Fernzugriff über IPv6

[gaert]

Mit IPv6 habe ich (zum Glück) so gar nix zu tun - daher habe ich auch keine Ahnung von dem Zeugs... Kann man nicht hinter'm Router alles auf IPv4 belassen?!

[Glotzkowski]

Kann man schon aber es geht um den Zugriff von Außen auf EDOMI über IPv6.

Die erste Frage wäre, ob Du den Websocket auf eine Schnittstelle, anstelle auf eine IPv4 Adresse hören lassen könntest, dann könnte die Verbindung vermutl. auch auf der dort gebundenen IPv6 Adresse hergestellt werden oder gibt es da noch, aus welchen Gründen auch immer, eine Abhängigkeit zu IPv4?
Die zweite Frage wäre, ob es sonst wo Abhängigkeiten zu der IPv4-Adresse gibt, da diese ja auch in der Basiskonfiguration eingestellt werden kann oder auch automatisch beim Neustart ausgelesen werden kann?

[gaert]

Probier's doch mal aus... Ich denke allerdings nicht, dass dies funktionieren wird - PHP-seitig zumindest.

[Glotzkowski]

Korrekt, es funktioniert nicht, wenn man die aktuelle IPv6 Adresse in der Basis-Konfiguration als Websocket IP-Adresse einträgt.
Im Log erscheint dann "Socket failed to open at port 8080: Unknown host" und ein "netstat -tulpen" zeigt, dass kein Prozess auf TCP Port 8080 lauscht.

Schließt Du die Anpassungen für IPv6 momentan aus oder siehst Du da eine Möglichkeit dies zu realisieren?
Neben dem Jahr 2038 Problem was Du mit der 64-Bit-Architektur bereits erschlagen hast, wird das Thema IPv6 möglicherweise schneller ein Problem werden, denke ich.

Als Nutzer eines echten Dual-Stack-Internet-Anschlusses und bescheidenen Kenntnissen zu IPv6 würde ich mich gerne anbieten und bei Fragen und Tests zur Seite stehen.

Falls nicht müsste man sich alternativ mit der Anbindung via Tunnelbroker beschäftigen, sofern man zukünftig einen reinen IPv6-Anschluss bekommt.
Wird sicher auch funktionieren, bringt aber wieder zusätzliche Abhängikeiten beim Zugriff über das Internet.

[Lapheus]

Ohne das im Detail nachgeprüft zu haben sollte ein Reverse Proxy und ein Dyn DNS Dienst mit IPv6 Unterstützung funktionieren.

Hier ein DynDNS Dienst mit IPv6 Unterstützung.
Hier wird im mittleren Teil auf Apache als Reverse Proxy verwiesen. Bei der Konfig sollte es möglich sein, extern eine IPV6 und intern eine IPV4 Adresse anzugeben.

Die Konfiguration eines Reverse Proxys hat jonofe in seinen Alexa Bausteinen beschrieben.

[KlausTHX]

Das ist derzeit alles etwas zu hoch für mich ^^
Habe mir jetzt erstmal Fachliteratur über Netzwerke gekauft und hoffe das ich dann damit klarkomme.

Da werden bestimmt bald einige spaß mit bekommen bei dem massiven Glasfaser Ausbau und dem Wegfall der öffentlichen IPv4 Adresse o.O

[Janncsi]

Ich habe es mir jetzt nicht im genauen durchgelesen wer was wie vorgeschlagen hat, aber hier meine Lösung, die sehr gut funktioniert :-)

Leider ist dies alles wieder einmal mit Kosten verbunden und es steht auch eine Empfehlung über welchen Anbieter ich es gelöst habe. Es gibt mit Sicherheit andere günstigere Wege, meine Lösungsfindung ist aber für mich finanziell in Ordnung.

Ich habe mir bei strato einen vserver gemietet. Ihr könnt auch jeden anderen Hoster nehmen, ich habe unter anderem auch netcup und prepaid-hoster.de probiert, aber beide machten für das Endergebnis Probleme. netcup bot mir keine subdomains an und ich habe es bis zum Ende nicht geschafft die öffentliche ipv4-Adresse mit einer Subdomain zu mappen. prepaid-hoster.de dagegen bietet nicht einmal ipv6-Support an,was ich in der heutigen Zeit schon fast peinlich finde!

