IPv6 interfaces

[Crys]

Hallo miteinander,

mich quält ein Verständnisproblem zu IPv6:
ich habe verschiedene Debian und Ubuntu Geräte (Ubuntu 18, OpenHabian 3, PiHole, LibreElec, ...) die alle hinter einem Router (Fritz!Box Cabel) sitzen. Es gibt nach extern nur IPv6 (und so virtueller iPv4). Deshalb soll alles nach außen hin mit iPv6 angesprochen werden.

Das Schema von iPv6 ist bekannt und eine feste IP ist in der interfaces Datei (jedes Gerät seperat) eingetragen. An ansprechen von Extern funktioniert auch hin und wieder, nur habe ich festgestellt, dass die Externe IPv6 auch wechselt (z.B. 2001:0db8:85a3:0800:: zu 2001:0db8:85a3:08085:: ).
Jetzt stimmt der Prefix in den Dateien nicht mehr. Wenn ich nur den Interface-Identifier (z.B. 0:0:0:0030) eintrage wird die IP nicht angenommen.

Nächster Punkt ist, dass ich diese Geräte (diese IPs) nicht immer für das Internet freigeben möchte. Wenn ich in der Fritzbox die selbe IP festsetze und Freigebe (z.B. mit Port 80/443/22/...) sollte dieses Gerät ja unter der in der interfaces hinterlegten IPv6 erreichbar sein? Dies war bei mir noch nie der Fall, da jedes Gerät immer (?) mehrere IPv6 hat und nur hin und wieder die Random Fritzbox IPv6 freigegeben wurde.

Ich möchte nur

• lokale Geräte per IPv6 ansprechen
• diese Geräte unter einer von mir definierten IPv6 im Internet freigeben

Was mache ich falsch?

Vielen Dank.

 

[Yuuri]

Damit die Geräte im Netzwerk auch von außerhalb erreichbar sind, müsstest du erstmal ne Freigabe im Router konfigurieren. Standardmäßig geht da nichts durch. Das ist diesmal nicht durch NAT und dessen Portweiterleitungen geblockt, sondern durch die Firewall, wo das eingehende Paket einfach nicht geroutet wird (ergo heißt es jetzt Freigabe oder Freischaltung aber nicht mehr Weiterleitung).

"von dir definierten IPv6 freigeben" geht nicht, da der Präfix nun mal wechselt. Wenn du nur die Router IP per DynDNS o.ä. auflöst, bräuchtest du ein NAT mit Portforwarding, da das nun mal der Router ist. NAT ist aber ne Krücke. Ergo müsstest du für jedes Endgerät einen eigenen DynDNS-Eintrag laufen haben, wenn der Präfix nicht statisch ist und du sie per Namen ansprechen wölltest.

 

[nciht]

Dein Anschluss hat keine Statische IP. Damit kann dein Netzwerk von außen eigentlich nur erreichbar werden, wenn du einen dynamischen DNS einrichtest (gibt verschiedene Anbieter - ich nutze z.B. cloudns).

 

[UweP44]

• diese Geräte unter einer von mir definierten IPv6 im Internet freigeben

Teilt Dir dein Provider denn überhaupt eine feste IPv6 (bzw. festes Präfix) zu?

Falls Nein, dann wird sich das Präfix halt so oft ändern wie das der Provider will, bzw. sobald Du beim Provider ein neues anforderst (per "Neu Verbinden" im Fritzbox Menü).

Manche Provider teilen einem wohl so lange das gleiche Präfix zu bis man das selber ändert oder den Router neu bootet, andere ändern das alle 24 h.

 

[d2boxSteve]

Zu deinem Prefix (die vom Provider vorgegebene erste Hälfte der IPv6), dieser ist genau wie deine IPv4 IP bei jeder Einwahl absichtlich anders, eben nicht fest.
Das hat zur Folge, dass du intern gar keine festen IPv6 Adressen vergeben kannst.
Du musst deine Geräte die IPv6 automatisch beziehen lassen und hast dadurch den Nachteil/Vorteil dass du a) keine Portforwards machen kannst und b) im Internet eben schlechter trackbar bist.

Um aus dem Internet auf IPv6 bei dir zugreifen zu können bräuchtest du einen festen IPv6 Prefix. Dann könntest du intern auch feste Adressen vergeben.

