IPv6 Home-Server - Zukunft?

[Crys]

Danke euch!

VPN (WG und IPsec) funktionieren seit Version 7.50 über IPv6.

Interessant, das probiere ich mal aus!

... von seiner öffentlichen IP auf die IP im Heimnetz.

Aber das bedeutet, ich benötige denoch eine öffentliche IPv4 z.B. von einem vServer?

 

[riversource]

Ja, ein VPS. Virtual Private Server. Davon rede ich. Du hattest ihn oben schon mal erwähnt im Zusammenhang mit einem Port-Tunnel. Aber warum sich mit TCP und IPv6 Freigaben herumschlagen, wenn man auch das volle Programm haben kann - und noch einen sicheren Heimnetzzugang als kostenlose Dreingabe bekommt?

 

[Crys]

@riversource Vielen Dank! Ich habe nicht realisiert, dass mit VPS und vServer dasselbe sind.
Du hast vollkommen recht, wenn dann alle Vorteile mitnehmen.

Kann man so (VPS mit VPN) mehrere Domains (zu unterschiedlichen IPv6) gleichzeitig weiterleiten lassen? Je Domain eine IPv4?

 

[riversource]

Theoretisch schon. Aber es wird komplexer.

Der VPS hat ja erst mal den Vorteil einer öffentlichen IPv4 Adresse - also keine Klimmzüge mit IPv6 auf IPv4 Umsetzungen.

Klar kann man sich was bauen, wenn man verschiedene Domains hat. Wenn man gleichzeitig auch mehrere IPv4 Adressen hat, wird es einfacher. Aber auch mit mehreren IPv6 Adressen geht es, z.B. dann mit socat. Aber da muss man schon ein wenig Hirnschmalz reinstecken.

 

[mgutt]

Cloudflare

• - US-Unternehmen
• - nur HTTP/S, nur TCP
• - keine andere Protokolle oder Ports (kein ftp, pop, smtp, telnet, ...) (ssh nur beschränkt über Umwege)

Cloudflare erlaubt übrigens keine Mediendateien / Streams, weshalb beim kostenlosen Account der Proxy nicht für Nextcloud oder Plex verwendet werden darf. Für mich ist Cloudflare daher gar keine Option.

Deutsche Glasfaser habe ich mal wegen IPv4 gefragt: 170 € pro Monat für die langsamste Bandbreite (300 MBit/s). Wohlgemerkt ohne Telefon.

Ich überlege mittlerweile Telekom und DF parallel zu buchen und meinen Domains die IPv4 des Telekom-Anschlusses und die IPv6 vom DF-Anschlusss zu geben.

Witzig ist ja, dass zb Congstar DSL ausschließlich IPv4 unterstützt. 🤪

 

[LieberNetterFlo]

Habt ihr schon Mal an ein overlay Netzwerk gedacht ala Tailscale oder Zerotier? Glaube Cloudflare bietet das auch an. Der Traffic ist encrypted zwischen den nodes aber der C&C server läuft bei denen bzw. In einem Fall auch auf den eigenen vServer

 

[Holzkopf]

Wer einen (v)Server hat kann auch ein eigenen Proxy hosten. Da gibts z.b. nginxProxy, HAProxy, Traefik

 

[mgutt]

nginxProxy, HAProxy, Traefik

Das ist denke ich auch nicht das Problem. UDP beim Game Servern ist zb so eine Sache.

 

[StefanArbe]

Habt ihr schon Mal an ein overlay Netzwerk gedacht ala Tailscale oder Zerotier? Glaube Cloudflare bietet das auch an. Der Traffic ist encrypted zwischen den nodes aber der C&C server läuft bei denen bzw. In einem Fall auch auf den eigenen vServer

ich habe genau heute mit cloudflare gestartet.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

ein zugangscode wird ber email gesendet. ohne cloudflare hätte ich das nicht einrichten können.

 

[Crys]

ich habe genau heute mit cloudflare gestartet.

Interessant. Mit Cloudflare Tunnel mache ich das schon sehr lange. Aber noch nie mit ZeroTrust Account.
Bei mir ging das alles per "normalen" Cloudflare Account und den Rest per cli.

Cloudflare erlaubt übrigens keine Mediendateien / Streams, weshalb beim kostenlosen Account der Proxy nicht für Nextcloud oder Plex verwendet werden darf.