1. Sucht euch einen Hoster der euch einen vserver mit debian oder Derivaten anbietet. Weiter solltet ihr über den Hoster eine Domain bekommen können und dieser Domain auch Subdomains zuordnen. Bei mir, wie gesagt, strato mit dem v10-Server. Kostet jetzt 5€/Monat. Ich lasse über den vserver aber nun auch einen caldav-Server laufen und 50GB Speicherplatz als Minicloud eigentlich ebenfalls ausreichend. In den 5€ ist auch eine kostenlose Domain enthalten!!!
2. Baut auch eine Hardware Zuhause als ReverseProxy auf. Ob nun, wie in jonofe's Tutorial ein RaspberryPi, oder eine andere Lösung bleibt euch überlassen. Ich habe bspw. einen kleinen Homeserver laufen mit 2 NICs. Auf dem Homeserver läuft proxmox und ich habe den 2. NIC direkt auf einen LXC-Container gemappt. Dieses Mapping ist zudem in meinem DMZ-Vlan untergebracht und damit über die Firewall bestens von allen anderem isoliert. Funktional gesehen ist es aber identisch zur Raspberry-Lösung. Sollte eure Installation auf Debian basieren könnt ihr mit "ip address" eure Adresse herausfinden, siehe untenstehendem Bild. Wichtig, nicht die fe80-Adresse nutzen, das ist lediglich eure lokale ipv6 die von Aussen nicht erreichbar ist!ip_address.PNG
3. Auf dem vserver müsst ihr nun das Programm 6tunnel installieren. Dies ist der eigentliche Portmapper der einen Port auf der ipv4-Adresse auf einen Port der ipv6-Adresse umleitet. Hierzu mittels ssh auf dem vserver einloggen und mittels apt-get das Programm nachinstallieren:

   apt-get install 6tunnel

4. Nun geht es ans eigentliche Portmapping. Wir wollen die Ports die auf der öffentlichen ipv4-Adresse angesprochen werden nun direkt an unsere Ports der ipv6-Adresse weiterleiten. Und das ist so einfach, wie man es sich einfach nur vorstellen kann. Denke an eure öffentliche ipv6-Adresse und gebt den folgenden Befehl ein

   6tunnel[I] port-ipv4 ipv6-Adresse port-ipv6 [/I]

   Dies solltet ihr für Port 80 und Port 443 machen.
5. Der vserver hat einen öffentlichen Hostnamen. Wenn ihr bereits apache2 oder nginx auf eurem ReverseProxy laufen habt solltet ihr jetzt schon mit der Hostadresse zugreifen können :-)
6. Erstellt euch eine sinnvolle Firewall die lediglich Port 80 (bis zu Erstellung des letsencrypt-Zertifikates) und Port 443 auf den ReverseProxy weiterleitet und alles andere ausschließt!
7. Mappt noch eure öffentliche Subdomain auf die Hostadresse eures vserver. Dies ist je nach Anbieter unterschiedlich.
8. Macht mit der Anleitung von jonofe weiter :-)

Hoffe dass ihr damit ebenfalls schnell zum Ergebnis kommt. Ich empfand die ganze Geschichte am Ende schon extrem einfach. Leider kostet es halt ein wenig, aber wenn man den vserver auch für anderes nutzt ist es eher relativ!

[Lapheus]

Anleitung für DNS über ipv6

Hallo Klaus,

habe das jetzt erst gesehen du kommst ja aus der Nähe, melde Dich doch mal per PN. Dann telefonieren wir mal. Da könnten wir einige Test per Teamviewer machen und schauen ob wir das zum laufen bekommen. Notfalls lädst du mal zum Tee mit Gebäck ein.

Nach dem lesen des Vorschlags von Janncsi muss ich sagen, ganz schön viel Aufwand und Kosten.

Das hier anliegende Problem ist doch, das es nach extern nur eine ipv6 Adresse gibt. Intern funktioniert ja alles wie immer mit ipv4.
Wenn also ein DNS Dienst auf die ipv6 Adresse umleiten kann, wie von mir beschrieben sollte ein DNS Aufruf an der Fritz!Box landen. Dort ist Port 443 umgeleitet auf den Reverseproxy, das hierbei eine Umsetzung von ipv6 auf ipv4 stattfindet ist uns "egal" aber nützlich. Der Reverseproxy wiederum löst nur den DNS Namen auf, dem ist die IP ziemlich egal.

Wie gesagt bisher nur Theorie, würde mich aber bei den Test beim Klaus als Hilfe zur Verfügung stellen. Nach dem Test können wir meine Theorie hier mit Fakten dokumentieren.

[Glotzkowski]

Dort ist Port 443 umgeleitet auf den Reverseproxy

Bei IPv6 gibt es da aber kein Portforwarding auf der Fritzbox.
Man kan natürlich eine Freigabe für IPv6-Hosts erstellen, diese haben aber nichts mit der IPv6-Adresse der Fritzbox zu tun, da die Fritzbox extern zwar eine IPv6-Adresse hat, intern aber ein eigenes IPv6-Prefix verteilt wird, welches vom Provider zugewiesen wird.
Die Fritzbox routet dann vom Internet zu dem internen IPv6 Prefix.
Der Reverse-Proxy müsste sich demnach selber bei einem IPv6-fähigen DynDNS-Dienst registrieren (oder die Fritzbox macht dies für den Reverse-Proxy, wenn sie dies denn unterstützt) damit man diesen immer aus dem Internet adressieren kann.

