FritzBox 7530 - kriege Port-Forwarding nicht hin ... hülfäh

[Yellow99]

Hallo.

Ich weiss einfach nicht mehr weiter & hab schon alles versucht... vielleicht kann mir hier im Forum einer was raten? Wer helfen will, aber bitte GENAU lesen, was ich hier schreibe, damit die üblichen Standard-Tipps gleich ausgeschlossen werden können...

Sachverhalt:

Ich habe bei M-Net einen DS-Lite Anschluss, also keine externe IPv4-Adresse. Ich möchte gelegentlich einen Telnet-Server auf meinem PC hinter der FritzBox (im lokalen Netzwerk) auf Port 7777 laufen lassen.

Ich habe einen Dynamic DNS Eintrag angelegt, der auf die externe IPv6-Adresse der FritzBox verweist. Zugriff z.B. auf das NAS der FritzBox von einer externen IPv6-Adresse funktioniert über diesen DynDNS-Eintrag.

Um den Telnet-Server erreichen zu können, möchte ich Port-Forwarding nutzen, d.h. man macht eine Telnet-Verbindung zu den DynDNS-Eintrag Port 7777 und die FritzBox soll das an den Telnet-Server auf meinem PC im Heimnetz weitergeben (genau dafür ist diese Funktion doch da, oder??)

Ok, ich hab das wie folgt eingerichtet (FritzBox 7530 - Fritz!OS 7.29):

Ich wähle In den Einstellungen links 'Internet' - 'Freigaben' - Tab 'Portfreigaben' - 'Gerät für Freigaben hinzufügen'.

Ich wähle den Computer aus der Liste aus, auf dem mein Dienst läuft.

Bei 'IPv4-Adresse' wird mir die lokale IP dieses Computers im Heimnetz angezeigt. Bei 'IPv6-Adresse' werden mir die letzten 4 Blöcke der öffentlichen IPv6-Adresse dieses Computers angezeigt (nicht die 'temporäre IPv6-Adresse).

Ich aktiviere: 'Selbständige Portfreigaben für dieses Gerät erlauben'.
Ich aktiviere: 'Ping6 freigeben'.
Ich aktiviere: 'Firewall für delegierte IPv6-Präfixe dieses Gerätes öffnen'.

Ich klicke auf den Button 'Neue Freigabe'.

Unter 'Portfreigabe' wähle ich (für einen Server, der über Telnet erreichbar sein soll) wie folgt:

'Anwendung' - 'Andere Anwendung'
'Bezeichnung' - 'Mein Telnet-Dienst'
'Protokoll' - 'TCP'
'Port an Gerät' - '7777 bis 7777'
'Port extern gewünscht (nur IPv4)' - 'leer'

'Freigabe aktivieren' - markiert
'Internetzugriff über IPv6' - markiert

Unter 'Freigaben' wird mir der erstellte Eintrag nun 'grün' angezeigt.

ABER: wenn ich versuche, von außen VON EINER IPv6-ADRESSE AUS, über die IPv6-ADRESSE DER FRITZBOX auf den Telnet-Server HINTER der FritzBox auf meinem Computer zuzugreifen, wird das von der FritzBox anscheinend nicht an die IPv6-Adresse meines Computers durchgereicht. Wenn ich einen Telnet-Versuch direkt auf die interne IPv6-Adresse des PCs mache, auf dem der Telnet-Dienst läuft, bekomme ich allerdings eine Verbindung...

Hab ich irgendwo was falsch gemacht? Oder ist das so beabsichtigt, dass man z.B. Freunden, die einen über Telnet erreichen wollen, nicht einen DynDNS-Eintrag nennen kann, der auf die FritzBox verweist, sondern dass man ihnen explizit die öffentliche IPv6-Adresse des jew. Computers hinter der FritzBox mitteilen muss?

 

[frank_m24]

Generell: Ich würde niemals auf den selbstmörderischen Gedanken kommen, einen Telnet Server ins Internet zu hängen. Egal auf welchem Port.

