Fritz!Box - 2 externe IPs?

[Master-Rudi]

Hallo zusammen,

ich habe mit meiner neuen Fritzbox ein Problem. Ich bin vor kurzem von einem Speedport auf eine Fritzbox gewechselt und habe meine internen IPs alle umgestellt und meinen Server wieder online gebracht. Leider scheitere ich daran nextcloud mit dem nginx Proxy Manager wieder ans laufen zu bringen.
Ich bekomme zum einen kein neues SSL Zertifikat erstellt und zum anderen kann ich über DuckDNS nicht auf den Server verbinden. Die Ports in den Fritzbox habe ich meiner Meinung nach richtig freigegeben.

Was mir jedoch aufgefallen ist, ist dass ich zwei externe IPs habe. Die IP die an DuckDNS gesendet wird und die mir bei wasistmeineip.de angezeigt wird (156.67.xxx.xxx) , ist anders als die IP, die mir die Fritzbox in der Kategorie Portforwarding (100.91.xxx.xxx) anzeigt.

Wie kann das sein?! Das würde erklären, weshalb ich nicht von extern auf meine Nextcloud komme...

 

[bin/bash]

Was steht denn unter Online Monitor für eine IP-Adresse ? Das sollte die richtige, öffentliche, sein.

 

[prian]

Also bei mir ist diese Adresse immer die aktuelle IP die ich vom Provider (Telekom) bekomme.
Was kommt wenn Du rechts auf den Bleistift klickst?
Was passiert wenn Du die Freigabe (z.B. Port 80) entfernst und neu anlegst?
Bei der Anlage selbst kann und muss man die externe IP ja nicht angeben.

 

[gbene]

Hi, dein Internetanschluss wird wohl bei IPv4 per Carrier Grade NAT nach extern weitergeleitet. Die 100.91…. Ist eine private IP für Carrier und ISPs: https://de.wikipedia.org/wiki/Private_IP-Adresse#Shared_Address

Du kannst also gar nicht von Extern per IPv4 auf deinen Router zugreifen. Per IPv6 könnte es funktionieren. Deine IPv4 Adresse teilst du dir mit mehrere anderen Kunden.
Du kannst ansonsten auch einen VPN Tunnel zu einem Endpunkt aufbauen, der eine statische IPv4 Adresse hat und von extern dort drauf zugreifen und dann über den VPN Tunnel auf dein Heimnetzwerk.

 

[Der Lord]

Genau wie @gbene sagt. Provider scheint Inexio zu sein (https://ipinfo.io/AS42652), soweit mir bekannt wird dort DS-Lite geschaltet.
Was mich nur wundert: es klingt im Eingangspost so, als ob es vorher geklappt hat. Liegt hier ggf. gleichzeitig mit dem Routertausch ein Provider- oder Produktwechsel vor? Würde erklären, wieso es "plötzlich" DS-Lite ist.

PS: Davon abgesehen würde ich ein VPN so oder so bevorzugen statt meine Geräte und Services per Portweiterleitung direkt ins WAN zu pusten. Ist dann doch mal ne deutliche Spur sicherer.

 

[bezelbube]

Gebe erstmal in der Eingabeaufforderung mit Adminrechten den Befehl "ipconfig /all" ein.
Bitte davon ein Screenshot posten.
Anhand der IP Nummern kann man sich erstmal einen gewissen Einblick deines Netzwerks
erlauben.

 

[omavoss]

Ich bin vor kurzem von einem Speedport auf eine Fritzbox gewechselt und habe meine internen IPs alle umgestellt und meinen Server wieder online gebracht.

Warum hast Du nicht einfach Dein LAN unangetastet gelassen und stattdessen die Fritzbox umkonfiguriert? Es wäre wesentlich einfacher gewesen, der Fritzbox diejenige IP-Adresse zu vergeben, die vorher der Speedport hatte.

 

[Master-Rudi]

@gbene und @Der Lord :

Danke, das wusste ich nicht. Ja mein Provider ist seit einer Woche inexio. Ich habe von der Telekom zu Inexio gewechselt. Daher auch der Wechsel von Speedport zu FritzBox.

Der Vorteil am Reverse Proxy für Nextcloud ist halt, dass ich leichter Links versenden kann, um Freunden zu erlauben Bilder auf meinen Server zu laden. Das geht ja nur so, oder geht das auch mit VPN?

Für mein Smarthome nutze ich einen VPN bisher, den muss ich aber erst noch neu einrichten.

Warum hast Du nicht einfach Dein LAN unangetastet gelassen und stattdessen die Fritzbox umkonfiguriert? Es wäre wesentlich einfacher gewesen, der Fritzbox diejenige IP-Adresse zu vergeben, die vorher der Speedport hatte.

