IPv6 & DDNS

[Bob.Dig]

Mal eine theoretische Frage zu dieser Konstellation.

Wenn ich zu Hause in meinem LAN mehrere "Server" betreibe und diese mittels DDNS erreichbar machen will, dann brauche ich auch mehrere DDNS Clients zur Aktualisierung, richtig? Nämlich auf jedem Rechner einen. Welche WAN-IPv6 wird dann eigentlich übermittelt, die mit Privacy Extension oder die ohne? Dass dann alle die selbe IPv4 Adresse haben dürfte vermutlich unschädlich sein.

Wenn ich mich recht an eine ältere Diskussion hier erinnere dann verteilt mein Router im Normalfall die IPv6 Adressen, zumindest den letzteren Teil. Dann wäre ja eigentlich der Router auch in der Lage und am besten geeignet die DDNS-Aktualisierung für die verschiedenen IPv6 Adressen wahrzunehmen. Gibt es schon (Heim-)Router die so etwas anbieten?

 

[Helge01]

Es wird keine WAN IPv6 Adresse übermittelt, sondern die IPv6 Adresse des jeweiligen Server, natürlich nicht die mit Privacy Extension.

Wenn es hauptsächlich Webserver betrifft, ist es einfacher einen HA-Proxy zu betreiben. Dadurch muss man nur die IPv6 Adresse des Proxy an den DynDNS Dienst übermitteln, intern kann man dann weiter mit IPv4 arbeiten.

 

[Bob.Dig]

Es wird keine WAN IPv6 Adresse übermittelt, sondern die IPv6 Adresse des jeweiligen Server, natürlich nicht die mit Privacy Extension.

Denke schon, dass man hier von WAN-Adresse sprechen kann, schließlich gibt es auch private IPv6-Adressen, die nur im LAN funktionieren (Achtung alles IPv6 Halbwissen auf meiner Seite).

Und mir ginge es nicht nur um Webserver sondern verschiedene Dienste, bei mir wäre das Web(NextCloud), E-Mail, FTP usw. aber alles von einem Laien betrieben, also einfach einen Proxy dazwischen schieben könnte ich erst mal nicht.

Und ich würde die Fragestellung noch erweitern wollen, wie sieht es mit LE- Zertifikaten aus? Da bräuchte ich dann natürlich auch für jeden Server sein eigenes. Gäbe es da noch weitere Probleme außer die Tatsache an sich?

 

[Cokocool]

kann, schließlich gibt es auch private IPv6-Adressen, die nur im LAN funktionieren (Achtung:Halbwissen).

Ist richtig so. Folgende sind es

• Link Local
• Unique Local Unicast
  

 

[Helge01]

Jeder Server / Client oder Router / Proxy usw. bekommt eine eigene öffentliche IPv6 Adresse. Jeder Schnittstelle wird dadurch meist mehrere IPv6 Adressen zugeordnet (z.B. öffentliche, private und Privacy Extension). Die WAN IPv6 Adresse nützt dir nur was, wenn du den Router selbst per IPv6 erreichen möchtest, oder auf dem Router der HA-Proxy läuft.

Auf die LE Zertifikate hat IPv6 keinen Einfluss, da man ja normal einen DNS Namen angibt und nicht die IP Adresse.

 

[Bob.Dig]

Also über die Definition einer WAN-Adresse kann man wohl streiten, nennen wir sie jetzt einfach öffentliche Adressen, ich möchte die Aufmerksamkeit zurück auf die noch unbeantwortete Frage im ersten Beitrag lenken, insbesondere aus dem zweiten Absatz.

Wenn ich mich recht an eine ältere Diskussion hier erinnere dann verteilt mein Router im Normalfall die IPv6 Adressen, zumindest den letzteren Teil. Dann wäre ja eigentlich der Router auch in der Lage und am besten geeignet die DDNS-Aktualisierung für die verschiedenen IPv6 Adressen wahrzunehmen. Gibt es schon (Heim-)Router die so etwas anbieten?

 

[d2boxSteve]

Die Link Local Adresse fe80... Wird nur verwendet, wenn das Ziel auch lokal am Switch hängt.

