Hilfe: Fernzugriff auf DS mit IPv6 (Dual-Stack-Lite Anschluss - FritzBox)

[Ron312]

Hallo zusammen,

es gibt bereits einige Themen die mein Problem zum Teil beschreiben, allerdings sind alle Versuche und Wege gescheitert es zu lösen, deswegen probiere ich es nochmal selbst mit eurer Unterstützung.

Technik:

NAS: DS920+
Anschluss: Glasfaser der Stadtwerke im Dual-Stack-Lite-Protokoll/Verfahren (also öffentliche IPv6, aber keine "richtige" IPv4)
Router: FritzBox 7560

Mein Ziel:

Von verschiedenen PC's (mit IPv4 oder IPv6 Verbindung) komfortabel (über den Windows Explorer - Stichwort: Netzwerkadresse | NICHT über QuickConnect) von außerhalb auf das NAS zugreifen um Dokumente usw. zu bearbeiten.

Problem:

Alle Verbindungsversuche sind fehlgeschlagen. Wahrscheinlich wegen der nicht vorhandenen DDNS - IPv4.


Fragen:

Wie bekomme ich das Problem gelöst bzw. kann es umgehen?
Kann ich "einfach" über IPv6 auf das Gerät von außerhalb zugreifen? Wenn ja, wie?
Wie sieht es mit einer VPN Verbindung aus?



Viele Grüße und lieben Dank schon mal vorab

Nachtrag:

Die Anfrage für eine IPv4 wurde bereits beim Provider gestellt, nachdem mir aber der utopische Preis (ab 130€mtl) entgegen gebracht wurde, sagte ich "Danke, nein".

​

 

[the other]

Moinsen,
über VPN bei ds lite geht mit der Fritzbox ohne weitere Anstrengungen nicht. Die lokale Fritzbox kann da dann nicht als VPN Server eingesetzt werden.
Es gibt im Netz Angebote dazu, dass dein CGNAT Problem anders gelöst wird, zB feste-ip.net oder Hurricane Electric...da mal lesen und vergleichen. Diese Dienste bauen dir dann quasi einen Tunnel, damit die Geräte denken (als ob), dass du ne IPv4 Adresse hast.

Alternativ: ISP wechseln...

Wenn du dagegen auf VPN verzichten willst (eher nicht so mein Ding, ganz persönlich), kannst du auch überlegen, einen Proxserver vorzusetzen, dann kommen die Anfragen auf dem an, werden dann von dort zum eigentlichen Empfänger (NAS) weitergeleitet.

Andere Ideen habe ich aktuell nicht...

 

[Ulfhednir]

Alternativ: ISP wechseln...

Oder einfach mal beim ISP anfragen, ob man eine "echte" IPv4 ggf. gegen Aufpreis bekommen kann.

 

[Ron312]

Danke für die Antworten!

Über solch ein Tunnelsystem (feste-ip.net) habe ich es bereits probiert, leider auch ohne Erfolg. Es kam immer der Fehler "Port nicht erreichbar!". Augenscheinlich hatte ich die Ports allerdings freigegeben. Gibt es hierzu vielleicht eine gute Anleitung oder hat jemand eine andere Idee?

Den ISP ist für mich keine Option. Und für eine feste IP möchte die gleich 130€mtl. haben (Geschäftszugang oder sowas)

 

[Benares]

Mit dem kommenden Fritz!OS 7.50 hält auch Wireguard auf der Fritte Einzug, damit ist auch IPv6 keine Thema mehr. Allerdings weiß ich nicht, ob eine 7560 die noch bekommt.

 

[weyon]

Schau dir mal das hier an. Die Möglichkeit für 2€ einen Hostet Server zu mieten und darüber auf dein Heimnetz zuzugreifen ist relativ einfach einzurichten.

https://youtu.be/ttEHsjjvRS4

 

[Ron312]

Danke! Ist das aber nicht quasi das gleiche wie feste-ip.net Portmapping?

 

[weyon]

Bei feste-ip gehen alle Daten die du sendest über den feste-ip Server, und der gehört nicht dir. Bei Einsatz von 6tunnel mit virtuellem gemietetem Server (z.B. bei ionos) gehen alle Daten über einen Server der dir gehört. Und ich würde das bevorzugen. Habe es mal selbst vor ein paar Monaten getestet, ist in wenigen Minuten eingerichtet und funktioniert.
Alternativ kannst du mal bei deinem Provider nachfragen ob du nicht Dual Stack bekommen kannst.