Sehr interessant. Konnte dazu nichts (auf die Schnelle) im Internet finden. Da gefühlt etliche tausend Leute Cloudflare für Nextcloud verwenden. Hatte auch mit dem offiziellen Cloudflare Support schon geschrieben (mit dem Hinweis, dass ich Nextcloud verwende) und es kam nichts Negatives, kein Hinweis, dass es nicht erlaubt ist.

Klar kann man sich was bauen, [...]. Aber da muss man schon ein wenig Hirnschmalz reinstecken.

Die Frage ist ja wie? Welches Programm? 😅

 

[riversource]

Naja, wenn du mehrere Domains benutzt, die auf verschiedenen IPv6 Adressen landen, dann kommen die Anfragen auf dem VPS auf IPv6 an. Das Ziel des VPS ist ja eigentlich, den Zugriff über IPv4 zu realisieren. Wenn es über IPv6 gehen kann, dann kannst du auch direkt nach Hause zugreifen lassen. Ich glaube nicht, dass eine VPS Lösung den Aufwand rechtfertigt. Der Gewinn ist klein gegenüber dem Zugriff direkt auf dein Heimnetz.

Theoretisch geht es aber. Wenn du mehrere Domains hast, die auf verschiedene IPv6 Adressen zeigen, dann kommen auf deinem VPS die Anfragen auf IPv6 an. Deine Server im Heimnetz über einen Tunnel erreichst du üblicherweise über IPv4. Dafür musst du einen Umsetzer von IPv6 auf IPv4 bauen, z.B. mit socat. socat Anleitungen gibt es im Netz wie Sand am Meer, das können andere besser, als ich. Einfach mal googlen. Damit kann man UDP, TCP etc. sehr komfortabel und umfangreich weiterleiten.

Theoretisch kannst du natürlich auch den Tunnel IPv6 tauglich machen und darüber arbeiten. Ändert aber nichts an der Vorgehensweise.

Aber das klappt alles nicht, wenn der Client nur eine IPv4 Adresse hat. Und das war ja die Ausgangsfrage.

 

[Crys]

@riversource sorry, aber ich weiß nicht, ob wir hier dieselbe Sprache sprechen 😅

Ein Beispiel:
Client geht auf http://example.com, dass geht per A-AAAA DNS an meinen VPS (deshalb egal ob IPv6 oder IPv4). Der apache2 macht einen Proxy auf die (only-)IPv6 Adresse von meinem Heim-Server. Fertig. So funktioniert das gerade schon produktiv bei mir.
Wenn der Client http://sub.example.com aufruft, geht das per vhost an eine andere IP oder ein anderes Port (einer beliebigen IP).

Wie geht dies aber mit ssh, ftp, ... allen anderen Ports?

 

[riversource]

Wie geht dies aber mit ssh, ftp, ... allen anderen Ports?

Deshalb würde ich keinen Proxy verwenden, sondern ein VPN zwischen VPS und zu Hause und dann mit Portweiterleitungen arbeiten.

 

[Crys]

Da habe ich aber ein Verständnisproblem: Wenn ich ein VPS habe und ein IPv6-Only-Server, dann fungiert der VPS (per VPN) einfach als Internetzugang!?
Wenn ich aber einen VPS habe und mehrere IPv6-Only-Server, sind dann nicht alle IPv6-Only-Server im selben Netzwerk!? Oder ganz simpel gefragt, woher wissen dann die Daten, in welchen Tunnel sie gehen sollen?

Ich benötige ja eine Art Domain-Weiche!? Alles was als example1.com angesprochen wird, geht durch Tunnel 1, usw.

 

[riversource]

Es geht schon noch darum, die fehlende öffentliche IPv4 an deinem Heimnetz zu kompensieren, oder? Weil viele deiner Fragen gehen im Moment in eine andere Richtung.

Da habe ich aber ein Verständnisproblem: Wenn ich ein VPS habe und ein IPv6-Only-Server, dann fungiert der VPS (per VPN) einfach als Internetzugang!?

Naja, der VPS hat halt die öffentliche IPv4 Adresse, die du für den Zugriff von außen nutzen willst. Im weitesten Sinne ersetzt das die öffentliche IPv4 deines Internetzugangs zu Hause.

Wenn ich aber einen VPS habe und mehrere IPv6-Only-Server, sind dann nicht alle IPv6-Only-Server im selben Netzwerk!?

Weiß ich nicht. Wenn du es nicht weiß, wer dann? Wenn sie alle hinter deinem Internet-Anschluss hängen, dann sind sie vermutlich alle im selben Netzwerk.