Wenn der Server "sein Netz zieltechnisch verlässt" nimmt er seine vom Router zugewiesene IP und die ist prinzipiell auch aus dem Internet erreichbar (außer eine Firewallfunktion auf deinem Router blockiert das).
Mit ipv6 sind quasi alle Geräte direkt im Internet. Üblicherweise blockieren Router aber den ipv6-Traffic von Außen nach innen. Bei ipv4 muss ja explizit ein Forward eingerichtet werden wegen der RFC Adressen intern.

 

[Helge01]

Also über die Definition einer WAN-Adresse kann man wohl streiten, nennen wir sie jetzt einfach öffentliche Adressen, ich möchte die Aufmerksamkeit zurück auf die noch unbeantworteten Fragen im ersten Beitrag lenken, danke.

Auch wenn es dir nicht gefällt, jedes Gerät hat eine eigene WAN IPv6 Adresse.

Dadurch muss jedes Gerät seine öffentliche (WAN) IPv6 Adresse dem DynDNS Dienst mitteilen. Ich hatte früher auf jedem Server einen Script laufen, der die jeweilige Schnittstelle mit dem im DNS hinterlegten IPv6 Adresse überwacht und bei Änderung diese dem DynDNS Dienst mitteilt. Das ist mir aber Dauer zu umständlich gewesen, deswegen der Tip mit einem Proxy. Damit überwacht man nur noch eine Schnittstelle und muss damit auch nur eine öffentliche IPv6 Adresse dem DynDNS Anbieter mitteilen. Diese IPv6 Adresse ist dann für alle Domains gültig. Die Unterscheidung der Domains regelt der Proxy selbst.

 

[Bob.Dig]

Auch wenn es dir nicht gefällt, jedes Gerät hat eine eigene WAN IPv6 Adresse.

Das genau hatte ich doch geschrieben, Du hast dem doch widersprochen.

Es wird keine WAN IPv6 Adresse übermittelt, sondern die IPv6 Adresse des jeweiligen Server, natürlich nicht die mit Privacy Extension.

 

[d2boxSteve]

Zum Thema Privacy Extension: ohne die wird dem Server eine ipv6-IP gegeben die im hintern Teil der Einfachheit halber seine MAC Adresse enthält. Damit sind quasi alle vergebenen IPv6 des Routers "eindeutig". Ist Privacy Extension im Router an dann generiert er random IPv6 Adressen die nicht auf die MAC Adresse schließen lassen.

Übermittelt wird sie in beiden Fällen.

Ergänzung (20. November 2018)

Wo hat er wiedersprochen?

Bei ipv6 hat ein Server auch üblicherweise mehrere IP's.

 

[Bob.Dig]

Wo hat er wiedersprochen?

Bei ipv6 hat ein Server auch üblicherweise mehrere IP's.

Er hat nicht wiedersprochen sondern widersprochen und wo ist eigentlich die Lesekompetenz hin...

 

[d2boxSteve]

Es gibt keine "WAN IPv6", es gibt nur IPv6 und und davon werden jene die mit fe80... beginnen Link Local genannt und nicht im Internet geroutet. Alle anderen sind echte Internet IP's.
Nochmal, wo hat er widersprochen?

 

[Bob.Dig]

Einzig offen ist ja noch meine Frage ob es (Home-)Router gibt, die DDNS für die verschiedenen öffentlichen (von mir WAN- genannten) IPs machen können.

Wenn ich mich recht an eine ältere Diskussion hier erinnere dann verteilt mein Router im Normalfall die IPv6 Adressen, zumindest den letzteren Teil. Dann wäre ja eigentlich der Router auch in der Lage und am besten geeignet die DDNS-Aktualisierung für die verschiedenen IPv6 Adressen wahrzunehmen. Gibt es schon (Heim-)Router die so etwas anbieten?