Weil ich den Umzug zum Anlass genommen habe, einmal grundlegend aufzuräumen und neu zu strukturieren

Was steht denn unter Online Monitor für eine IP-Adresse ? Das sollte die richtige, öffentliche, sein.

Da steht die 100.91.xxx.xxx Das hilft mir aber nicht, da ich diese aktuell nicht zu DuckDNS übertragen bekomme. Wenn ich diese IP nutze, dann komm ich von außen auch in meine Cloud. Aber eben nicht per DNS

 

[SubNatural]

VPN wird mit DS-Lite auch nicht funktionieren.
https://avm.de/service/wissensdaten...-zur-FRITZ-Box-mit-IPv6-oder-DS-Lite-moglich/

 

[Master-Rudi]

VPN wird mit DS-Lite auch nicht funktionieren.
https://avm.de/service/wissensdaten...-zur-FRITZ-Box-mit-IPv6-oder-DS-Lite-moglich/

😩

Endlich Glasfaser FTTH und dann komm ich nicht mehr von außen auf meinen Server

 

[Der Lord]

Es muss ja nicht Fritz-VPN sein. Einfach ne kleine VM oder einen Raspi mit Wireguard aufsetzen und dann klappt VPN auch per IPv6 - und sogar deutlich performanter als mit Fritz-VPN.

Und ja, wenn du fremden/wechselnden Leuten Zugriff geben möchtest, ist VPN für diese etwas blöd. Dann schau dass dein nginx auch IPv6 spricht und gib den Zugriff eben per IPv6 frei. Die meisten Clients sollten damit klarkommen. Myfritz kann auch IPv6, klappt wenn einem die gebotenen Features ausreichen sehr gut.

PS: echt ärgerlich, dass du mit FTTH nun so eine Einschränkung hast. Bei Telekom-FTTH erhält man glücklicherweise weiterhin einen normalen DS-Anschluss - d.h. auch mit routbarer IPv4.

 

[Moeller13]

Ruf mal deinen Provider an und frag nach einer öffentlichen IPv4. Ggfs. schilderst du noch deinen Usecase.

Ich hatte das gleiche Problem und mein Provider hat mir ohne zu murren weitergeholfen

 

[Master-Rudi]

Ich seh gerade, dass Inexio für schlappe 1,95€ im MONAT eine öffentliche IPv4 anbietet...

https://extapi.gw.inexio.net/publicDocuments.php/getDocument?name=Preisliste Privatkunden

Ich werde mal testen, ob ich mit der IPv6 auch klar komme für meine wenigen Anwendungen und dann sehen wir weiter...

Ja das ist echt ärgerlich. Aber lieber 500.000 FTTH (mit Option auf 1 Gbit) anstatt DSL 2000 mit LTE Hybrid Tunnel von der Telekom :-)

 

[h3@d1355_h0r53]

Die FRITZ!Box sollte einen DyDNS Dienst an Board haben, also direkt von AVM. Über den sollte es klappen von außen zuzugreifen, zumindest mit IPv6.
Wenn du eigene Domain hast kannst du ggf. auch direkt darauf umleiten in und es steht trotzdem dein Domainname dran. Ist allerdings keine ganz saubere Lösung und nicht alle Domainanbieter bieten dir an eine URL statt richtigerweise eine IP einzutragen in den Domain Einstellungen. Ansonsten eben Weiterleitung auf die Fritz Domain von deiner richtigen Domain.
Versichere dich dann aber auch, dass dein Server oder Nextxloud und weitere Geräte wie Repeater IPv6 können sonst klappt es nicht.

Alternativ beim Provider anrufen und darum bitten auf Dual Stack umzustellen weil du Homeoffice hast und VPN brauchst von unterwegs als Begründung zum Beispiel wenn gefragt wird. Es stellen nicht alle Provider gerne um oder nur Business Tarife.

VPN ist völlig sinnlos wenn du Freigaben an andere erstellen möchtest. Wichtig ist nur, dass dein Server System aktuell ist und das Passwort gut ist, also 30 Zeichen samt Sonderzeichen und bestenfalls noch Blockade bei zu vielen falschen Anmeldeversuchen in der Nextcloud.

 

[Der Lord]

Ist allerdings keine ganz saubere Lösung und nicht alle Domainanbieter bieten dir an eine URL statt richtigerweise eine IP einzutragen in den Domain Einstellungen.

In den DNS-Einstellung der Domain einfach einen CNAME-Record (home.domain.tld) auf die lange myfritz-Domain (xxxxxxxxxxxxxx.myfritz.net) setzen. Ist absolut sauber und RFC-konform.

bestenfalls noch Blockade bei zu vielen falschen Anmeldeversuchen in der Nextcloud.

