gleichzeitig/parallel - aber bei diversem Schrott (eMule, einige Spiele, Konsolen, etc.) hapert es da halt noch und es wird immer noch nur IPv4 unterstützt.

In diesem Fall kann man eigentlich nur eine vernünftige Sache machen: Dem Hersteller damit auf die Nüsse gehen.

Als Workaround kann man natürlich eine Krückenlösung aus Port-Proxies basteln:

IPv4-only-Client ----IPv4----> Port-Proxy IPv4-zu-IPv6 im Internet =====IPv6====> IPv6-Server im DS-lite-angebundenen Heimnetz
oder, wenn es gilt ein IPv4-only-Serverprogramm erreichbar zu machen:
IPv4-only-Client ----IPv4----> Port-Proxy IPv4-zu-IPv6 im Internet =====IPv6====> Port-Proxy IPv6-zu-IPv4 im DS-lite-angebundenen Heimnetz -----IPv4-----> IPv4-only-Server

Die Arbeitsweise und die Einrichtung solcher Proxies wurde hier im Forum allerdings wirklich schon oft genug besprochen.