7590AX an "Deutsche Glasfaser": Fernzugriff

[Rolf Grisu]

Hallo zusammen,

mit einem Neuanschluss liefert "Deutsche Glasfaser" eine 7590AX und hängt diese hinter ein "Modem" (Fiber-Twist GC211OC). Die Version der 7590AX ist V7.81, die Update-Funktion ist blockiert. Die Box erhält am WAN-Anschluss eine private IP-V4 (100.82.x.x) und eine öffentliche IP-V6-Adresse. Da IP-V4 nach außen nicht verfügbar ist, ignoriere ich das im Weiteren.

Für die V6-Adresse ist eine myfritz-Konto registriert und auch eine DynDNS-Adresse erfolgreich angelegt.
Über "Fritzbox-Dienste" ist der "Internetzugriff" aktiviert, darunter werden die Erreichbarkeit der Box aus dem Internet mit verschiedenen URLs dargestellt.
Es sind Fritz-Box-Benutzer eingerichtet, für die auch "Zugang aus dem Internet" freigeschaltet sind.

Der Zugriff auf die URLs aus "Fritzbox-Dienste" funktioniert aus dem internen Netz. Beim Zugriff "von außen" erhalte ich aber keine Verbindung. Die Tests erfolgen von Linux-Clients in mehreren IP-V6-Netzwerken oder aber Handys über 4G.

Im Detail:
in https://myfritz.net/devices ist die Fritzbox mit einem Link auf die myfritz-Adresse:[Port] sichtbar. Ein Klick darauf öffnet eine Warnung, dass die Box mit einer privaten IP-V4-Adresse registriert wurde und bietet "Auf IPv6-Adresse weiterleiten" an. Ein Klick darauf verweist auf einen Link https://[IPv6-Adresse]:[Port]/myfritz, endet aber in "Fehler: Verbindung fehlgeschlagen"...die Website könnte vorübergehend nicht erreichbar sein. Auf dem Linux-Client ergibt ein "ping -6 [IPv6-Adresse]" "Der Name oder der Dienst ist nicht bekannt". Die in myFritz gelistete IPv6-Adresse ist mit im "Online-Monitor" gelisteten IPv6-Adresse identisch - als wäre die IP im DNS nicht registriert.

Beim Zugriff über die DynDNS-Adresse ist das Verhalten nahezu identisch: "Fehler: Verbindung fehlgeschlagen" und "ping -6 [DynDNS-Name]" endet in "ping: connect: Das Netzwerk ist nicht erreichbar". Gleiches Ergebnis bei ping auf die myfritz-Adresse.

Das Ziel ist pimär (und vorübergehend) die Verwaltungsoberfläche der 7590AX von außen erreichbar zu machen und sekundär über den Anschluss einen Wireguard-Tunnel aufzubauen (sofern das mit V7.81 überhaupt mit IPv6 möglich ist)

Wo liegt hier das Problem?

Vielen Dank für die Unterstützung

 

[tango501]

sofern das mit V7.81 überhaupt mit IPv6 möglich ist

"Der Internetzugriff über die entfernte FRITZ!Box ist jedoch nur über IPv4 möglich; ein Zugriff auf IPv6-Internetdienste ist nicht möglich. Wir arbeiten an einer Lösung und werden den IPv6-Internetzugriff über die entfernte FRITZ!Box in einem kommenden FRITZ!OS-Update ermöglichen."
Quelle:

Überträgt die FRITZ!Box IPv6-Netzwerkverkehr über VPN? | FRITZ!Box 7590 AX

avm.de

 

[Rolf Grisu]

In dem von Dir verlinkten Wissensdokument heißt es aktuell: "Die FRITZ!Box kann VPN-Verbindungen (IPSec, WireGuard) sowohl über IPv4 als auch über IPv6 herstellen." Ich glaube, mit V8.x hat sich da etwas geändert.

Das ist aber nicht das Kernproblem. Aktuell komme ich "von außen" überhaupt nicht an das Netz heran. Die externe IPv6-Adresse des Netzes ist nicht erreichbar.

 

[frank_m24]

Auf dem Linux-Client ergibt ein "ping -6 [IPv6-Adresse]" "Der Name oder der Dienst ist nicht bekannt".

Du hast bei dem Versuch aber hoffentlich keine eckigen Klammern um die Adresse gemacht, oder? Ping arbeitet mit der reinen Adresse.

Ein Klick darauf verweist auf einen Link https://[IPv6-Adresse]:[Port]/myfritz, endet aber in "Fehler: Verbindung fehlgeschlagen".

Da würde ich den Zugriff direkt auf die Domain versuchen. Die Eingabe von IPv6 Adressen in Browsern kann problematisch sein, da am Ende Port und Adresse durcheinander geraten können.

