Debian 10 mit NAT64 / NAT44 - IPv6 --> IPv4

[wanne]

Teredo wäre für mich eine Art "overlay network", weil es gerade darauf ausgelegt ist möglichst in allen noch so murksigen Netzwerkkonfigurationen (NAT, Firewall, etc.) ein einheitliches IPv6-Netz darüber baut.

Da es ähnliche Technologieen verwendet ist es eben auch da schwierig. Von der Seite sieht es so aus. Auf der Serverseite aber eben gar nicht. Da hast du einen einzigen Endpunkt der mit vielen Clienten Spricht. Das ist eben genau kein Netz in seiner allgemeinen Form sondern ein Zentraler Server über den all dein Traffic läuft. Du hast da ganz sicher einen festen Tunnel vom Client zum Server. Mit der einen Zentralen Instanz bist du IMHO eben kein Overlay-Network mehr. Dahinter ist das Netz aber nativ und nicht mehr Overlay. Eher ein VPN. Nr dass da das P nicht so richtig passt.

[bluestar]

Ich würde gern mal zurück zu der Problematik bzw. zu Lösungsansätzen für den AxelMD kommen.

@AxelMD:
* Brauchst du denn zwingend IPv4 auf deinem Server?
* Kannst du deinen Server nicht IPv6-Only laufen lassen, natürlich wohlwissend, das halt noch nicht jeder darauf zugreifen kann?
* Bietet dein DSL/Kabel/LTE/Whatever-Internet-Anbieter dir zu Hause denn IPv6 zusätzlich zu IPv4 an?

[AxelMD]

Brauchst du denn zwingend IPv4 auf deinem Server?

Nur wenn ich Docker Container oder z. B. den Keyserver "apt-key adv --recv-keys --keyserver hkps://keyserver.ubuntu.com:443 4F4EA0AAE5267A6C" nutzen möchte. Das kann ich mit dem NAT64 hinbekommen.

* Kannst du deinen Server nicht IPv6-Only laufen lassen, natürlich wohlwissend, das halt noch nicht jeder darauf zugreifen kann?

Ich möchte für zukünftige Fälle um die Möglichkeiten wissen.

* Bietet dein DSL/Kabel/LTE/Whatever-Internet-Anbieter dir zu Hause denn IPv6 zusätzlich zu IPv4 an?"

Der, mein Provider bietet beides an.

IPv6, IPv4, die Zusammenhänge interessieren mich.

Wie kann IPv4 faken, wenn mein Server nur IPv6 vom Server-Provider erhält?
Dieser Server soll über das IPv4 ereichbar sein.
IPv4 wird meines Wissen bei VPN benötigt.

https://www.heise.de/ratgeber/OpenVPN-V ... 62839.html

Doch viele VPN-Router bauen Tunnel nur über IPv4 auf. Das gilt auch für die eigentlich modernen Fritzboxen. IPv4 ist aber zu wenig, denn der Adressvorrat ist aufgebraucht, weshalb besonders Kabelprovider auf IPv6 setzen und IPv4 nur netzintern mittels privater Adressen anbieten (DS-Lite-Anschlüsse).

DS-Lite-Anschlüsse haben zwei Nachteile: Daran lassen sich keine Internet-Server via IPv4 zugänglich machen, sondern nur via IPv6. Will man aus der Ferne per VPN auf das LAN hinter DS-Lite-Anschlüssen zugreifen, ist ebenfalls IPv6 erforderlich.

[bluestar]

Brauchst du denn zwingend IPv4 auf deinem Server?

Nur wenn ich Docker Container oder z. B. den Keyserver "apt-key adv --recv-keys --keyserver hkps://keyserver.ubuntu.com:443 4F4EA0AAE5267A6C" nutzen möchte. Das kann ich mit dem NAT64 hinbekommen.

Ja das kannst du mit NAT64 abbilden, allerdings fliest hier halt der Traffic zu den IPv4-Only Hosts über deinen NAT64 Anbieter, je nach Vertrauensverhältnis, kann dies ein Problem sein.

* Kannst du deinen Server nicht IPv6-Only laufen lassen, natürlich wohlwissend, das halt noch nicht jeder darauf zugreifen kann?

Ich möchte für zukünftige Fälle um die Möglichkeiten wissen.

Grundsätzlich fährst du heute auf einem Server mit IPv4 und IPv6 am besten mit IPv4-only ist okay und IPv6-only ist halt "noch" der umständliche Weg.

