Umstellung von IPv4 auf IPv6 (zusätzlich)

[cosinus]

Über DHCP vergebene 192.168.xxx.xxx Adressen zu merken ergibt auch wenig Sinn, es sei denn man hat diese quasistatisch eingerichtet durch DHCP-Reservierungen.

Hier! Ich!

Als Sysadmin hab ich auch viele interne IP-Adressen im Kopf. Ich merk mir sogar unsere statisch vergebenen IPv6-Adressen - das Präfix, das ich von https://tunnelbroker.net bekommen habe ist schon in Fleisch und Blut übergegangen

Nochmal zu NAT: NAT ist nicht falsch, bei IPv4 ist es ja auch zwingend erforderlich. Aber bei IPv6 ist das anders, man muss umdenken. Anders heißt nicht unbedingt besser oder schlechter. Aber der Vorteil ist, dass man nun direkte Kommunikation hat, ohne dass die beteiligten Router ständig source und dest IP-Adressen in den TCP/UDP Paketen umschreiben müssten. Die durch NAT erreichte (Pseudo-)Sicherheit fällt natürlich weg, aber eine gute Konfig der Paketfilter ist ja sowohl in der v4- als auch in der v6-Welt essentiell.
Ich hab mich mittlerweile damit gut abgefunden, dass ich sinnvolle Regeln sowohl für v4 als auch für v6 erstellen und pflegen muss, egal ob auf der SophosUTM, Windows-Firewall oder via iptables/nftables.

[cosinus]

Ich habe es ja nicht erfunden. Ich möchte mir nur durch unzureichendes Wissen keine Löcher ins Netz reißen.[/list]

Intern kann ja erstmal nicht viel passieren. Von Außen müsstest du nen dicken Fehler in der Firewall bzw Router haben. Grundsätzlich solltest du natürlich alles Eingehende verbieten und Ports eingehend dann selektiv nach genauer Prüfung freischalten. Wenn du willst poste ich auch mein iptables-persistent Grundgerüst für v4 und v6.

BTW: Brrr...muss gerade an den dicken Patzer im Speedport-Router vor ein paar Jahren denken

[jochen02]

Intern kann ja erstmal nicht viel passieren. Von Außen müsstest du nen dicken Fehler in der Firewall bzw Router haben. Grundsätzlich solltest du natürlich alles Eingehende verbieten und Ports eingehend dann selektiv nach genauer Prüfung freischalten. Wenn du willst poste ich auch mein iptables-persistent Grundgerüst für v4 und v6.

Klar, gern. Ich brauche sowieso noch etwas, bis ich das umgestellt habe. Nicht alles ist da von mir abhängig. Ich habe es im ersten Anlauf auch nicht geschafft, dass die dyndns-Anbieter auch die IPv6-Adresse übernehmen. Ich fürchte, ich werde mich bei einigen tools auch daran gewöhnen müssen, die "6" an den Namen der binary zu hängen.

BTW: Brrr...muss gerade an den dicken Patzer im Speedport-Router vor ein paar Jahren denken

Genau daran hatte ich auch gedacht.
Aus meinem Job habe ich mir angewöhnt, Sicherheit immer in mehr als einem Layer zu denken. Auf NAT habe ich mich natürlich auch nie verlassen.
Nach Änderungen in Paketfiltern ist hier auch ein Portscan auf die relevanten IPs angesagt.

[jochen02]

Hallo,

mir ist aufgefallen, dass die IPv4 meine Geo-Position wesentlich ungenauer preisgibt, als vi IPv6. Provider ist Deutsche Telekom.
Probiert das mal aus:

Code: Alles auswählen

curl [-v4|-v6] ifconfig.co/json

(Mit freundlicher Unterstützung von c't 18/2023, Seite 162)

[jochen02]

So, die nächste Phase ist begonnen.
Nach dem Update von FritzOS auf 7.56 scheint jetzt auch IPSec mit IPv6 zu gehen.

