Probleme mit externer Zugriff auf Homeserver (nach Umstellung auf ipv6)

[ralf_07]

Nochmals herzlichen Dank für Eure Vorschläge und weitergehenden Infos. Ich bin mir sicher, dass dies auch für den einen oder anderen hilfreich sein wird...

Wie bereits geschrieben, werde ich den Weg mit einem S1 gehen...
Viele Grüsse und nochmals Danke Ralf

[Hightech]

Mit dem externen IONOS Server kommt an Deinem LAN von außen immer noch v6 an! Und das bekommst Du dann mit der Fritz eben nicht auf v4 weitergeleitet....

Das IONOS Ding ist ein v4 auf v6 Mapper. Für die Anforderung des TE braucht es einen v6 auf v4 Mapper - Dein LAN ist von außen also nur als v6 erreichbar. Dahinter musst Du dann auf V4 umsetzen, damit der HS das versteht. Wenn jetzt das Gira-Portal nur v4-Adressen kann, dann müsstest Du wahrscheinlich beides haben - v4 auf v6, diese v4 wird dann ins Gira-Portal eingetragen. Durch das Mapping kommst Du dann vom Gira-Portal bis zu Deinem LAN. Und da musst Du jetzt die v6 wieder auf v4 zurückmappen, damit Du bis zum HS kommst.

Geh über VPN und nicht das GIRA-Portal... ist sicherlich der einfachere Weg!

Oder malen wir mal ein vielleicht verständlicheres Bild:
Du willst von Paris (das Gira-Portal) nach London (Dein HS), was in England (dein LAN) liegt. In Paris gibt es keine Wasserstraße (v6), Du musst auf einer Straße (v4) losfahren. Also musst Du Dich erst mal in ein Auto setzen (in das Gira-Portal eine v4-Adresse eingeben) und bis zur Küste fahren. Dort fährst Du Dein Auto auf eine Fähre (das ist der IONOS-Dienst, der v4 auf v6 umsetzt). Nun fährst Du "transportiert auf der Fähre" (also mit v6) über den Ärmelkanal (das Internet). Ab dem Fährhafen (Dein Router) gibt es aber wieder nur eine Straße nach London,keinen Wasserweg. Also musst Du in England (also schon in Deinem LANI) mit dem Auto wieder auf eine Straße umsetzen (das ist Dein v6 auf v4-Mapper in Deinem LAN). Und damit kannst Du jetzt bis nach London, also zu Deinem HS fahren :-)

[Paddie]

Ich habe mir jetzt nicht das gesamte Video aus dem Start-Post angeguckt. Hast du auch den richtigen Port weitergeleitet? also wenn der Homeserver auf Port 443 erreichbar ist muß natürlich auch 443 weitergeleitet werden, wenn Port 80, dann muß natürlich Port 80 weitergeleitet werden... Allerdings ist die unverschlüsselte Verbindung über Port 80 nicht zu empfehlen.

Ggfs. ist aber auch sonst irgendwas falsch an deinem Setup. Du könntest mal in den Log-Dateien auf deinem V-Server (Pfad sollte /var/log/ sein) interessant könnten die Dateien syslog oder wenn 6tunnel selbst ein logfile hat das sein.

Eine andere Möglichkeit wäre ein Rechner (Raspi oder ähnliches würde reichen) im Haus, der dann einen VPN-Tunnel ZU deinem V-Server aufbaut. Dann verbindest du dich von draußen mit deinem V-Server der dann diese Verbindung durch den VPN-Tunnel in dein Heimnetz leitet. Diese Verbindung kann dann der Rechner im Haus direkt an den Homeserver routen.
Hier (aber auch bei der Lösung aus dem Video) gilt natürlich zu beachten, dass JEDER hierdrauf zugreifen kann! Also JEDER kommt mindestens bis zur Anmeldung!
Ich kenne den Homeserver jetzt nicht (bin jetzt erst seit ein paar Wochen dran mich mit dem Thema KNX zu befassen) aber mir wäre das ohne weitere Sicherheitsmaßnahmen (SSL zähle ich jetzt nicht dazu) zu unsicher.