 

[c0smo]

Wieso keine direkte Verbindung zwischen den ipv6 Geräten? Das sollte doch mit einem entsprechenden dyndns Dienst möglich sein.
Bei ipv4 wirds schwieriger. Die passenden Dienste wurden schon genannt.
Hast du noch Clients/Geräte ohne ipv6?

 

[c0smo]

Die Neugier und langeweile hat mich zum tüfteln gebracht.

Ein Zugriff über ipv6 zu ipv6 Geräten ist ohne weiteres möglich. Es muss nur die Fritzbox entsprechend konfiguriert werden und die Netzwerkeinstellungen in der DS müssen angepasst werden.

1. In der FB die ULA auf permanent aktivieren setzen
2. Dann die IA_NA Adressen automatisch zuweisen lassen
3. Dann die ipv6 Einstellungen in der DS konfigurieren. Bei mir "automatisch", da ich im vorherigen Schritt den DHCPv6 Server in der FB aktiviert habe. Die erste Adresse ist die öffentliche von der DS. NICHT zu verwechseln mit der, die in der FB im Online Monitor steht. Diese gehört der FB. Die in der DS angezeigte Adresse ist nun die IP, die ihr eintragen müsst, wenn ihr von unterwegs auf die DS zugreifen wollt.
4. Jetzt müssen noh die Portfreigaben in der FB konfiguriert werden. Diese sehen ähnlich der ipv4 Portweiterleitungen aus. Es kann ipv4 und ipv6 gleichzeitig aktiviert werden.
   
5. Im letzten Schritt kann man noch einen DynDNS Dienst, ich verwende hier dynv6.com, konfigurieren. Hier gilt es zu beachten, dass der Dyn Updater auf der DS laufen sollte, nicht wie bei ipv4, auf der FB. Hier kann der DDNS Updater2 verwendet werden. Das Paket muss natürlich erst installiert werden. dynv6 bietet auch eine Update URL für die FB an.

Als wichtiger Hinweis sei noch erwähnt, dass es nun zwingend notwendig ist, geeignete Sichertsmechanismen zu aktivieren. Eine korrekt eingerichtete Firewall ist bei ipv6 pflicht, da das Gerät direkt mit dem WAN kommuniziert, nicht wie bisher, der Router dazwischenhängt und das NAT regelt.

So gelingt der Zugriff auf die DS Oberfläche. Wie das mit den Paketen funktioniert, werde ich noch testen.

 

[Benares]

da das Gerät direkt mit dem WAN kommuniziert, nicht wie bisher, der Router dazwischenhängt und das NAT regelt.

Ergänzung: NAT ist zwar nicht mehr im Spiel, aber die Firewall der Fritzbox schon.

Tipp: Schau dir auch mal die Möglichkeiten von MyFritz an. Bei aktivierten MyFritz-Freigaben (statt den normalen Portfreigaben) zu einem Gerät, löst MyFritz, z.B. über diskstation.<myfritzid>.myfritz.net, auch die IPv6-Adressen der internen Geräte auf. Man erspart sich dadurch IPv6-DDNS-Updater auf jedem internen Gerät.

 

[c0smo]

Mag sein, mir gefallen die FQDNs von myfritz aber nicht.
Ich frage mich eh, ob der dyn überhaupt zwingend auf den einzelnen Geräten laufen muss. Das Präfix ändert sich nicht, wenn dann der öffentliche Teil und das fängt doch eh der Router ab.

 

[Benares]

Bei mir (1&1) ändert sich der Präfix täglich (1&1 hat auch noch die tägliche Zwangstrennung).
Wenn dem nicht so wäre, könnte man die IPs auch fest im DNS hinterlegen.
Mich stören die MyFritz-Namen nicht, ich verwende sie eh nur als CNAMEs in meiner eigenen Domain.

 

[c0smo]

Sorry, durcheinander gekommen. Das Präfix ändert sich, ich meinte den Interface Identifier.
Werde das bei mir mal beobachten.

Wenn man eine Domain sein eigen nennt, geht das natürlich. Viele werkeln aber ohne durch die Gegend.

 

[Benares]

Interface Identifier gibt es mehrere, einmal den festen und einmal den variablen durch die Privacy Extension, mit dem die Geräte nach außen gehen.
Windows nennt das "IPv6-Adresse" bzw. "Temporäre IPv6-Adresse".
Daneben gibt es noch die "Verbindungslokale IPv6-Adresse" (fe80::...) für intern.
Alles etwas anders bei IPv6

 

[c0smo]

Alles etwas anders bei IPv6

Wahrscheinlich auch der Grund, dass ich bisher noch keine IT Infrastruktur bei Kunden gefunden habe, die schon umgestellt haben. Alles Schisser