Jetzt kommt ein anderes Problem ins Spiel. Wie gebe ich einem beliebigen dyndns-Dienst die externe IPv6 der Fritzbox bekannt? Die bisherigen Versuche mit

Code: Alles auswählen

curl -6 ifconfig.co

oder

Code: Alles auswählen

ddclient

führen zur öffentlichen IPv6 des abfragenden Rechners. Prefix ist das vom Provider zugewiesene, aber der Rest passt nicht. Ich will ja nicht mit dem Rechner im Netz verbinden, sondern mit der FritzBox (VPN).

Wie löse ich das? Freundliche Hinweise für einen IPv4-Menschen, der versucht, zu IPv6 zu wechseln, werden auch gern entgegengenommen.

[mat6937]

Wie gebe ich einem beliebigen dyndns-Dienst die externe IPv6 der Fritzbox bekannt?

Versuch mal auf dem Rechner, der mit der FritzBox verbunden ist:

Code: Alles auswählen

host -t aaaa fritz.box 192.168.178.1
ip -6 n s

?

[jochen02]

Versuch mal auf dem Rechner, der mit der FritzBox verbunden ist:

Code: Alles auswählen

host -t aaaa fritz.box 192.168.178.1

Das liefert zwar eine IP, aber eine andere, als die im Web-Interface der Fritzbox (Internet - Online-Monitor) als IPv6-Adresse angegebene. Sie beginnt mit dem IPv6-Präfix, der Rest unterscheidet sich aber. Ein Ping "von außen" geht auch nur bei der IPv6, die im Fritzbox-Webinterface als IPv6-Adresse angegeben ist.

Code: Alles auswählen

ip -6 n s

Liefert die selbe IP, das passende Interface die passende MAC-Adresse und die Auskunft, dass der Router REACHABLE ist.
Ich bin wirklich noch etwas neu in der Materie IPv6. Gehe ich recht in der Annahme, dass eigentlich "ip -6 neighbour show" gemeint ist?

Wenn ich vom internen Netz aus die IPv6 der Fritzbox abfrage (host -t aaaa...), wird mir dann nicht die öffentliche IP des internen Interfaces geliefert? Die suche ich ja nicht. Ich brauche ja die IP des externen Interfaces.

[mat6937]

Gehe ich recht in der Annahme, dass eigentlich "ip -6 neighbour show" gemeint ist?

Nicht nur gemeint, "ip -6 n s" ist gleichwertig mit "ip -6 neighbour show".

Wenn ich vom internen Netz aus die IPv6 der Fritzbox abfrage (host -t aaaa...), wird mir dann nicht die öffentliche IP des internen Interfaces geliefert? Die suche ich ja nicht. Ich brauche ja die IP des externen Interfaces.

Was ist bei dir der Unterschied zwischen internem Interface und externem Interface?
BTW: Wenn Du die Ausgaben, nicht richtig/brauchbar anonymisiert postest, kann ich dir nicht weiter helfen.

[wanne]

Wenn ich vom internen Netz aus die IPv6 der Fritzbox abfrage (host -t aaaa...), wird mir dann nicht die öffentliche IP des internen Interfaces geliefert?

Nein. Es gibt keinen Unterschied. Die Fritz!Box ist (wie die meisten Heimrouter) gar kein Router. Sondern ein Switch der gerne einer wäre. Die hat nur ein Interface. Die Fritz!Box versucht da was hin zu faken indem sie viele IPs auf das gleiche Interface setzt. Die willst du aber sicher nicht nutzen. (Mit (Gäste-)Wifi wird es nochmal etwas komplizierter. Am ende interessiert dich das alles nicht. Du willst die eine externe IP verwenden.)

[jochen02]

Was ist bei dir der Unterschied zwischen internem Interface und externem Interface?
BTW: Wenn Du die Ausgaben, nicht richtig/brauchbar anonymisiert postest, kann ich dir nicht weiter helfen.

Nun, bei einem Router ist die Antwort sicherlich klar. Aber weiter unten lese ich ja, dass das bei der Fritzbox, sagen wir, kreativ gelöst ist. Daher wird es jetzt klarer.

Die Ausgaben würde ich sehr gern vollständig hier 'reinkopieren. Aber ich habe keine Lust, die IPs zu veröffentlichen. Das Problem hast du ja auch berücksichtigt. Wie ist den die beste Art, das sinnvoll zu anonymisieren?