Ich habe einen Dynamic DNS Eintrag angelegt, der auf die externe IPv6-Adresse der FritzBox verweist. [...] ABER: wenn ich versuche, von außen VON EINER IPv6-ADRESSE AUS, über die IPv6-ADRESSE DER FRITZBOX auf den Telnet-Server HINTER der FritzBox auf meinem Computer zuzugreifen, wird das von der FritzBox anscheinend nicht an die IPv6-Adresse meines Computers durchgereicht.

Da sind die Fehler. Bei IPv6 sind alle Adressen öffentlich, also von außen zu erreichen. Du darfst also nicht auf die IP der Fritzbox zugreifen, sondern musst auf die des PCs zugreifen. D.h., du brauchst natürlich auch dyndns für den PC. Entweder musst du also dem PC einen eigenen dyndns Zugang spendieren, oder du brauchst einen dyndns Dienst, der mit Prefixen fürs ganze Netz arbeiten kann (dynv6, myfritz).

 

[koyaanisqatsi]

Ich habe einen Dynamic DNS Eintrag angelegt, der auf die externe IPv6-Adresse der FritzBox

Anders als wie bei IPv4 hat jedes Gerät eine eigene eindeutige globale IPv6.
...deswegen kommst du nie über die IPv6 der FRITZ!Box auf ein anderes über IPv6 freigegebenes Gerät.

Beispiel, anhand einer myfritz.net URL, wo es vielleicht für dich verständlich wird...
1. Die FRITZ!Box: 0123456789abcdef.myfritz.net
2. Ein über IPv6 freigegebenes Gerät: gerät.0123456789abcdef.myfritz.net:[portnummer]
Genau lesen...

MyFRITZ!-Freigaben einrichten | FRITZ!Box 7590

MyFRITZ!-Freigaben vs. Portfreigaben | Frag FRITZ! Mit MyFRITZ!-Freigaben können Sie jederzeit mit beliebigen Internetbrowsern über das Internet auf eine browserbasierte Anwendung im FRITZ!Box-Heimnetz zugreifen, z.B. auf einen Web-Server oder die grafische Oberfläche eines NAS-Systems. Ihr...

avm.de

Du müsstest also einen AAAA Record bei deinen DynDNS für die IPv6 des freigegebenen Geräts updaten.
...nicht die IPv6 der FRITZ!Box.

 

[KunterBunter]

ABER: wenn ich versuche, von außen VON EINER IPv6-ADRESSE AUS, über die IPv6-ADRESSE DER FRITZBOX auf den Telnet-Server HINTER der FritzBox auf meinem Computer zuzugreifen, wird das von der FritzBox anscheinend nicht an die IPv6-Adresse meines Computers durchgereicht.

Nein, warum auch? Das wird doch an Port 7777 an die IPv6-Adresse deiner Fritzbox weitergeleitet, so wie du es eingerichtet hast.

 

[Benares]

So geht es halt, wenn man sich mit der jahrelang eingebrannten "IPv4-Denke" dem Thema IPv6 nähert
Ich muss zugeben, mir ging es anfangs auch so. Aber wenn man sich aber erst mal klar gemacht hat, dass es bei IPv6 einfach kein NAT und keine Portweiterleitung mir gibt, nur noch eine Portfreigabe, und dass man fortan mit der IPv6 des Endgerät arbeiten muss, wird einem das schnell klar.

 

[Yellow99]

So geht es halt, wenn man sich mit der jahrelang .

So geht es halt, wenn man sich mit der jahrelang eingebrannten "IPv4-Denke" dem Thema IPv6 nähert

Nein, ich hab mich wirklich eingelesen und WEISS, dass bei IPv6 jedes Gerät eine eigene öffentliche Adresse hat. Hab ich doch auch geschrieben: bei direktem Zugriff auf die öffentliche IPv6-Adresse meines Computers geht es.

Aber wenn das stimmt, dass es NUR so geht, wozu sind dann die IPv6 'Port'-Weiterleitungen in der FritzBox, wenn nicht eben dafür, dass man auf die FritzBox-IPv6 zugreift und dann auf Rechner im Heimnetz durchgereicht wird? Man kann da explizit IPv6 Ports in den Settings wählen...