Sollte wirklich nur Port 80, also eine unverschlüsselte Verbindung, möglich sein würde ich das nur über eine VPN-Verbindung nutzen, alles andere ist meiner Meinung nach unverantwortlich. In dem Fall wäre es nur eine Frage der Zeit bis irgendjemand "drin" ist. Je nach Konfiguration ist er dann auch nicht "nur" in deinem Homeserver sondern in deinem internen Netz!

[kbabioch]

Der Threadersteller hat im Eingangsposting von einem externen Server und einigen Schritten gesprochen, die er unternommen hat, um den Traffic über den Server in sein Heimnetzwerk zu leiten. Technisch ist das möglich, auch mit DS Lite und nur ausgehenden Verbindungen.

[Hightech]

Es geht den TE aber um eingehende Verbindungen, Zugriff auf den HS von außen.... was hilft ihm da eine Lösung für ausgehende Verbindungen?

[kbabioch]

DS Lite reicht Dir nicht aus - DS Lite ist eine v4, die unter zahlreichen Anschlüssen shared ist und nur für die Kommunikation nach außen genutzt wird ("um große Teile des Internet zu nutzen). über eine DS Lite v4 kannst Du nicht gezielt von außen auf Dein Netzwerk zugreifen. Quasi eine Einbahnstraße.

Das ist schon klar. Aber in Verbindung mit einem extern erreichbaren Server, den der Threadersteller hier gemietet hat (siehe erster Post), lassen sich durchaus Lösungen bauen, die funktionieren. Ausgehende Verbindungen sind ja nach wie vor möglich.

ralf_07: Sofern du diese Seite über den von dir beschriebenen Anschluss besuchen kannst, hast du zumindest DS Lite, da das Forum nur A Records ( = IPv4) veröffentlicht hat. Über IPv6 ist es nicht zu erreichen.

[Hightech]

Edit: Andererseits kann ich mir nicht vorstellen, dass du wirklich kein IPv4 hast (nicht mal eine private IP Adresse, d.h. DS Lite). Damit würden große Teile des Internets für dich nicht funktionieren.

DS Lite reicht Dir nicht aus - DS Lite ist eine v4, die unter zahlreichen Anschlüssen shared ist und nur für die Kommunikation nach außen genutzt wird ("um große Teile des Internet zu nutzen). über eine DS Lite v4 kannst Du nicht gezielt von außen auf Dein Netzwerk zugreifen. Quasi eine Einbahnstraße.

[ets3-user]

S1 einzurichten ist wirklich einfach und funktioniert ohne Probleme mit IPv6.

[kbabioch]

Herzlichen Dank für Eure Vorschläge. Das hört sich bis auf dem Gira S1 alles ziemlich aufwendig und nicht ganz trivial an. Ich denke, der S1 ist der richtige Weg. Falls etwas aus Eurer Sicht (mit Ausnahme des Preises) etwas dagegen spricht, wäre ich für einen kurzen Hinweis dankbar.... Viele Grüsse Ralf

Naja, so ganz ohne Netzwerkkenntnisse wirst du auch mit dem S1 Probleme bekommen. Mag sein, dass der IPv6 (besser) kann, aber für einen Zugriff von außen, benötigst du ohnehin noch dynamische Namensauflösung. Das ist bei IPv6 ggf. komplizierter als bei IPv4 (aufgrund von Präfixen und Privacy Extensions, etc.). Keine Ahnung ob "giradns" das kann. Ich bezweifel es.

Und wie gesagt: Ich habe Zweifel, ob du einen reinen IPv6 Anschluss hast (und keinen DS Lite). Und mit DS Lite lassen sich auch Lösungen mit der existierenden Hardware bauen.