Vielleicht kannst du der Adresse ja mehr entnehmen, als ich zur Zeit (bin aber lernwillig).

[DonaltDack]

Wie gebe ich einem beliebigen dyndns-Dienst die externe IPv6 der Fritzbox bekannt?

...dass öffentliche routingfähige IPv4-Adressen für Privatkunden von den ISPs allmählich immer seltener zugesagt werden. Mit einer "Intranet-IP" kann ich nichts anfangen, ich brauche VPN-Zugang von draußen. Bleibt, IPv6 zu verwenden.

Könnt ihr helfen, die richtigen Fragen zu stellen?

Ich habe das hier nach zufälligigem Entdecken aus milder Neugier mal mitverfolgt. Prinzipiell hat der User wanne ja schon auf das wichtige hingewiesen. Aber mir fallen 2 (3) Fragen ein?

Zum obigen ersten Problem: Warum ist die Funktion der Fritzbox defekt, die das Update eines DynDNS vornehmen kann und wie kann ich das reparieren? Und was ist beispielweise überhaupt am kostenlosen MyFritz-DynDNS schlecht?

Und zum VPN-Problem (ich vermute via Mobil-Geräten und Mobilfunk) ist die Frage: Bei welchem ISP miete ich kostenpflichtig einen virtuellen Server mit IPv4 und IPv6, um dort z.B. mit Debian einen Relay-Server einzurichten, wenn 'mein' Netz zuhause nur noch DS-Lite (also nur noch IPv6) ist, der dann meinen IPv4-Handy-Netz-Zugriff auf Heimnetz-IPv6 'übersetzt' ?

[mat6937]

[Und was ist beispielweise überhaupt am kostenlosen MyFritz-DynDNS schlecht?

Alles an diesem Dienst ist schlecht. Ich hatte auch einen MyFritz-Account, ... bis vor einigen Jahren, die Telefonie der FritzBoxen gehackt worden ist und AVM meinen MyFritz-Account gelöscht hat, _ohne_ mir den Zusammenhang mitzuteilen.

[jochen02]

Zum obigen ersten Problem: Warum ist die Funktion der Fritzbox defekt, die das Update eines DynDNS vornehmen kann und wie kann ich das reparieren?

Sie ist, bei mir zumindest, nicht defekt. Werde ich erledigen, wenn der Rest im Grunde funktioniert.

Und zum VPN-Problem (ich vermute via Mobil-Geräten und Mobilfunk) ist die Frage: Bei welchem ISP miete ich kostenpflichtig einen virtuellen Server mit IPv4 und IPv6, um dort z.B. mit Debian einen Relay-Server einzurichten, wenn 'mein' Netz zuhause nur noch DS-Lite (also nur noch IPv6) ist, der dann meinen IPv4-Handy-Netz-Zugriff auf Heimnetz-IPv6 'übersetzt' ?

Brauchst du das überhaupt? Ich denke, alle Mobilfunk-Provider geben automatisch auch eine IPv6 'raus.

[DonaltDack]

Alles an diesem Dienst ist schlecht. ... bis vor einigen Jahren...

Ich halte die Qualität dieser Aussage für einigermaßen fragwürdig... es ist allenfalls eine unbedeutende Einzelerfahrung, aber nicht mehr. Eine grundsätzlicher Rückschluss ist auch nicht möglich, im übertragenen Sinne so, als würde man Samsung-Handys generell für schlecht halten, weil der Akku des eigenen Handy vor Jahren wegen eines defekten Ladegeräts (als Dritt-Einwirker) einmal explodiert ist. Dabei wird ignoriert, dass irgendwo irgendwann jeder Akku von einem Defekt betroffen sein und hochgehen kann. Und als wenn AVM das einzige explizite / exklusive Opfer einer Cyberattacke gewesen wäre. Ich nutze myfritz-DNS seit 8 oder 10 Jahren ohne einen einzigen störenden Zwischenfall.

Brauchst du das überhaupt? Ich denke, alle Mobilfunk-Provider geben automatisch auch eine IPv6 'raus.

