Komme ich mit Gira X1 und S1 über IPv6 per VPN in mein Netz?

[jaydee73]

Hallo zusammen,

folgende Konstellation bei mir (bisher):
- Fernzugriff auf den X1 über S1
- VPN-Zugriff über meine Fritzbox (myFritz eingerichtet) via IPv4 auf mein Netzwerk und damit Zugriff auf meine IPv4-Netzwerkgeräte (NAS, KWL und noch einiges mehr...)

Jetzt hat mein Provider "leider" auf IPv6 umgestellt und IPv4 wird nur noch per CGNAT geliefert. Meine IPv4-Adresse ist somit nicht mehr von außen erreichbar. Damit geht VPN über die Fritzbox als Endpunkt nicht mehr, da diese kein IPv6-VPN unterstützt.

Der reine Fernzugriff auf den X1 geht ja weiterhin, da es über den S1 läuft und dieser kein Problem mit CGNAT hat.

Ich stelle mir aber jetzt die Frage, ob es eine Möglichkeit gibt, S1&X1 zu nutzen, um auch weiterhin per VPN in mein Netz zu kommen? Der X1 kann ja auch OPENVPN, allerdings lt. Anleitung explizit nicht mit IPv6.

Kann man da irgendwas bauen mit Fritzbox, S1 und X1, um das zu erreichen?

Bin für jeden Hinweis dankbar!

Gruß,
Stefan

[MatthiasS]

S1 geht bei V6

[jaydee73]

Äh?? Ja, um auf den X1 zu kommen. Das hatte ich ja auch geschrieben.

Aber kann ich S1/X1 auch irgendwie als VPN-Endpunkt benutzen, um darüber auf meine internen Netzwerkgeräte zugreifen zu können? Das war die Frage.

[MatthiasS]

Äh??? ist unhöflich.

Ja, im S1 kann man weitere Geräte eintragen, auf die man dann darüber zugreifen kann.

Screenshot 2021-03-18 20.13.05.png

[jaydee73]

Ja, da magst du recht haben. Sorry. Allerdings ist ein "doch, geht" als Antwort auch nicht wirklich hilfreich, also quasi auch eine Art Unhöflichkeit. ;-)

Danke für deinen Hinweis. Diese Möglichkeit hatte ich auch schon gesehen. Allerdings passt sie nicht ganz zu meinem Anwendungsfall. Daher muss ich die Frage nochmal etwas umformulieren/konkretisieren:

Kann ich mit Hilfe von S1/X1 eine Möglichkeit schaffen, damit ich mit meinem mobilen Endgerät (hier: iPhone) eine VPN-Verbindung über IPv6 aufbauen kann, so dass mein iPhone im lokalen Netz agiert?

Hintergrund ist, dass ich Apps nutze, die im lokalen Netz auf Endgeräte zugreifen (hier: KWL). Die KWL z. B. hat keinen Webserver integriert, so dass die von dir genannte Variante da leider nicht weiterhilft.

[MatthiasS]

Jetzt verstehe ich die Frage. Und bin überfragt Ich glaube, das geht nicht...

[knxPaul]

Wenn das iPhone im lokalen Netz angemeldet ist, hat es eine IP im lokalen Netz. Damit sind Zugriffe nach Subnetzmaske im lokalen Netz möglich.

Wenn das iPhone über Handynetz angemeldet ist, hat es diese IP nicht. Nun wird eine SW benötigt, die einen Tunnel in das entfernte "lokale Netz" aufbaut. Das ist der fehlende Baustein.

In der Gegenrichtung funktioniert es: Von einem PC mit "Gira S1 Windows Client" sicher auf Geräte im entfernten Netzwerk zugreifen.

EDIT:
Lese zur Sicherheit nochmals Kap. 2.4.2. "Kommunikation – sicher, zuverlässig und einfach zu handhaben" im Technischen Handbuch des S1; da wird doch eine Art doppelter Tunnel aufgebaut; vom S1 zum Geräteportal und vom iPhone zum Geräteportal.

[PhilW]

und vom iPhone zum Geräteportal

Jain, das ist auch nur eine reine Vermittlung zum S1/X1 über GiraPortMapping, und gibt keine Möglichkeit eines Tunnels.

Kann man da irgendwas bauen mit Fritzbox, S1 und X1, um das zu erreichen

Für's Handy so nicht.
Das Thema IPv6-Anschluss/VPN/IPv4 etc. ist insbesondere für Smartphones oder auch nur IPv4-Anschlüsse, ich nenn es mal, suboptimal. Wenn du IT-technisch nicht sehr versiert bist, und in deinem Leben noch andere Dinge vorhast dann empfehle ich den Portmapperdienst von feste-ip.net. Kostet nicht viel und erspart dir graue Haare. Da gibt's auch eine FIP-Box wenn du unbedingt VPN brauchst usw..
Ich nenne IPv6 mittlerweile den "Vorhof zur Hölle".
Eigentlich geht bei IPv6 zwar sehr viel, aber nur innerhalb der IPv6 Welt. Da du dich wahrscheinlich hinter deiner Fritz auch bestimmt noch im IPv4 bewegst aber eben wieder nicht.