Oder ganz simpel gefragt, woher wissen dann die Daten, in welchen Tunnel sie gehen sollen?

Gibts denn mehrere Tunnel? Wenn es nur darum geht, die Geräte in deinem Heimnetz von außen verfügbar zu machen, gibt es ja nur einen Tunnel.

Ich benötige ja eine Art Domain-Weiche!? Alles was als example1.com angesprochen wird, geht durch Tunnel 1, usw.

Grundsätzlich kannst du per iptables präzise festlegen, welcher Port von welcher Quelladresse auf welchen Port auf welcher Zieladresse geleitet wird. Wenn du nur eine öffentliche IPv4 hast, ist es nicht so ohne weiteres möglich, Domains zu unterscheiden. Das würde aber bei einer Portweiterleitung auf deinem Heimrouter auch nicht gehen. Da gibt es eine dyndns Adresse, und darüber greifst du zu, und die Dienste unterscheidest du durch die Ports.

 

[mgutt]

Konnte dazu nichts (auf die Schnelle) im Internet finden.

Siehe 2.8 "non-html" Content ist nur bei paid Services erlaubt:
https://www.cloudflare.com/de-de/terms/

 

[Web-Schecki]

Wie geht dies aber mit ssh, ftp, ... allen anderen Ports?

Ich benötige ja eine Art Domain-Weiche!? Alles was als example1.com angesprochen wird, geht durch Tunnel 1, usw.

@riversource hat das ja schon erklärt, aber ich würde hier gerne technisch noch ein bisschen mehr klugscheißen - vielleicht hilft dir das ja sogar.
Grundsätzlich siehst der Host bei einem eingehenden TCP/IP-Paket nur die Quelladresse, den Quellport, die Zieladresse (er selbst) und den Zielport. Und eben die Nutzlast.
Als Client kannst du keine Pakete an Domain-Namen schicken, sondern nur an eine IP-Adresse und einen Port. Hast du nur eine Domain-Namen und keine IP-Adresse, dann musst du den Namen (z.B.) per DNS auflösen, bevor du das eigentliche Paket an den Host schicken kannst. Und der bekommt davon überhaupt nichts mit.

Der Trick bei HTTP ist, dass die eingegebene Domain in der Nutzlast (genau genommen im HTTP-Header der Anfrage) übertragen wird. Ein HTTP-Server kann damit dann entsprechend umgehen.

 

[Crys]

Vielen Dank euch allen!

Ich hab mal etwas gemalt 😅

Der IPv4-Client wäht eine meiner Domains an, der DNS löst per A Record auf meinen vServer auf, dieser leitet an meine Heim-Server weiter.
Der IPv6-Client kann direkt auf die Heim-Server zugreifen. Soweit korrekt?

Wenn ich per Mapper weiterleite, geht aber der ganze Traffic nur an einen Heim-Server!?
socat TCP4-LISTEN:Port,fork TCP6:[IPv6]:Port

 

[riversource]

Wenn ich per Mapper weiterleite, geht aber der ganze Traffic nur an einen Heim-Server!?

Nein, nicht unbedingt. Man kann pro Port natürlich unterschiedliche Ziele angeben.

Man kann natürlich nicht die gleiche Portnummer an unterschiedliche Ziele weiterleiten. Wenn du heute einen http Proxy einsetz, dann lauscht der z.B. auf Port 443 und kann in Abhängigkeit von der Domain, die aufgerufen wurde, auf unterschiedliche Server weiterleiten. Das geht mit socat nicht. Dafür kann socat auch SSH, VNC, RDP oder andere Dienste weiterleiten. Wobei man sich gut überlegen sollte, welche Dienste man frei ins Internet hängt, und welche man nur über ein VPN zugänglich macht.

Dein vServer hat 2 IPv4 Adressen und die Server stehen an 2 Standorten, jeweils mit eigenem Router?

 

[Crys]

Man kann natürlich nicht die gleiche Portnummer an unterschiedliche Ziele weiterleiten

Das ist ja das essenzielle. Gerade Port 80/443 wird immer benötigt

Dein vServer hat 2 IPv4 Adressen und die Server stehen an 2 Standorten, jeweils mit eigenem Router?

Aktuell hat der vServer 1x IPv4, aber ich kann (unbegrenzt) IPv4 zu buchen.
Alle Heim-Server sind an anderen Standorten, jeweils hinter einem Router.