Da bin ich jetzt aktuell tatsächlich überfragt und die Frage überrascht mich auch... sorry. Bis vor kurzem (ein paar Jahre) war das Mobilnetz noch ausschließlich IPv4-basiert. Nach einem kurzen Blick ins Web wird das anscheinend jetzt aber auch sukzessive auf IPv6 umgestellt. Ob das allerdings schon flächendeckend bei allen Anbietern so ist und ob die derzeitigen Smartphones (z.B. mit aktuellem Android) überhaupt einen IPv6-Stack unterstützen, müsste man untersuchen. Da bin ich im Moment nicht up-to-date.

[jochen02]

Da bin ich jetzt aktuell tatsächlich überfragt und die Frage überrascht mich auch... sorry. Bis vor kurzem (ein paar Jahre) war das Mobilnetz noch ausschließlich IPv4-basiert. Nach einem kurzen Blick ins Web wird das anscheinend jetzt aber auch sukzessive auf IPv6 umgestellt. Ob das allerdings schon flächendeckend bei allen Anbietern so ist und ob die derzeitigen Smartphones (z.B. mit aktuellem Android) überhaupt einen IPv6-Stack unterstützen, müsste man untersuchen. Da bin ich im Moment nicht up-to-date.

Ich habe gerade mal nachgeschaut. Vodafone gibt mir eine IPv6. Android unterstützt definitiv auch IPv6 (Stand Adroid 11).

[MSfree]

Vodafone gibt mir eine IPv6.

Bei O2 (Telefonica) habe ich nur eine öffentliche IPv4-Adresse (kein Carrier Grade NAT).

[DonaltDack]

Bei O2 (Telefonica) habe ich nur eine öffentliche IPv4-Adresse (kein Carrier Grade NAT).

Das kann ich so bestätigen... hier auch nur eine IPv4. Allerdings kann mein Android offensichtlich schon IPv6, was mir bisher mangels Interesse gar nicht aufgefallen ist - aber es hat 2 (warum auch immer) GUA's im WLAN.

@Jochen, wenn ich das richtig erinnere, ist unter IPv6 auch nicht mehr zwingend ein DynDNS notwendig... der macht es nur komfortabler. Es bedarf nur der Kenntnis der aktuellen Site-ID (Prefix) im Heimnetz (die ersten 64 Bit). Die zweiten 64 Bit (Interface-ID) sind bei aktivierten PE immer einmal Temporär für den primären ausgehenden Traffic und einmal konstant über die MAC-Adresse vorhanden. Beide Adressen sind Internettauglich. Dann braucht es nur noch entsprechende Port-Freigabe des betroffenen PCs über seine konstante Interface-ID in der Fritzbox. Das heisst, mit Kenntnis des Prefix und der MAC-basierten Site-ID hat man immer die öffentliche IP-Adresse des PCs im Heimnet verfügbar, der die entsprechenden Dienste zur Verfügung stellt.
Ich hatte dieses Prefix-Problem schon vor Jahren gelöst, in dem er von einem meiner Server nach einer Änderung via SSH auf meine Web-Site geschrieben wird... von da öffne ich ihn bei Bedarf einfach per Browser - also als Notausstieg, wenn ich unterwegs bin und der DynDNS (aus welchen Gründen auch immer) komplett weg ist. Und so weit ich mich erinnere, ist der Prefix bei DSL-Liteanschlüssen relativ länger konstant als bei Dual-Stack, weil die tägliche Zwangstrennung mit Vergabe neuer öffentlicher Adressen wegfällt. Da sollte bzw. kann ein neuer Prefix eigentlich nur dann passieren, wenn man den DSL-Router neu startet. Aber auch da bin ich mangels bisheriger Notwendigkeit nicht wirklich up-to-date.

BTW, ein Umstand fällt mir noch ein. Wenn man auf Reisen ist und ggf. lokal offene Gast-WLANs nutzen will, ist mit eher großer Wahrscheinlichkeit kein IPv6 verfügbar. Die werden ganz sicher keine fremden/unsicheren Gast-Geräte im gleichen Prefix-Netz zulassen. Und je nach Qualifikation des WLAN-Betreibers können die Beschränkungen so weit gehen, dass nicht mal UDP für Ports >1024 geht.