* Bietet dein DSL/Kabel/LTE/Whatever-Internet-Anbieter dir zu Hause denn IPv6 zusätzlich zu IPv4 an?" nut

Der, mein Provider bietet beides an.

Dann würde ich dir auf jeden Fall dazu raten, zu Hause im Dualstack (IPv4 und IPv6) zu arbeiten.

IPv6, IPv4, die Zusammenhänge interessieren mich.

Da gibt es wenig Zusammenhänge, beides sind halt Protokolle... IPv4 hat mit NAT einen großen Nachteil, IPv6 bietet da mit direkter Konnektivität Vorteile ...

Wie kann IPv4 faken, wenn mein Server nur IPv6 vom Server-Provider erhält?
Dieser Server soll über das IPv4 ereichbar sein.

Du kannst keine IPv4-Adresse für deinen Server "faken", entweder dein Anbieter bietet eine gegen Aufpreis oder du musst einen Anbieter finden, der dir eine IPv4 Adresse über eine IPv6-fähige VPN-, eine Tunnel-Technik bereitstellen kann.... (Das kostet aber auch wieder Geld).

IPv4 wird meines Wissen bei VPN benötigt.

Nicht wirklich, wir haben hier unterschiedlichste VPN Varianten im Einsatz... Egal ob über IPv4 oder IPv6 ... VPN Pakete gehen über beide Protokolle.

https://www.heise.de/ratgeber/OpenVPN-V ... 62839.html

Doch viele VPN-Router bauen Tunnel nur über IPv4 auf. Das gilt auch für die eigentlich modernen Fritzboxen. IPv4 ist aber zu wenig, denn der Adressvorrat ist aufgebraucht, weshalb besonders Kabelprovider auf IPv6 setzen und IPv4 nur netzintern mittels privater Adressen anbieten (DS-Lite-Anschlüsse).

Naja das ist halt eine Einschränkung der lieben Fritzbox nicht des VPN an sich... Das ist so eine typische, fiese Falle wenn man mit IPv4 und IPv6 zu tun hat ... aus irgendwelchen Gründen bietet eine Plastikkiste die Funktionalität nicht, die technisch möglich ist, dann braucht man halt eine Lösung/Alternative. Die Frage ist halt, brauche ich ein IPv4 VPN von unterwegs zu meiner Fritzbox, wenn ich doch direkt via IPv6 (Firewall auf der Fritzbox korrekt geöffnet) doch direkt auf jedes meiner Geräte im LAN via IPv6 zugreifen kann?

https://www.heise.de/ratgeber/OpenVPN-V ... 62839.html

DS-Lite-Anschlüsse haben zwei Nachteile: Daran lassen sich keine Internet-Server via IPv4 zugänglich machen, sondern nur via IPv6. Will man aus der Ferne per VPN auf das LAN hinter DS-Lite-Anschlüssen zugreifen, ist ebenfalls IPv6 erforderlich.

DS-Lite ist ein Fluch was den VPN-Betrieb angeht, auf der anderen Seite, wenn man an Sicherheitslücken in Plastikroutern ( https://t3n.de/news/angriff-telekom-router-771648/ ]denkt, dann ist es ein Segen, weil die Dinger sind so halt auch nicht angreifbar über's Internet.

[AxelMD]

Dann würde ich dir auf jeden Fall dazu raten, zu Hause im Dualstack (IPv4 und IPv6) zu arbeiten.

https://www.elektronik-kompendium.de/si ... 904041.htm

Dual Stack

Mit Dual Stack bezeichnet man den Parallelbetrieb von IPv4 und IPv6. Da keine direkte Umstellung von IPv4 auf IPv6 möglich und auch nicht sinnvoll ist, sieht eine "Transition Strategy" vor, dass alle Netzknoten sowohl IPv4 als auch IPv6 beherrschen. Längerfristig würde man dann auf IPv4 verzichten können. Ausgenommen da, wo bereits heute kein IPv4 mehr möglich ist, weil keine öffentliche IPv4-Adressen mehr verfügbar sind.

Ist Dualstack nur eine Einstellung in der Fritz!Box?



Wofür sind die jeweiligen Einstellungen?
Was ist "Native IPv4-Anbindung verwenden"?
Was ist "Native IPv6-Anbindung verwenden"?
Was ist "IPv6-Anbindung mit Tunnelprotokoll verwenden"?

Was sollte, kann ich verwenden?


Das Bild habe ich extra so klein gemacht, wegen der Ladezeiten.