Führe auf deinem Linux Client mal ein
mtr -ezbt6 <myfritz-Name>
aus. Lass so etwa 20 Pakete laufen und poste das Ergebnis hier. Gleiches kannst du mit der dyndns Adresse machen. Meinetwegen auch direkt mit der IPv6 Adresse, aber der Mehrwert wird gering sein.

 

[DelNeu]

Oh Gott, das blüht mir auch noch, wenn ich mal endlich meinen Glasfaseranschluss durch DG bekomme.
Dass das wohl nur DS-Lite werden wird, ist mir schon klar. Probiere mal ping ohne eckige Klammern und http mit (also http://[IPv6](Doppelpunkt)Port).
Wireguard kann schon länger über IPv4 und IPv6 aufgebaut werden, neu ist nur, dass der Tunnel nun auch IPv6 transportiert (bisher nur IPv4)

 

[Rolf Grisu]

[Edit Novize: Überflüssiges Fullquote gelöscht - siehe Forumsregeln]

Ja, eckige Klammern wurden genutzt.

Das Tool mtr kannte ich noch nicht. Sehr aufschlussreich!

Aber zwischenzeitlich habe ich ein nutzbares Ergebnis gefunden: das Netz des Client musste modifiziert werden. Hintergrund war ein Test auf IPv6 über https://test-ipv6.com/. Der Test für "Ihre IPv6 Internet-Adresse..." schlug fehl - auch wenn in der 7590AX des Client-Netzes ein funktionierendes IPv6 auf WAN-Seite suggeriert wurde. Ich konfigurierte die Fritzbox gemäß diesem Post aus dem Telekom-Forum. Danach ist das Netz des Glasfaser-Anschluss sowohl über IP als auch über myFritz und DynDNS erreichbar. Selbst Wireguard funktioniert. Lt. AVM-Site soll es Einschränkungen geben, wenn man über den WG-Tunnel auf IPv6-Netze zugreifen möchte. Da das hier aber nicht erforderlich ist, verfolge ich das nicht weiter.

Auch auf dem Handy kann ich per Wireguard und LTE einen funktionierenden Tunnel aufbauen. Weshalb das bei meinem ersten Posting nicht funktionierte, kann ich nicht mehr nachvollziehen.

Was bleibt, ist die Einschränkung, dass man nur aus korrekt konfigurierten IPv6-Netzen auf das eigene Netz zugreifen kann. Damit fallen wohl vorerst sehr viele öffentliche WLANs aus dem Rennen. Vielleicht kann man am Handy einen Tunnel aufbauen und einen Hotspot darüber einrichten - das muss ich mal ausprobieren.

Danke für die Unterstützung!

 

[frank_m24]

Dass das wohl nur DS-Lite werden wird, ist mir schon klar.

DG mache KEIN DS-Lite, sondern Dual-Stack mit CGNAT. Das ist was anderes.

Ich konfigurierte die Fritzbox gemäß diesem Post aus dem Telekom-Forum.

Für die DG ist das aber ziemlicher Unfug. Dort sollte "native IPv4 Verbindung" genutzt werden, das beschleunigt den Verbindungsaufbau, und außerdem ist die Prefix Länge 56 und nicht 62. Stell das besser um.

Man sollte seine Router passend zum Provider einrichten, und nicht irgendwas aus fremden Foren abtippen, ohne zu wissen, was man da tut.

 

[Erforderlich]

Dual-Stack mit CGNAT. Das ist was anderes.

Ja, technisch anders aber eine private IPv4 hat aber dieselben Auswirkungen. Aber besser, man gewöhnt sich beizeiten an IPv6-only.
BTW: Ich habe noch nie so eine ausführliche und verständliche Anleitung gesehen, wie die von DG.

 

[Rolf Grisu]

Für die DG ist das aber ziemlicher Unfug. Dort sollte "native IPv4 Verbindung" genutzt werden, das beschleunigt den Verbindungsaufbau, und außerdem ist die Prefix Länge 56 und nicht 62. Stell das besser um.

Man sollte seine Router passend zum Provider einrichten, und nicht irgendwas aus fremden Foren abtippen, ohne zu wissen, was man da tut.

Hier kommt die Sachlage für mich jetzt etwas durcheinander. Es gibt 2x 7590AX. Eine hängt am DG-Anschuss, die andere an einem DTAG-Anschluss.

Die 7590AX am DG-Anschluss ist auf "native IPv4 Verbindung" konfiguriert. Das Setzen von Prefix erübrigt sich somit an dieser Box.

Die 7590AX am DTAG-Anschluss (=Client-Netz) ist gemäß Anleitung aus dem DTAG-Forum konfiguriert. Die Info stammt also aus dem Forum des Anschluss-Providers. Und das ist fehlerhaft? Oder einfach nur mangelhaft? Habe das jetzt mal auf 56 geändert und kann bis jetzt keinen Unterschied feststellen.

