Unitymedia (IPv6-)Zugriff von unterwegs

[SpaceRat]

Hi!

Seitdem SixXS ja nun keine neuen Tunnel mehr vergibt und ganz nebenbei auch die Android-App "androiccu" nicht mehr wirklich laientauglich bedienbar ist, ist der Zugriff auf die heimischen Freigaben kein Zuckerschlecken mehr, wenn man nicht beim einzigen Mobilfunkbetreiber mit mobilem Internet - also der Telekom - ist.

Mir ist aber heute aufgefallen, daß es eine Lösung gibt:
IPv6Droid

IPv6Droid kann sowohl
- vorhandene SixXS-Tunnel benutzen (Sofern man sich halt rechtzeitig einen besorgt hat, jahrelang Zeit dafür hatte man ja)
als auch
- eigene Tunnel nutzen, die dann aber wohl 1,19 EUR/mtl. kosten.

IPv6Droid stellt IPv6-Tunnel über die VPN-API her, was den Vorteil hat, daß es auch ohne root funktioniert.
Leider hat es auch einen gravierenden Nachteil, nämlich daß man es genau für den Zweck, eine VPN-Verbindung nach Hause herzustellen, nicht nutzen kann, da nur eine VPN-Verbindung gleichzeitig möglich ist und das ist ja dann schon der IPv6-Tunnel.

 

[Andreas1969]

Ich nutze den NCP VPN Client.
Mit dem geht das auch ohne rooten des Gerätes.
Allerdings baue ich damit keinen 2ten Tunnel auf, da ich im T-Mobile Netz unterwegs bin.
Ich schalte halt WLAN aus und baue den Tunnel übers Mobilfunknetz auf. Nachteil ist, dass die 2 GB inklusiv Volumen ziemlich schnell verbraucht sind, wenn man viele Daten vom / zum NAS schickt und dann wird's durch das ständige zubuchen von Volumen schnell teuer.

Gruß Andreas

 

[GoaSkin]

Ich nutze eine Telekom-Karte. Mit der funktioniert IPv6 einfach so - direkt und nativ; ganz ohne Tunnel-Lösungen.

Für öffentliche WLANs ohne IPv6 und andere Mobilfunkanbieter gibt es noch eine weitere kostenlose Variante, die über VPN geht: VPN Tunnel "IPv6 Launcher" von Portunity.
http://www.portunity.de/access/produkte/vpn-loesungen/vpn-tunnel.html

Im Gegensatz zu den immer wieder angesprochenen, kostenpflichtigen Lösungen, um sich eine IPv4-Adresse zum DS-Lite Anschluss zu Hause hinzutunneln, wird hier der umgekehrte Weg gegangen: Man tunnelt sich eine IPv6-Adresse über IPv4 aufs Telefon. Faktisch ähnlich wie bei Tunnelbrokern.

 

[harv]

Naja, die kostenlose Variante mit pptp will man nicht wirklich benutzen. Das Protokoll ist schon vor Jahren gehackt worden.

 

[SpaceRat]

Naja, die kostenlose Variante mit pptp will man nicht wirklich benutzen. Das Protokoll ist schon vor Jahren gehackt worden.

Was für den Zweck aber keine Rolle spielt.

 

[GoaSkin]

Eben... Unsicherer als ganz ohne VPN macht PPTP die Verbindungen auch nicht. Und man nutzt ja PPTP lediglich, um sich Zugang ins IPv6-Internet zu verschaffen und nicht in ein abgeschottetes Intranet. Bei den ganzen klassischen Tunnelbrokern gibt es im Übrigen überhaupt keine Verschlüsselung. Da bekommen die Datenpakete, wie sie sind, lediglich ein paar Header-Bytes vorne dran gestellt.

 

[harv]

[pptp] Ok, für der Anwendungsfall mögt ihr recht haben. Mir stellen sich halt nur immer die Nackenhaare hoch, wenn ich pptp höre, weil der Begriff in meinem Umfeld immer in Verbindung mit VPN-Aufbau fällt.

 

[MartinDJR]

Naja, die kostenlose Variante mit pptp will man nicht wirklich benutzen. Das Protokoll ist schon vor Jahren gehackt worden.

Was für den Zweck aber keine Rolle spielt.