+1.
für fail2ban gibts auch nextcloud-Jails - absolutes Muss wenn eine Nextcloud am öffentlichen Netz hängt. Dazu noch weitere Absicherungen des Servers, aber das ist ja hier nicht wirklich das Thema gerade.

Aber lieber 500.000 FTTH (mit Option auf 1 Gbit) anstatt DSL 2000 mit LTE Hybrid Tunnel von der Telekom :-)

Kann ich absolut verstehen. Da würde ich auch nicht lange fackeln und wäre auch gewechselt. (bei mir ist's genau andersrum, FTTH bietet hier nur die Telekom an und daher bin ich halt dort )
Beschäftige dich einfach ein wenig mit IPv6, das ist auch kein Hexenwerk. Irgendwann kommt man eh nicht mehr drum rum Dank Mangel an freien IPv4-Adressen. Und da man sich irgendwann eh zwangsläufig damit beschäftigen muss, mach ich das sogar freiwillig und biete IPv6 neben IPv4 an - trotz DS-Anschluss.

Viel Erfolg! Bei Fragen weißt du ja wo du uns findest.

 

[h3@d1355_h0r53]

@Der Lord Da hast du recht. Ich glaube es war A Record oder was anderes, was nur auf IP zeigen darf. Manche Hoster erlauben hier aber auch eine Domain, was eben nicht mehr konform ist.
Das ist Offtopic, aber bei mir läuft die Synology über eine eigene .de Domain. Aber bei einem anderen Hoster liegt noch eine andere Domain für Webseite und Email und die Synology übernimmt den E-Mail Server. Natürlich mit dynamischen DNS Dienst dazwischen. Der E-Mail Hoster erlaubte es richtigerweise nicht auf eine Domain zu zeigen, der andere Anbieter schon und tatsächlich gäbe es dafür auch Anwendungsfälle. Auf jeden Fall kann man da viel lernen und viel falsch machen. Gerade wenn man die Domain z.B. umzieht und der neue Anbieter dann konform arbeitet kann das zum Problem werden.

Wirklich wichtig ist aber IPv6 Geräte zu nutzen bei DynDNS an DS Lite. Hatte selbst einen Access Point der kein IPv6 kann. Alles funktionierte an der Fritzbox angeschlossen aber nicht über Access Point. Der Access Point bekommt dann eine IPv6 seitens der Fritzbox zugewiesen, Portweiterleitungen unter IPv6 darauf funktionieren aber nicht und wenn alle Ports im IPv4 Bereich von der Fritzbox eingestellt ist geht es auch wenn alles IPv6 kann. Hat mich Tage gekostet rauszufinden dass der Access Point das Problem war und warum.

 

[Der Lord]

Ich glaube es war A Record oder was anderes, was nur auf IP zeigen darf.

Richtig.
A-Record -> IPv4
AAAA-Record -> IPv6
CNAME -> FQDN
Wenn ein Anbieter bei einem A-Record einen FQDN akzeptiert, ist das von ihm schlicht falsch. Vermutlich wird aber dann das GUI einfach nur dau-freundlich sein und im Hintergrund wird stattdessen korrekterweise ein CNAME-Record gesetzt.
Dazu kommen noch andere Späße, z.B.: einige DNS-Anbieter erlauben CNAME-Records direkt auf der Stammdomain (example.net), obwohl dies laut RFC nur bei Subdomains (sub.example.net) zulässig ist (Lesestoff).
Also ja, man sieht schnell, dass DNS allein Thema für sich ist.

 

[h3@d1355_h0r53]

Ganz genau. Und wechselt man und der neue Anbieter macht es richtig steht man ggf. doof da.
Interessant fand ich die Mailserver Konfiguration mit Backup Mailserver. Ist meine Synology nicht erreichbar gehen die Mails beim Provider ins Webmail. Selbst bei uns auf der Arbeit hat das unser IT Dienstleister nicht hingebracht aber stellt Server für 6stellige Beträge hin.

 

[Master-Rudi]

Danke für eure Hilfe. Ich werde mich jetzt erstmal mit IPv6 beschäftigen müssen. Mit Netzwerktechnik hatte ich mich bisher nur rudimentär auseinander gesetzt und versteh nur die Grundlagen auf dem Gebiet.

Muss jetzt erstmal eine Alternative zu DuckDNS suchen, das kann schon mal kein IPv6.

Mal erstmal einlesen und hoffen ein gutes How-to zu finden :-P

 

[Der Lord]

Muss jetzt erstmal eine Alternative zu DuckDNS suchen, das kann schon mal kein IPv6.

Nimm doch einfach myfritz? Das bietet AVM doch kostenlos für seine Fritzboxen an und funktioniert super einfach.

Ansonsten kann ich dynv6.com empfehlen - den nutze ich, ist ein deutscher Anbieter mit einer super API. Aber wie gesagt, einsteigerfreundlicher ist myfritz.