Zu den mehreren Adressen pro Netzwerkkarte, ja das ist Absicht so, denn wenn der IPv6-IP-Stack startet nimmt er sich zunächst einmal immer die sogenannte "Link-Local" Adresse die mit "FE80:....." beginnt und nur lokal funktioniert (nicht routingfähig). Es ist aber egal wieviele IPv6 Adressen eine Netzwerkkarte hat, funktionieren tun immer alle.

 

[Der Lord]

bzgl dynamischer ipv6 kann ich den (deutschen) dyndns Dienst dynv6.com wärmstens empfehlen. Die Fritzbox teilt dann einfach nur das aktuelle IPv6-Prefix mit und Rest erledigt der dynv6 Dienst. Funktioniert bei mir mit einigen Linuxcontainern einwandfrei.

 

[Crys]

Danke auch allen!

Ich möchte keinen DynDNS einrichten. Hierzu habe ich schon einen Betreiber.
Ich möchte nur eines der Geräte z.B. vom Internet, außerhalb per IPv6 erreichen. Dies geht aber (meist) schon nicht lokal.

In der Fritzbox steht z.B. aktuell:

[...]
IPv6-Adresse: 2a02:####:d200::515f:f68c:bdf4:1549, Gültigkeit: 132889/46489s,
IPv6-Präfix: 2a02:####:d29a:a900::/56, Gültigkeit: 132889/46489s
[...]

Wie müsste jetzt der interfaces Eintrag für mein Gerät lauten?

iface eth0 inet6 static
    address 2a02:####:d200::0:0:0:0030/64

# so?
# Wie ohne Präfix? Da sich das Präfix ändern kann.

 

[d2boxSteve]

Nein, das obere ist die Adresse die deine Fritzbox hat, mit dem d200 in der Mitte, deine Geräre müssen den Prefix mit d29a nehmen, da liegt dein Fehler.
Netz ist dann auch "nur" /56 und GW müsste die IP der Fritzbox werden.

Ergänzung (16. Juli 2021)

Da dieser Prefix eben nicht fest ist musst du bei jeder Änderung deine Feste IP anpassen, also den Prefix-Teil..

 

[Crys]

Also ist IPv6 für lokale Sachen nur und ausschließlich Müll!?

Also nur so: (?)
Gerät -> IPv4 -> Router -> (Port-) Freigabe -> IPv6 -> Internet

 

[Holzkopf]

Musst quasi mit dyndns arbeiten wenn sich das Prefix so oft ändert.
Was die Portfreigabe angeht sollte diese schlau genug sein das prefix immer wieder selbst anzupassen.

Was das Lokale angeht nimm einfach die fe80::XXX Adressen diese ändern sich nicht
oder lass dir Unique Local Addresses austellen das quasi das equivalent zu den IPv4 Privaten adressen

 

[nciht]

Also ist IPv6 für lokale Sachen nur und ausschließlich Müll!?

Du hättest mit IPv4 quasi das gleiche Problem. Du kannst von deinem Provider eine statische (öffentliche) IPv4 IP bekommen, oder einen IPv6 Präfix. Du brauchst halt etwas um dein Netzwerk von außen identifizieren zu können. Alternativ kann man da einen DynDNS benutzen, aber wenn du das nicht willst, hast du halt keine Alternative....

 

[T3Kila]

Um das nochmal zu verdeutlichen:
1. Aufgrund des wechselnden Prefix Deines Internetanschlusses kannst Du am den Geräten im Heimnetz keine statischen externen IPv6 Adressen vergeben.
2. Daraus ergibt sich, dass das Prefix auf den Geräten sich ebenfalls dynamisch ändern muss. Also arbeite z.B. mit DHCPv6
3. Wenn Du nicht ständig aktiv manuell an den von außen zugreifenden Geräten die Adressen ändern möchtest, benutz einen DynDNS Service.

Es werden über die Fritzbox eingerichtete Freigaben über z.B. den myfritz DynDNS (hier automatisch) als Subdomain verfügbar.
Also wenn das Gerät mit dem DNS Namen "omv" in der Fritzbox eine IPv6 Freigabe erhält, ist dieses Gerät dann über den Namen omv.myfritzid.myfritz.net erreichbar.
Analog dann eben bei anderen dyndns Diensten wobei bei den meisten, glaube ich, noch ein zusätzlich manueller Eingriff für die subdomain notwendig ist.