[bluestar]

Ist Dualstack nur eine Einstellung in der Fritz!Box?

Dualstack ist eine Bezeichnung für ein Gerät das beide Protokolle parallel unterstützt.

Wofür sind die jeweiligen Einstellungen?
Was ist "Native IPv4-Anbindung verwenden"?
Was ist "Native IPv6-Anbindung verwenden"?
Was ist "IPv6-Anbindung mit Tunnelprotokoll verwenden"?

Was sollte, kann ich verwenden?

Du solltest Native IPv6-Anbindung verwenden verwenden. 6to4 (alias Native IPv4-Anbindung verwenden) haben wir bereits ausführlich erörtert, IPv6 über ein Tunnelprotokoll bezeichnet die Übertragung von IPv6-Paketen in IPv4 Pakten zu einem Server (alias Tunnelendpunkt) der die Pakete auspackt und über IPv6 ins Internet sendet.

[AxelMD]

Von AVM

https://avm.de/service/fritzbox/fritzbo ... zt-werden/

Da nicht an allen Internetzugängen eine IPv6-Anbindung gegeben ist (z.B. in vielen Mobilfunknetzen und WLAN-Hotspots), testen Sie am jeweiligen Netzwerkgerät (z.B. Computer, Smartphone, Tablet) die IPv6-Anbindung durch Aufruf von www.test-ipv6.com oder www.ipv6-test.com. Nur wenn eine IPv6-Anbindung vorhanden ist, können Sie auf die FRITZ!Box zugreifen.

Die Testseiten sind interessant.

Das sagt AVM

https://service.avm.de/help/de/FRITZ-Bo ... troduction

https://service.avm.de/help/de/FRITZ-Bo ... ernet_ipv6

Das sagt AxelMD
Es gibt keine IPv4 oder IPv6-Technik, da dies Protokolle sind, entweder der Router/Endgerät/Anbieter unterstützt beide oder eins davon.

[bluestar]

Es gibt keine IPv4 oder IPv6-Technik, da dies Protokolle sind, entweder der Router/Endgerät/Anbieter unterstützt beide oder eins davon.

oder keines, ich denke da an die IPX und Novell Netware Zeiten zurück.

[AxelMD]

Hier auch interessant:

https://github.com/BasterdOperator/IPv4 ... Portmapper

https://uberspace.de/de/

[AxelMD]

Hallo Forum,

wie kann man einen eigenen Server vServer aufbauen um einen zweiten Only-IPv6-Server aus dem IPv4 Netz erreichbar zu machen?

Gibt es dazu irgendwo eine gute aktuelle Anleitung?
Was ist noch zu bedenken?

MfG
AxelMD


Edit:
https://packages.debian.org/de/buster/tayga
http://www.litech.org/tayga/

[bluestar]

Tayga ist dein Freund

[AxelMD]

Hallo bluestar,

danke,

hast Du ein Tayga System schon mal installiert?
Die Konfiguration erscheint mir nicht so trivial mit meinem Wissensstand.

Welche Hardware Anforderungen benötigt der Tayga Server?
Läuft Tayga so locker nebenbei auf einem Server?

MfG

AxelMD

[bluestar]

hast Du ein Tayga System schon mal installiert?

Ja

Die Konfiguration erscheint mir nicht so trivial mit meinem Wissensstand.

Du brauchst
* eine freie IPv4 Adresse, im Beispiel IP4: 1.2.3.4
* eine IPv6 Adresse im Beispiel IP6: 2001:6f8:1
* die Ziel IPv6 Adresse die über die IP4 erreicht werden soll IP6-ZielServer: 2009::1

Hier die tayga.conf:

Code: Alles auswählen

tun-device nat64
ipv4-addr 192.168.254.1
ipv6-addr [b]IP6[/b]
prefix 64:ff9b::/96
data-dir /var/spool/tayga/nat64-in
map 1.2.3.4 2009::1

Dann benötigst du noch eine Route:

Code: Alles auswählen

ip route add 1.2.3.4  dev nat64

Welche Hardware Anforderungen benötigt der Tayga Server?

Ich überschlag mal an Hand der Größe des tayga - Binarys (ca. 52KB), also ich würde sagen mindestens 256 Kernel und mehrer Terrabyte an RAM

[AxelMD]

also ich würde sagen mindestens 256 Kernel und mehrer Terrabyte an RAM

Ist das Ironie?

Auch kleine Programme können sehr viel Leistung beanspruchen.

[bluestar]

also ich würde sagen mindestens 256 Kernel und mehrer Terrabyte an RAM

Ist das Ironie?