[jaydee73]

Kostet nicht viel und erspart dir graue Haare.

Das glaube ich so langsam auch. Ich habe ein ganzes Wochenende damit verbracht, ein Linux-VM mit openvpn zum Laufen zu bekommen, so dass ich von außen per IPv6 eine VPN-Verbindung aufmachen kann. Meine Frau hat mich in der Zeit schon gar nicht mehr angesprochen, weil ich so gereizt war. ;-) Aber....

Da du dich wahrscheinlich hinter deiner Fritz auch bestimmt noch im IPv4 bewegst aber eben wieder nicht.

...vermutlich genau deswegen gibt es auch dabei Probleme. Die VPN-Verbindung selbst funktioniert, aber ich komme in meinem Netz nicht "weiter". Die Geräte sind nicht erreichbar. Ich habe zwar in meinem Netz IPv4 und IPv6, aber auch hier ist die KWL wieder der Sonderfall: Die kann anscheinend nur Ipv4...

Es wäre schon schön, wenn AVM hier mal nativ was implementiert in die Fritten...

feste-ip hatte ich mir auch schon angeschaut. Ich war aber natürlich (bisher) der Meinung, dass das auch ohne kostenpflichtiges-3rd-party möglich sein müsste...

Danke für euern Input!

[PhilW]

Es wäre schon schön, wenn AVM hier mal nativ was implementiert in die Fritten

janee, das ist schon implementiert in der Fritte, du kannst nativ auf v6 umstellen. Ich bin aber nicht so masochistisch intern mit v6 zu arbeiten und ich habe glaube ich noch 1-2 Geräate die das gar nicht können

Die VPN-Verbindung selbst funktioniert,

und das hast du sicher von einem reinem v4 Anschluss probiert?

ohne kostenpflichtiges-3rd-party

dachte ich auch, aber der Protmapper kostet pro port/tag irgendwas von 1ct. Dafür habe ich Freizeit

Und falls du ne Synology oder einen Raspi hast kannst du auch noch ein OpenVPN aufsetzen

[jaydee73]

janee, das ist schon implementiert in der Fritte, du kannst nativ auf v6 umstellen.

ja, umstellen auf v6 geht, damit sie ipv6 intern verteilt. Aber die Fritte als v6-VPN-Endpunkt geht (meiner Meinung nach) nicht. Lasse mich da aber gerne korrigieren.

und das hast du sicher von einem reinem v4 Anschluss probiert?

Nein, das war eine v6-Verbindung. Per openvpn-connect-App auf meinem Handy, welches im Telekom-Mobilfunknetz war. Das openvpn-Profil war ein v6-Profil und die Verbindung zum OPENVPN dann auch logischerweise v6. Naiv wie ich bin, habe ich aber gedacht, dass ich mit einer bestehenden v6-vpn-Verbindung dann auch auf die v4-Geräte im Netzwerk zugreifen kann. Pustekuchen.

Und falls du ne Synology oder einen Raspi hast kannst du auch noch ein OpenVPN aufsetzen

Ich habe ja schon nen openvpn laufen (Proxmox VM). Resultat siehe #9. Ne Syno und nen Raspi hätte ich auch, aber das ändert ja nix daran.

[PhilW]

die Fritte als v6-VPN-Endpunkt geht (meiner Meinung nach) nicht.

Das stimmt.

Nein, das war eine v6-Verbindung.

Na und dann wirds erst spassig. In meiner Firma haben wir auf einem Netz reines IPv4, und da geht zu v6 gar nix...

[MGK]

Hast Du mal Deinen Provider angerufen und denen erklärt das Du VPN brauchst?
manche geben Dir dann problemlos eine öffentliche IPv4 Adresse. Manche auch nicht, aber fragen sollte man mal.
Standardmäßig braucht das kaum ein Kunde, deshalb richten das etlich nur auf Wunsch/Anforderung ein...

[jaydee73]

Na und dann wirds erst spassig. In meiner Firma haben wir auf einem Netz reines IPv4, und da geht zu v6 gar nix...

Das ist bei mir auch so. Nur v4 im Firmennetz. Deswegen "muss" ich dann immer raus aus dem WLAN, damit ich über Mobilfunk eine v6-Verbindung aufbauen kann.

Hast Du mal Deinen Provider angerufen und denen erklärt das Du VPN brauchst?

Ja, ich kann eine öffentliche ipv4 bekommen. 5,-- pro Monat....

Ich habe mich mal ein bisschen auf der feste-ip Homepage umgeschaut. Ich glaube, so eine easy2connect-Box ist das Richtige für mich. Bzw. ich installiere das per Script auf einer Linux-VM bei mir. Kostet auch 20 Ocken im Jahr, aber wenn das so funktioniert wie beschrieben, habe ich damit was ich will. Ja, könnte man bestimmt auch selbst bauen, aber da wären wir wieder bei den grauen Haaren...