Über IPv4 kannst Du nur noch Weiterleitungen einrichten, wenn Du KEIN DSLite am Anschluß hast. Aber selbst dann wird sich auch Deine externe IPv4 wohl hin und wieder ändern - also wohl auch DynDNS

 

[Crys]

Alternativ kann man da einen DynDNS benutzen, aber wenn du das nicht willst, hast du halt keine Alternative....

Wo habe ich das gesagt? Sicher nirgends wo, da ich auf jeden Fall meinen eigenen DynDNS verwenden möchte und muss. Nur das ist der nächste Schritt. Wie gesagt kann ich gerade gar nicht von außen (Internet) auf meine Geräte zugreifen. Dann geht selbstverständlich die Weiterleitung zum DynDNS auch nicht.

Ich habe gerade es noch einmal getestet und IPv6 im lokalen Netz ausgeschalten (bei der Fritz!Box und den Unix Geräten). Die Freigabe ist in der Fritz!Box auf die lokale IPv4 eingestellt und das Gerät per IPv4 (lokal) erreichbar. Die Freigabe klappt leider immer noch nicht ...
Die Fritz!Box gibt zur Freigabe auch eine IPv6 aus (den Interface-Identifier habe ich festgesetzt: 0:0:0:0030). Wenn ich diese IP von extern anpinge (wie auch immer) z.B. aktuell 2a02:####:d200::0:0:0:0030 kommt immer zeitüberschreitung. Die Firewall ist in der Fritz!Box aus, als auch bei dem Gerät.

 

[T3Kila]

Mal ganz blöd gefragt, wenn Du DHCPv6 aktiviert, bekommen Deine Geräte dann eine /64 oder eine /128 Adresse?
Das hört sich ähnlich einem Problem an das ich hatte nachdem ich meinen zentralen Switch getauscht habe.
Musste IGMP-Snooping deaktivieren

 

[Holzkopf]

--So vermeidet man Vollzitate--

[...]
IPv6-Adresse: 2a02:####:d200::515f:f68c:bdf4:1549, Gültigkeit: 132889/46489s,
IPv6-Präfix: 2a02:####:d29a:a900::/56, Gültigkeit: 132889/46489s
[...]

Wenn diese informationen stimmen wären d200 die falsche Adresse die du nutzt...
es müsste so sein für die Geräte z.b.

2a02:####:d29a:a900::1
2a02:####:d29a:a900::2
etc pp

 

[d2boxSteve]

Die Firewall kann man bei einer Fritzbox garnicht auschalten. Du müsstest den Ping erst erlauben.

In der Fritzbox geht das für Pingv6 bei dem Gerät für die Freigabe selbst:

 

[snaxilian]

Bei Freigaben in der Fritzbox trägst du bei IPv6 lediglich den Interface Identifier des Geräts ein. Im Gerät, was freigegeben werden soll, musst du die Netzwerkconfig so anpassen, dass zwar IPv6 Adressen per SLAAC oder DHCPv6 verteilt werden aber eben nur der Prefix-Anteil.
Klassisches Beispiel für nicht-statische Interface Identifier sind aktive IPv6 Privacy Extensions.

Beim IPv6 dyndns, welchen Dienst auch immer du nutzt, musst halt aufpassen, dass das Prefix verwendet wird, was du vom Provider für deine Geräte bekommst und nicht die Adresse bzw. das Prefix, was deine Fritzbox am WAN-Interface bekommt.

Nachtrag: Eine Option für feste Interface Identifier sind die entsprechenden "tokenized identifier", beispielhafte Anleitung siehe hier: https://access.redhat.com/documenta...figuring_ipv6_tokenized_interface_identifiers

 

[???]

@Crys
Warum möchtest du überhaupt feste IPv6-Adressen in deinem Netz haben? DNS sollte doch funktionieren und ist extra dafür erfunden worden, damit man nicht mit Adressen hantieren muss. Im Fall von IPv6 ist das sogar noch praktischer als bei IPv4.

SLAAC in Kombination mit einem DNS-Server (Fritzbox) ist hier in meinem Heimnetz völlig ausreichend. Auch für Dienste, die von außen zugänglich sein sollen. Die Sache mit der MyFritz-Subdomain wurde ja schon erwähnt und wenn dir der Name zu sperrig ist (was ich verstehen kann), dann kannst du dir auf einer eigenen Domain auch einen freundlicheren CNAME einrichten. (z.B. „xyz.deinedomain.de“ als CNAME für „xyz.eph3giewixaich4u.myfritz.net“).