Das Hauptproblem dabei ist ja noch, dass in vielen Mobilfunknetzen noch kein IPv6 existiert und man somit gar nicht auf eine IPv6-Adresse zugreifen kann.
Daher ist Janncsis Lösung aktuell die einfachste und günstigste Lösung, wobei "einfach" hier sicherlich individuell zu bewerten ist.

[Lapheus]

Bei IPv6 gibt es da aber kein Portforwarding auf der Fritzbox.
...
Das Hauptproblem dabei ist ja noch, dass in vielen Mobilfunknetzen noch kein IPv6 existiert und man somit gar nicht auf eine IPv6-Adresse zugreifen kann.

Ah, da ist meine Unwissenheit bzgl. ipv6.
Mobilfunk lasse ich mal aussen vor, den hier geht es ja um eine Glasfaseranschluss.

Man kan natürlich eine Freigabe für IPv6-Hosts erstellen, diese haben aber nichts mit der IPv6-Adresse der Fritzbox zu tun, da die Fritzbox extern zwar eine IPv6-Adresse hat, intern aber ein eigenes IPv6-Prefix verteilt wird, welches vom Provider zugewiesen wird.
Die Fritzbox routet dann vom Internet zu dem internen IPv6 Prefix.
Der Reverse-Proxy müsste sich demnach selber bei einem IPv6-fähigen DynDNS-Dienst registrieren (oder die Fritzbox macht dies für den Reverse-Proxy, wenn sie dies denn unterstützt) damit man diesen immer aus dem Internet adressieren kann.

Warum ändert sich die ip v6 überhaupt bei jeder Einwahl neu? Die sollte doch eindeutig sein, und somit wäre eine neue Vergabe sinnlos.

Der IPv6-Prefix ist der fest oder ist das der Teil der sich bei jeder neuen Einwahl ändert?
Die IPv6 des Reverseproxys ändert sich also bei jeder Einwahl oder ist die fest?

Ergänzung:
Wieder nur Theorie:
Auf der Fritz!Box SPDyn wie hier beschrieben einrichten. (Vorher einen kostenlosen Account einrichten).
Nach AVM sollte eine PortFreigabe auf eine ipv6 Adresse möglich sein. Für Port 443 und den Websocket-Port.
Damit komme ich auf den Reverseproxy von extern doch drauf oder? Der muss eine IPV6 Adresse haben was ja möglich ist.
Damit komme ich von extern auf den Reverse Proxy und der kann intern auf Edomi weiterleiten, dabei aber ipv4 benutzen.

[Janncsi]

ipv6 hat nach all der Zeit in der ich mich damit beschäftige, eigentlich nur Vorteile, wie ich finde! Man muss halt nur entsprechend umdenken, aber das lernt sich schnell!

Das Prefix wird bei Deutsche Glasfaser nur alle 8-12 Monate geändert angeblich und ist damit quasi statisch. Ich habe seit 2 Jahren kein neues Präfix gehabt, das nur nebenbei. Mit dem /56 Prefix lassen sich 256ig /64iger Adressräume erstellen, welche dann nochmals jeweils 18.000.000.000 Geräte bedienen kann....Adressen haben wir also genug :-D

Je nach Router kann das Prefix so detailliert angegeben werden, dass jedes Gerät dauerhaft die gleiche Benennung hat.

Und hier kann man auch noch sehr kreativ werden, siehe Facebook ;-)

Übrigens, ohne öffentliche ipv4-Adresse könnt ihr den Alexa-LBS nicht nutzen, da Amazon Lambda bisher nur ipv4 kann offiziell...Des Weiteren gilt auch bei Zugriff von außerhalb das Argument mit dem Mobilfunk. Bis auf die Telekom kann keiner ipv6 fürs Surfen, ich will aber unterwegs Zuhause zugreifen können um ggf. zu helfen. Wenn man also Außenzugriff haben will muss man leider immernoch mit dem veralteten ipv4 arbeiten. Warum sich die ganze Telekommunikationsindustrie so sehr gegen die Verbreitung von ipv6 sträubt erschließt sich mir allerdings nicht. Die Möglichkeiten sind unendlich!

[jonofe]

Die Möglichkeiten sind unendlich!

Die Kosten für die Migration aber auch ...

[Glotzkowski]

Mobilfunk lasse ich mal aussen vor, den hier geht es ja um eine Glasfaseranschluss.