In vielen Artikeln wird auch behauptet, dass es genau so geht, wie ich's gemacht hab, z.B. hier:

Mit DDNS auf's Heimnetzwerk zugreifen

Mit einem kostenlosen DDNS-Service können Sie auf feste Adressen im Internet zugreifen.

www.heise.de

Könnte mir das evtl. noch einer der Wissenden hier erklären, damit ich ruhigen Gewissens aufhören kann nach nem Fehler zu suchen?

Und nein, ich würde auch keinen Telnet-Server ins Internet stellen... ist nur ein MUCK-Client (online Chat-Client), und der würde auch nur laufen wenn ich praktisch danebensitze.

 

[HabNeFritzbox]

Der DDNS Dienst muss die IPv6 vom Ziel Gerät ausgeben, nicht von der FB, sonst wird es nichts, seiden man möchte wirklich nur auf FB zugreifen für Fernzugriff/„NAS“.

MyFritz kann es z.B. und wieder für jedes Gerät eigenen Hostnamen anlegen.

 

[erik]

Dynv6.com kann das auch. Und die Portweiterleitung in der Fritzbox muß man einrichten, weil per default alle Adressen durch die Firewall gesperrt sind, sonst würde ja jedes IPv6 Gerät hinter der Fritzbox sofort und ungeschützt im bösen Internet stehen.

 

[Benares]

Ja, bei IPv6 ist es ja keine Weiterleitung mehr, sondern nur noch eine Freigabe (Firewall). Und manche Leute wollen evtl. ja auch über IPv6 auf ihre Fritzbox selbst zugreifen und nicht nur auf Geräte dahinter.

 

[frank_m24]

Aber wenn das stimmt, dass es NUR so geht, wozu sind dann die IPv6 'Port'-Weiterleitungen in der FritzBox, wenn nicht eben dafür, dass man auf die FritzBox-IPv6 zugreift und dann auf Rechner im Heimnetz durchgereicht wird?

Die Fritzbox stellt natürlich eine Firewall zur Verfügung. Oder möchtest du, dass jeder auf deine Windows Freigaben und deine Smart-Home-Geräte uneingeschränkt zugreifen kann? Das wäre nämlich die Folge, wenn du auf eine Firewall verzichtest.

Allerdings: Wer telnet ins Internet hängt, dem ist wahrscheinlich auch das egal.

 

[Yellow99]

Dynv6.com kann das auch. Und die Portweiterleitung in der Fritzbox muß man einrichten, weil per default alle Adressen durch die Firewall gesperrt sind, sonst würde ja jedes IPv6 Gerät hinter der Fritzbox sofort und ungeschützt im bösen Internet stehen.

Könnte mir BITTE jetzt mal jemand erklären, wofür die IPv6 Portweiterleitung in der FritzBox GENAU da ist, wenn nicht dazu, Zugriffe auf die Box-IP ins Heimnetz durchzureichen? Rest klären wir danach...

 

[erik]

Damit gibt man genau einen Port auf ein Gerät frei. Um dessen Sicherheit muß man sich dann selber kümmern.
Bei IPv6 hat jedes Gerät seine eigene IP, es gibt kein NAT. Deshalb werden Zugriffe auf die Box-IP auch nie ins Heimnetz durchgereicht. Deshalb heißt es Portfreigabe (in der Firewall) und nicht Portweiterleitung (mittels NAT).

 

[frank_m24]

Die Frage zeigt, dass du den IPv6 Ansatz immer noch nicht verstanden hast. Bei IPv6 muss man nichts durchreichen, da die Adressen direkt ereicht werden können. Es ist auch keine PORTWEITERLEITUNG, sondern eine PORTFREIGABE, die du einrichtest.

 

[Benares]

Relativ einfach: Die "Weiterleitung" ist nur für IPv4 gedacht, sie ist auch verbunden mit einem Eintrag in der Firewall. Man spricht die IPv4 des Routers an, und wird wirklich weitergeleitet. Bei IPv6 ist es nur eine "Freigabe" (also Eintrag in der Firewall) und man arbeitet mit der IPV6 des Endgeräts direkt.