[MSfree]

Allerdings kann mein Android offensichtlich schon IPv6

IPv6 geht seit Android 2.1 (Januar 2010). Bei Apple geht IPv6 mindestens seit IOS 9 (2016)

[jochen02]

@Jochen, wenn ich das richtig erinnere, ist unter IPv6 auch nicht mehr zwingend ein DynDNS notwendig... der macht es nur komfortabler. Es bedarf nur der Kenntnis der aktuellen Site-ID (Prefix) im Heimnetz (die ersten 64 Bit). Die zweiten 64 Bit (Interface-ID) sind bei aktivierten PE immer einmal Temporär für den primären ausgehenden Traffic und einmal konstant über die MAC-Adresse vorhanden. Beide Adressen sind Internettauglich. Dann braucht es nur noch entsprechende Port-Freigabe des betroffenen PCs über seine konstante Interface-ID in der Fritzbox.

Danke für die Hinweise, ich muss noch einiges über IPv6 lernen.
Ich möchte die Verbindungen in mein Netz aber auch weiterhin ausschließlich per VPN abwickeln.

Die weiteren Beschreibungen deiner Vorgehensweise verwende ich dann auch als Suchbegriffe nach für mich verständlicher Dokumentation.

[DonaltDack]

Ich möchte die Verbindungen in mein Netz aber auch weiterhin ausschließlich per VPN abwickeln.

Das VPN hatte ich nicht ausdrücklich erwähnt, weil ich das für den Zugang vron draußen ins Heim-Netz als obligatorisch vorausgesetzt habe. Das VPN hat aber nix mit den Möglichkeiten von IPv6 zu tun, sondern lediglich damit, Zugang und Traffic zu sichern. Bevor das VPN einen plausiblen resp. sicheren Zugang etabliert, ist auf dem IP-Stack des Netzwerks schon lange eine Verbindung durchs Internet zwischen zwei Systemen hergestellt - nicht anders als mit IPv4.

[wanne]

Zu Android/Mobilfunk und IPv6:
Für LTE ist IPv6 Pflicht. ohne geht das nicht. Ob das dann auch wirklich fehlerfrei tut ist natürlich eine andere Frage. Für Deutschland gilt:
* Alle Provider unterstützen IPv6.
* Die meisten haben aber irgend welche Firewalls davor.
* Android kann zwar IPv6 hat es aber auf dem Mobilfunkinterface abgeschaltet, wenn der Provider auch IPv4 anbietet (also quasi immer).
Anschalten lässt es sich unter:
Settings->Network->Internet->[MOBILFUNKBETREIBER-☸]->Acess Point Names->APN->[MOBILFUNKBETREIBER]->APN-Protocol->IPv4/IPv6

[JTH]

Android kann zwar IPv6 hat es aber auf dem Mobilfunkinterface abgeschaltet, wenn der Provider auch IPv4 anbietet (also quasi immer).
Anschalten lässt es sich unter:
Settings->Network->Internet->[MOBILFUNKBETREIBER-☸]->Acess Point Names->APN->[MOBILFUNKBETREIBER]->APN-Protocol->IPv4/IPv6

Das kann ich so absolut nicht beobachten. Umstellen habe ich dort nichts müssen, trotzdem mobilfunke ich hier anscheinend mit einer IPv6, bevorzugt vor v4 angeblich sogar.

[cosinus]

anscheinend mit einer IPv6, bevorzugt vor v4 angeblich sogar.

Bevorzugen mittlerweile nicht alle aktuellen Betriebssysteme IPv6 wenn verfügbar? Bei Windows wurde die IPv6-Bevorzugung schon in Vista per default gesetzt.

[mat6937]

Bevorzugen mittlerweile nicht alle aktuellen Betriebssysteme IPv6 wenn verfügbar?

Wenn nicht, dann haben die (meisten) Anwendungen/Software das "Fast Fallback" implementiert.

[mat6937]

... der Provider auch IPv4 anbietet (also quasi immer).

Ja, aber nicht immer als "natives IPv4", sondern immer mehr als CGN, oder?