PPTP hat einen anderen Nachteil:

Wenn ein NAT PPTP unterstützt, dann kann theoretisch maximal ein Gerät gleichzeitig eine PPTP-Verbindung zum selben VPN-Server aufbauen; bei den meisten NATs geht aber noch nicht einmal das (z.B. selbst bei unterschiedlichen VPN-Servern geht nur ein Gerät gleichzeitig oder PPTP wird sogar gar nicht unterstützt).

Aus diesem Grund haben ja auch so viele Leute mit PPTP und DS-Lite Ärger gehabt.

Mobilfunknetze nutzen meines Wissens meistens NATs, so dass PPTP spätestens dann nicht mehr funktionieren wird, wenn zwei Handies mit dieser APP gleichzeitig am gleichen NAT hängen.

 

[GoaSkin]

In jeder Linux-basierten Firewall wird das Modul nf_conntrack_pptp.ko geladen und gut. Andere Router-Betriebssysteme haben wahrscheinlich ähnliche Treiber, die sich um eine saubere PPTP-NAT-Abwicklung bemühen.

Sollte diese Theorie stimmen, dann wäre PPTP zur VPN-Einwahl von Anfang an eine recht sinnlose Sache gewesen, da so z.B. nur ein Außendienstler gleichzeitig per PPTP in das Firmennetz konnte. PPTP war einmal das meistgenutzte VPN-Protokoll, zumal Microsoft lange auf sich warten ließ, bis endlich IPSEC unterstützt wurde.

 

[MartinDJR]

Sollte diese Theorie stimmen, dann wäre PPTP zur VPN-Einwahl von Anfang an eine recht sinnlose Sache gewesen, da so z.B. nur ein Außendienstler gleichzeitig per PPTP in das Firmennetz konnte.

Wie kommst du auf die Idee?

Wenn weder VPN-Server noch VPN-Client hinter einem NAT sitzen, ist die Ziel-IP-Adresse im IP-Paket ausreichend, um den Zielrechner des Paketes zu bestimmen.

PPTP kam im Jahr 1999 auf. Damals war es noch üblich, den Rechner direkt mit dem Modem an das Internet zu verbinden. Selbst im Jahr 2004 gab es noch Malware, die nur deswegen so "gut" funktioniert hat, weil sehr viele PCs im Internet direkt mit einem Modem (ohne Firewall dazwischen) verbunden waren und eine globale IP-Adresse hatten.

NATs gab es damals zwar schon, in größeren Stückzahlen aber erst um 2005 herum.

In jeder Linux-basierten Firewall wird das Modul nf_conntrack_pptp.ko geladen und gut.

Ich habe mir die Quellcodes von nf_nathelp_extra und nf_conntrack_pptp mal angeschaut: Es scheint unter Umständen tatsächlich zu funktionieren, jedoch weisen Kommentare im Quellcode darauf hin, dass es nicht wirklich stabil funktioniert.

Ich habe vor etwa einem Monat ein Manual zu einem CGNAT von CISCO gefunden, in denen die Neuerungen eines Firmware-Updates von April 2016 beschrieben werden. Eine davon:

Es ist jetzt auch PPTP möglich, aber nur dann, wenn sowohl der VPN-Server als auch der Client irgend eine Erweiterung unterstützen oder eben nur ein Rechner pro Server.

Sehr unwahrscheinlich, dass PPTP über CGNAT heute einwandfrei funktioniert, wenn die CGNATs eines der größten Routerhersteller noch vor 9 Monaten gar kein PPTP konnten und danach massive Einschränkungen hatten.

Sehr unwahrscheinlich auch, dass CISCO hier noch weitere Firmwareupdates herausbringt, wo PPTP doch de-facto schon überall durch andere Protokolle (wie SSTP) abgelöst wurde.

Von daher würde ich fast drauf wetten, dass man in einem Handynetz keine saubere VPN-Verbindung hinbekommt, wenn mehrere Handies in der gleichen Funkzelle den selben PPTP-Server kontaktieren. Und falls demnächst alle Kunden diese App installieren (weil sie zuhause nur noch IPv6 haben), werden nun mal mehrere Handies denselben VPN-Server kontaktieren.

 

[GoaSkin]

Wie dem auch sei; da hilft nur ausprobieren und wenn es nicht funktioniert, sich an den Anbieter wenden, um Diesen zur Nachbesserung zu bewegen. Sofern Dieser auf Basis von PPTP nichts nachbessern kann, muss er durch das Anbieten einer anderen Lösung nachbessern.