Soweit ich das ist sehe, verwendet AVM den Begriff "Freigabe" für beides.

 

[HabNeFritzbox]

Ein weiterer Router könnte sogar eigenes Netz anfordern, und man könnte ganze Netz durchleiten lassen. Sowas würde man z.B. auch bei openVPN nutzen können.

IPv6 kennt keine Weiterleitung und damit auch kein NAT. Man kann mit IPv6 also auch mehrfach selben Port freigeben, weil andere IP das Ziel ist.

 

[Yellow99]

Damit gibt man genau einen Port auf ein Gerät frei. Um dessen Sicherheit muß man sich dann selber kümmern.

Ok, also bei IPv6 AUSSCHLIESSLICH die Ports, d.h. wenn ich keinen Port freigebe, könnte keiner auf irgendwas bei mir zugreifen, auch wenn ich demjenigen die IPv6-Adresse meines Computers im Netzwerk hinter der Box direkt mitteile? Richtig?

Oben hat einer geschrieben, DynV6 könnte auch für Geräte im Heimnetz Einträge vergeben... in der FritzBox kann ich aber nur die FritzBox-Adresse automatisch weitergeben wenn sich die IPv6 ändert? Kann mir einer sagen, was ich da zusätzlich machen / einstellen müsste, damit die IPv6 meines Computers ebenfalls von der FritzBox mitgeteilt wird?

 

[koyaanisqatsi]

@Yellow99 - Ruf mal von deinen PC diese Seite auf...

Test your IPv6.

This will test your browser and connection for IPv6 readiness, as well as show you your current IPv4 and IPv6 address.

test-ipv6.com

...und was siehst du da? Die Ipv6 deiner FRITZ!Box oder die globale IPv6 deines PC's?
Wenn dein PC jetzt ein DynDNS Update macht, für einen AAAA Record, dann ists auch dessen IPv6.

 

[erik]

wenn ich keinen Port freigebe, könnte keiner auf irgendwas bei mir zugreifen, auch wenn ich demjenigen die IPv6-Adresse meines Computers im Netzwerk hinter der Box direkt mitteile? Richtig?

Richtig.

was ich da zusätzlich machen / einstellen müsste, damit die IPv6 meines Computers ebenfalls von der FritzBox mitgeteilt wird?

Bei Dynv6 einen AAAA-Record erstellen, dort die MAC des gewünschten Endgerätes eingeben. Dessen IPv6 setzt sich dann aus dem von der Fritzbox mitgeteilten Präfix und dem aus der MAC-Adresse gebildeten local Part zusammen.

Oder auf dem gewünschten Gerät selbst einen Dyndns-Clienten laufen lassen, der dann seine eigene IP mitteilt.

 

[HabNeFritzbox]

Geräte mit IPv6 haben oft sogar mehr als nur eine IP, und die ändert sich sogar öfters.

Kannst dazu ja mal auf einem Windows PC schauen in Powershell/cmd unter ipconfig, da wirst mit jeder neuen Netzwerkverbindung andere IPs haben, auch wenn vom Anbieter kein neues Netz zugewiesen bekommen hast.

In der Firewall gibst für ein bestimmtes Gerät wenn einzelenen Port frei. Sonst sond Geräte von außen nicht erreichbar.

 

[Yellow99]

Vollzitat von darüber gemäß Boardregeln entfernt by stoney

... da seh ich die temporäre IPv6-Adresse meines PCs, nicht die der FritzBox.

-- Zusammenführung Doppelpost gemäß Boardregeln by stoney

Ok, kommen wir zum Dynamic DNS Zeugs... kann ich der FritzBox irgendwie beibringen, nicht nur Ihre externe IPv6 an den DynDNS weiterzugeben, sondern gleich auch automatisch die eines PCs im Heimnets, oder muss ich dafür unter Windows ein Programm installieren, das das macht?