Ergänzung (20. November 2018)

Dadurch muss jedes Gerät seine öffentliche (WAN) IPv6 Adresse dem DynDNS Dienst mitteilen. Ich hatte früher auf jedem Server einen Script laufen, der die jeweilige Schnittstelle mit dem im DNS hinterlegten IPv6 Adresse überwacht und bei Änderung diese dem DynDNS Dienst mitteilt. Das ist mir aber Dauer zu umständlich gewesen, deswegen der Tip mit einem Proxy. Damit überwacht man nur noch eine Schnittstelle und muss damit auch nur eine öffentliche IPv6 Adresse dem DynDNS Anbieter mitteilen. Diese IPv6 Adresse ist dann für alle Domains gültig. Die Unterscheidung der Domains regelt der Proxy selbst.

Das klingt doch genau interessant. Der Proxy funktioniert dann irgendwie ähnlich wie die NAT-Geschichte unter IPv4? Könnte ich einen Proxy für alle Protokolle/Ports benutzen statt nur für Web?

 

[d2boxSteve]

Es müsste für verschiedene Betriebssysteme kleine Tools geben mit denen jeder Server für sich seine eigene IP seinem eigenen Namen bei DDNS melden kann. Ich würd den Teil so lösen.

 

[Bob.Dig]

Es müsste für verschiedene Betriebssysteme kleine Tools geben mit denen jeder Server für sich seine eigene IP seinem eigenen Namen bei DDNS melden kann. Ich würd den Teil so lösen.

Aber elegant wäre halt anders. Es sollte im Router verortet sein oder eine einfache Proxy-Lösung à la NAT (auch wenn technisch falsch, ich denke der geneigte Leser versteht mich...).

 

[d2boxSteve]

NAT gibts bei IPv6 in der Form ja auch nicht mehr weils nicht mehr nötig ist. Du bist mit IPv6 ja bereits direkt im Internet.
Das mit dem Proxy war befürchte so gemeint, daß wenn du surfst nicht deine IPv6 sondern die vom Proxy an den Zielwebserver gegeben wird.
Dienste von Außen über Proxy ansprechen ist mir zumindest nicht bekannt ...

Ergänzung (20. November 2018)

Dazu kommt, der Router kennt die genaue IP des Servers ja eh nicht. Der Router gibt dem Netz nur den Prefix, also den ersten Teil und die Server/PC's selbst generieren den Rest entweder mit MAC oder wenn Privacy Extension an ist mit etwas Zufälligem.

 

[Helge01]

Einfach ist nicht
Genau, der Proxy befindet sich im eigenem Netz (bevorzugt auf dem Router) und nimmt alle IPv6 Anfragen entgegen und leitet die dann per IPv4 an das jeweilige Back-End weiter.

Für den Heimgebrauch wäre eine pfSense mit HA-Proxy und ACME für die LE-Zertifikate ideal.

 

[Bob.Dig]

Dazu kommt, der Router kennt die genaue IP des Servers ja eh nicht. Der Router gibt dem Netz nur den Prefix, also den ersten Teil und die Server/PC's selbst generieren den Rest entweder mit MAC oder wenn Privacy Extension an ist mit etwas Zufälligem.

und nimmt alle IPv6 Anfragen entgegen und leitet die dann per IPv4 an das jeweilige Back-End weiter.

Mir war aus einer früheren von mit angezettelten Diskussion zu IPv6 hier so, dass der Router die IP-Adressen im Idealfall vergibt... Aber ihr scheint dem beide zu widersprechen. Aber zumindest kennen sollte der Router doch sämtliche IPs? Jetzt bin ich doch etwas entsetzt.

 

[Helge01]

Je nach dem kann es sein, dass der Router die IPv6 Adresse per DHCPv6 oder RA vergibt (muss aber nicht). Das ist etwas abhängig ob man einen statischen IPv6 Adressbereich von seinem Provider bekommt oder nicht.

Bekommt man einen statischen IPv6 Bereich dann kann man die Adressen für jedes Gerät manuell fest vergeben. Bei einer dynamischen Zuordnung muss der Router über DHCPv6 oder RA für die Vergabe sorgen. Jede Netzwerkschnittstelle kann aber eine IPv4 Adresse und mehrere IPv6 Adressen haben.

 

[d2boxSteve]

Da er den Internettraffic macht kennt er in der ARP Tabelle die MAC und die IP, aber er weiß nicht welcher Server das ist. Das ist OSI Layer 2 und wird benötigt, die Pakete die aus dem Internet kommen zuzustellen.