Aber natürlich, sonst wäre kein Smily dran.

[AxelMD]

hast Du ein Tayga System schon mal installiert?

Ja

Die Konfiguration erscheint mir nicht so trivial mit meinem Wissensstand.

Du brauchst
* eine freie IPv4 Adresse, im Beispiel IP4: 1.2.3.4
* eine IPv6 Adresse im Beispiel IP6: 2001:6f8:1234::1
* die Ziel IPv6 Adresse die über die IP4 erreicht werden soll IP6-ZielServer: 2009::1

Hier die tayga.conf:

Code: Alles auswählen

tun-device nat64
ipv4-addr 192.168.254.1
ipv6-addr [b]IP6[/b]
prefix 64:ff9b::/96
data-dir /var/spool/tayga/nat64-in
map 1.2.3.4 2009::1

Dann benötigst du noch eine Route:

Code: Alles auswählen

ip route add 1.2.3.4  dev nat64

Welche Hardware Anforderungen benötigt der Tayga Server?

Ich überschlag mal an Hand der Größe des tayga - Binarys (ca. 52KB), also ich würde sagen mindestens 256 Kernel und mehrer Terrabyte an RAM :lol:

Danke, sieht machbar aus.

Kann man so mehrere IPv6 vServer / Server mit einer IPv4-Erreichbarkeit ausstatten?

[bluestar]

Kann man so mehrere IPv6 vServer / Server mit einer IPv4-Erreichbarkeit ausstatten?

Pro Server wird eine IPv4 Adresse benötigt.

[AxelMD]

Hallo Bluestar,

danke, das bedeutet also, möchte ich einen only IPv6 vServer mit einer IPv4 ausstatten, benötige ich mindestens 2 Stück IPv4?

1-IPv4 für: Tayga vServer

2-IPv4 für: die IPv4 vom Only-IPv6 vServer

Kann man sich irgendwo eigene IPv4 IP's irgndwo sichern?

Ach herje: https://t3n.de/news/ripe-europas-ipv4-adressen-1227395/

MfG
AxelMD

[bluestar]

danke, das bedeutet also, möchte ein IPv6 mit einer IPv4 ausstatten, benötig i mindestens 2 Stück IPv4?

Bei direktem Dualstack kommst du billiger weg, je Server 1 x IPv4 und 1 x IPv6.

1-IPv4 für: Tayga vServer

Nimm keinen vServer, nimm echte Hardware einen dedicated Server, sonst hast du nur wieder neue Probleme.

2-IPv4 für: die IPv4 vom Only-IPv6 vServer

Normalerweise übergibst du keine Einel-IPs an Tayga sondern ein ganzes IPv4-Netz, ansonsten macht Tayga ja wenig Sinn...

Kann man sich irgendwo eigene IPv4 IP's irgndwo sichern?

Du kannst bei Providern IPv4-Adressen oder IPv4-Bereiche gegen Gebühren mieten ... (etwa 1€ pro IP/Monat).

[AxelMD]

Tayga ist dein Freund

Ist evtl. 6tunnel ein besserer Freund für mich?

Bei Ionos gibt einen vServer mit IPv4 für dauerhaft ein Euro im Monat.

Ziel:
Einen Only-IPv6 Server möchte ich für IPv4 zugänglich machen.

[bluestar]

Ist evtl. 6tunnel ein besserer Freund für mich?

Nein, da wird IPv6 über IPv4 getunnelt, also genau falsch herum für dein Problem

Ziel:
Einen Only-IPv6 Server möchte für IPv6 zugänglich machen.

Steht der Server im Internet oder irgendwo zu Hause?

[AxelMD]

Ziel:
Einen Only-IPv6 Server im Internet möchte ich für IPv4 zugänglich machen.


Beide vServer stehen / sind im Internet.

[bluestar]

Ziel:
Einen Only-IPv6 Server im Internet möchte ich für IPv4 zugänglich machen.

Buch einfach bei deinem Serverhoster die IPv4 dazu und fertig.

[AxelMD]

Nein, zu einfach, wenig lernerfolg.

IPv4 Server habe ich.

Jetzt muss ich die beiden nur noch in Bezug IPv4 IPv6 verbinden.

[bluestar]

Dann bau dir einen GRE oder IPIP Tunnel zwischen deinen Servern via IPv6 auf und route eine IPv4 Adresse darüber.

http://www.deepspace6.net/docs/iproute2tunnel-en.html