Ja, natürlich um einen Glasfaseranschluss, an welchem nur eine IPv6-Adresse anliegt, aber wozu möchtest Du EDOMI von außen erreichbar machen?
Ich denke um mit dem Smartphone von unterwegs darauf zuzugreifen, oder?
Und das funktioniert nur, wenn es im Mobilfunknetz auch IPv6 gibt und das ist (noch) nicht bei allen Providern der Fall.
Wenn Du im Mobilfunknetz oder sonst wo nur IPv4 hast kannst Du nicht auf eine IPv6-Adresse zugreifen.
Dazu benötigtst Du einen "IPv4-zu-IPv6-Umsetzer" den Janncis hier sehr schön beschrieben hat.

Warum ändert sich die ip v6 überhaupt bei jeder Einwahl neu? Die sollte doch eindeutig sein, und somit wäre eine neue Vergabe sinnlos.

Der IPv6-Prefix ist der fest oder ist das der Teil der sich bei jeder neuen Einwahl ändert?
Die IPv6 des Reverseproxys ändert sich also bei jeder Einwahl oder ist die fest?

Warum es überhaupt eine Zwangstrennung gibt musst Du den Provider fragen, ich denke es sind eher wirtschaftliche als technische Gründe.
Es gibt ja Provider, welche keine Zwangstrennung machen und auch nach einem Neustart der Router die gleichen Adressen zuweisen.
Wenn sich etwas ändert ist es der Prefix, der Host-Anteil wird u.A. aus den MAC-Adressen gebildet.
Somit könnte sich die Adresse ändern.
Ärgerlich ist das genau dann, wenn man z.B. auf Mallorca sitzt und, warum auch immer, auf sein Heim zugreifen möchte und das genau dann nicht funktioniert.
Daher würde ich persönlich dabei immer DNS nutzen wollen. DNS löst dabei aber nicht das Problem der Inkompatibilität zwischen IPv4 und IPv6.

Damit komme ich auf den Reverseproxy von extern doch drauf oder? Der muss eine IPV6 Adresse haben was ja möglich ist.
Damit komme ich von extern auf den Reverse Proxy und der kann intern auf Edomi weiterleiten, dabei aber ipv4 benutzen.

Ja, Du kannst IPv6-Freigaben machen, das ist sozusagen eine Firewallregel, welche den Zugriff aus dem Internet auf einen bestimmten IPv6 Host im LAN erlaubt.
Eine Portweiterleitung (auch NAT bzw. PAT genannt) ist was anderes. Portweiterleitungen werden dazu genutzt, um aus dem Internet via IPv4 auf Dienste im LAN zuzugreifen. Da die IP-Adressen im LAN (in der Regel) nicht im Internet geroutet werden muss hier Destination NAT gemacht werden.

Wenn Du aus dem Internet via IPv6 über Deinen Reverse-Proxy auf EDOMI zugreifen möchtest funktioniert das vermutl. so wie Du beschrieben hast, allerdings auch nur von einem Endgerät welches auch über eine IPv6 Adresse verfügt.


Edit:
Ich finde IPv6 auch toll!
Leider muss man aber in der vermutl. noch einige Jahrzehnte andauernden Übergangszeit von Parallelwelten mit ein paar Krücken leben.

[Janncsi]

Übrigens, falls noch interessant: Die beschriebene Umsetzung meinerseits funktioniert auch mit dem Alexa Skill, respektive einem ReverseProxy, ohne Probleme.

Ich werde jetzt noch überlegen wie man ggf. den 6tunnel automatisiert nach Änderung der statischen ipv6-Adresse nachtriggert. Aber das wird eher ein kleines Problem...

[Lapheus]

Hallo zusammen,

...
Wenn Du aus dem Internet via IPv6 über Deinen Reverse-Proxy auf EDOMI zugreifen möchtest funktioniert das vermutl. so wie Du beschrieben hast, allerdings auch nur von einem Endgerät welches auch über eine IPv6 Adresse verfügt.
...

Dann sind meine Netzwerkkentnisse doch noch richtig.

Danke für die Infos zu IPv6 von Glotzkowski und Janncsi! Das fehlte mir in meiner IPv6-Theorie.

Lessons learned:

• IPv6 muss von Endgerät zu Endgerät stattfinden, eine Umsetzung findet nirgends statt. Es sei den sie wird aktiv gebaut wie von Janncsi beschrieben.
• Mobilfunk nutzt kein bzw. nur sehr gering IPv6 (Das hatte ich nicht gewusst, aber habe jetzt mal in der "net Analyser" App geschaut, da zeigt er keine ipv6 an für die Mobil Verbindung an)
• reines DNS reicht nicht, da IPv6 nicht "irgendwo" nach IPv4 konvertiert wird. Wenn nur IPv6 genutzt wird sollte es funktionieren.

Werde mich dann doch mal dazu durchringen meine IP Anschluss mit IPv6 einzurichten um damit Erfahrungen zu sammeln, aber zusätzlich zu IPv4.

Danke für die Diskussion!