Die Firewall kann man bei einer Fritzbox garnicht auschalten.

Es wäre auch nicht besonders schlau, das generell zu wollen. AVM schützt den Endanwender an dieser Stelle vor Fehlern. 😉

 

[Crys]

Nein, ich möchte keine feste IPv6 Adresse. Ich dachte nur, das wäre so möglich und üblich. Ich möchte meine Geräte im Internet freigeben.
Ich möchte das Gerät per (aktuell, in diesen Moment der Zeit gültigen) IPv6 ansteuern. Daran scheitere ich noch immer.
(Ja, es gibt eine DNS-Hoster, aber wieso sich damit beschäftigen, wenn der vorherige Schritt noch nicht geht?(

Im Router sollte alles korrekt freigeben sein:

Per dort genannter IPv4 Adresse ist das Gerät lokal ansprechbar, per IPv6 gar nicht.
Hier mein Irrtum: "Adresse im Internet", siehe Bild! Bei IPv4 ist klar, dass es keine Internet-IP ist, bei IPv6 war mir das nicht klar.

Das Gerät selbst zeigt mehrere IPv6 Adressen an. Unter keinder dieser ist dieses (und auch alle anderen Geräte) (aktuell) ansprechbar:

enp2s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.178.3  netmask 255.255.255.0  broadcast 192.168.178.255
        inet6 fe80::e9d:92ff:fe11:673a  prefixlen 64  scopeid 0x20<link>
        inet6 2a02:####:d3c4:6800:e9d:92ff:fe11:673a  prefixlen 64  scopeid 0x0<global>

Die letzte IPv6 hat der ddClient auch an meinen DynDNS übermittelt.

Das IPv6 Präfix in Fritz!Box und dem Gerät sind nicht die gleichen. Da man das Hinterestück auch nicht fest definieren kann, kann man daran nichts ändern. Deshalb meine Fragen.

 

[Holzkopf]

Nein, ich möchte keine feste IPv6 Adresse. Ich dachte nur, das wäre so möglich und üblich. Ich möchte meine Geräte im Internet freigeben.
Ich möchte das Gerät per (aktuell, in diesen Moment der Zeit gültigen) IPv6 ansteuern. Daran scheitere ich noch immer.
(Ja, es gibt eine DNS-Hoster, aber wieso sich damit beschäftigen, wenn der vorherige Schritt noch nicht geht?(

Im Router sollte alles korrekt freigeben sein:
Anhang anzeigen 1102713
Per dort genannter IPv4 Adresse ist das Gerät lokal ansprechbar, per IPv6 gar nicht.
Hier mein Irrtum: "Adresse im Internet", siehe Bild! Bei IPv4 ist klar, dass es keine Internet-IP ist, bei IPv6 war mir das nicht klar.

Das Gerät selbst zeigt mehrere IPv6 Adressen an. Unter keinder dieser ist dieses (und auch alle anderen Geräte) (aktuell) ansprechbar:

enp2s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.178.3  netmask 255.255.255.0  broadcast 192.168.178.255
        inet6 fe80::e9d:92ff:fe11:673a  prefixlen 64  scopeid 0x20<link>
        inet6 2a02:####:d3c4:6800:e9d:92ff:fe11:673a  prefixlen 64  scopeid 0x0<global>

Die letzte IPv6 hat der ddClient auch an meinen DynDNS übermittelt.

Das IPv6 Präfix in Fritz!Box und dem Gerät sind nicht die gleichen. Da man das Hinterestück auch nicht fest definieren kann, kann man daran nichts ändern. Deshalb meine Fragen.

Laut bild hats du die IPv6 Adresse für ein ganz andere Gerät freigegeben ? die Freigabe ist für ein Gerät mit ::3 aber diese IPv6 hast du dort doch gar nicht sondern die 2a02:####:d3c4:6800:e9d:92ff:fe11:673a InterfaceID=(e9d:92ff:fe11:673a)

P.s. den haken bei Dieses Gerät komplett für den Internetzugriff per IPV6 freigeben solltest du rausmachen.
so sind sämtliche Ports offen.