Und nach wie vor: Alles außer VPNs ist in diesem Kontext fahrlässig. IoT Schrottgeräte (und dazu zähle ich Gira Produkte) sollten nicht direkt aus dem Internet verfügbar gemacht werden, egal ob IPv4 oder IPv6?

[ralf_07]

Herzlichen Dank für Eure Vorschläge. Das hört sich bis auf dem Gira S1 alles ziemlich aufwendig und nicht ganz trivial an. Ich denke, der S1 ist der richtige Weg. Falls etwas aus Eurer Sicht (mit Ausnahme des Preises) etwas dagegen spricht, wäre ich für einen kurzen Hinweis dankbar.... Viele Grüsse Ralf

[kbabioch]

Naja, das lässt sich Netzwerk-technisch schon lösen, ist aber nicht ganz trivial.

Ich kenne die Gira Produkte nicht, aber wenn ich das richtig verstehe, dann kann der von dir verwendete Homeserver kein IPv6. Du hast aber nur IPv6 und keinen Dual-Stack (Lite), etc.

Demnach kann der Homeserver nicht nativ mit der Außenwelt kommunizieren, weder eingehend noch ausgehend. Da bringt dir auch ein außen stehender Server nichts.

Was sich daher anbietet wäre ein VPN, d.h. anstatt dich direkt mit dem Gira Homeserver zu verbinden, verbindest du dich z.B. mit deiner Fritz!BOX (oder anderen VPN Server/Gateways in deinem Netzwerk) und greifst dann über die internen IP Adressen bzw. DNS-Namen zu.

Der VPN Tunnel selbst kann dabei über IPv6 geschehen, die Namensauflösung ggf. über DNS (DynDNS, etc.). Innerhalb des Tunnels kannst du dann wiederum IPv4 benutzen.

Die Verwendung eines VPNs ist ohnehin empfehlenswert. Es ist nicht nur sicherer (weil kein "Schrottgerät" direkt im Internet hängt), sondern ermöglicht viele andere Anwendungsfälle und z.B. auch den Fernzugriff auf andere Ressourcen in deinem Netzwerk.

Letztendlich sind das aber (fortgeschrittene) Netzwerkthemen. Wenn du viel Input und Hilfestellung erwartest, usw., gibt es dafür bessere Plattformen als dieses Forum. Außerdem solltest du zunächst einmal das Konzept definieren/überdenken, anstatt wild YouTube Videos "nachzumachen" und wild Server zu mieten. Das führt nur zu Frust ...

Edit: Andererseits kann ich mir nicht vorstellen, dass du wirklich kein IPv4 hast (nicht mal eine private IP Adresse, d.h. DS Lite). Damit würden große Teile des Internets für dich nicht funktionieren.

[xrk]

Das Problem und die Lösung (die allerdings nicht ganz trivial ist) ist hier gut beschrieben und bebildert: https://www.feste-ip.net/dslite-ipv6...informationen/ (Kurz: Portmapper-Dienst + IPv6 auf IPv4 Übersetzer (z.B. Mini-Linux) im lokalen LAN).

[Hightech]

ipv6 kann einfach der Homeserver nicht. Das mit dem ionos ipv4 dazwischen hilft Dir nicht - das ruft dann ja wieder v6 auf. An Deinem Haus kommt also v6 an. Jetzt kannst den Satz wieder von vorne lesen ;-)

Bei unity ging es glaube ich auch nur mit einem Business-Tarif. Telekom-Glasfaser dagegen bekommst Du immer mit v4!

[ralf_07]

Danke für den Hinweis. Habe ich schon probiert. Um eine ipv4 Adresse zu erhalten, muss ich aber in den Business Tarif wechseln, der deutlich teurer ist....

[Jokl]

ich hab damals bei kabel Deutschland angerufen und mir eine ipv4 zuweisen lassen...ging!

evtl. mal mit deinem Netzbetreiber Kontakt aufnehmen?

Bei einem Freund gings nicht, da war die Lösung der Gira S1.....