 

[frank_m24]

Die 7590AX am DG-Anschluss ist auf "native IPv4 Verbindung" konfiguriert. Das Setzen von Prefix erübrigt sich somit an dieser Box.

Wie kommst du denn drauf? Das hat doch gar nichts miteinander zu tun. Dringender Hinweis: Schau dir die AVM Online Doku an, was diese Optionen bedeuten. Besser als dort kann ich es nicht beschreiben. Und bei dir ist im Moment offenbar nur Stochern im Nebel.

Die 7590AX am DTAG-Anschluss (=Client-Netz) ist gemäß Anleitung aus dem DTAG-Forum konfiguriert. Die Info stammt also aus dem Forum des Anschluss-Providers.

Aber bislang ging es in diesem Thread um eine DG Fritzbox. Dass du auch eine DTAG Box hast, davon hören wir zum ersten Mal. Woher also sollte ich das wissen? Für mich las sich das so, als hättest du deine DG Fritzbox so eingerichtet und damit dein Problem gelöst. Übrigens: Auch für Telekom ist die Beschreibung alles andere als optimal, nicht nur für DG Boxen. Besser man hält sich an die Dokus der Provider und von AVM, und die sieht anders aus.

 

[Rolf Grisu]

Wie kommst du denn drauf? Das hat doch gar nichts miteinander zu tun. Dringender Hinweis: Schau dir die AVM Online Doku an, was diese Optionen bedeuten. Besser als dort kann ich es nicht beschreiben. Und bei dir ist im Moment offenbar nur Stochern im Nebel.

Das mit dem Nebel stimmt sicherlich. IPv6 ist nicht wirklich mein Ding. Nach Aktivierung von "native IPv4 Verbindung" wird die Möglichkeit zur Modifikation des Präfix in der Weboberfläche ausgeblendet - weil es offensichtlich ein IPv6-Parameter ist

Aber bislang ging es in diesem Thread um eine DG Fritzbox. Dass du auch eine DTAG Box hast, davon hören wir zum ersten Mal. Woher also sollte ich das wissen? Für mich las sich das so, als hättest du deine DG Fritzbox so eingerichtet und damit dein Problem gelöst.

Das ist nicht so ganz richtig. Ich schrieb am 13.10. "...das Netz des Client musste modifiziert werden..." und "...auch wenn in der 7590AX des Client-Netzes ein funktionierendes IPv6 auf WAN-Seite suggeriert wurde...". Sorry wenn das nicht deutlich genug war.

Übrigens: Auch für Telekom ist die Beschreibung alles andere als optimal, nicht nur für DG Boxen. Besser man hält sich an die Dokus der Provider und von AVM, und die sieht anders aus.

Hmmm, hast Du mal einen Beispiel-Link parat?

 

[frank_m24]

Nach Aktivierung von "native IPv4 Verbindung" wird die Möglichkeit zur Modifikation des Präfix in der Weboberfläche ausgeblendet - weil es offensichtlich ein IPv6-Parameter ist

Ähh.. Nein.

Hmmm, hast Du mal einen Beispiel-Link parat?

Natürlich:

IPv6 in FRITZ!Box einrichten | FRITZ!Box 7590

Die FRITZ!Box unterstützt bereits in den Werkseinstellungen die Internet Protokolle IPv4 und IPv6. Falls möglich, stellt die FRITZ!Box eine native IPv4- und eine native IPv6-Internetverbindung her, z.B. per Dual Stack. Nur, wenn der Internetanbieter keine IPv4-Internetverbindung mehr erlaubt...

avm.de

 

[NDiIPP]

Die Info stammt also aus dem Forum des Anschluss-Providers.

Aber nicht vom Anbieter selbst! Das sind jedenfalls nicht die (funktionierenden) IPv6 Standard-Einstellungen für einen Telekom-Anschluss. Normalerweise müssen die Standard-Einstellungen nicht verändert werden.

 

[Rolf Grisu]

Habe jetzt die Client-Box nach AVM-Anleitung konfiguriert und, oh Wunder, es funktioniert mit dieser Konfiguration

Dann habe ich in einem anderen Client-Netz (Vodafon) eine 7590AX vermutlich initial IPv6 aktiviert und die Standard-Parameter verglichen. Der einzige Unterschied, den ich finden konnte ist "Bestimmte Länge für das LAN-Präfix anfordern" war nicht aktiviert. Nach Neuaufbau der Verbindung war der Präfix 56Bit lang - also ideal. Habe dann auch an der Client-Box im DTAG-Netz den Haken entfernt und auch hier automatisch einen 56Bit langen Präfix erhalten. Aktuell ist von allen Netzen das IPv6-Netz von DG erreichbar.

Da stellt sich mir die Frage, weshalb das am vergangenen Donnerstag überhaupt nicht funktionieren wollte - auch nicht aus einem LTE-Netz heraus. Aber egal, das läuft ja jetzt alles.

Vielen Dank für Eure Unterstützung!!!