IPv6 Server hinter zweitem Router.

[otto58]

Hast Du die Privacy Extensions, siehe HabNeFritzbox #14, deaktiviert?

 

[ktw2003]

Ja, sonst kann es nicht gehen.

 

[ben8472]

Ich habe hinter der Fritzbox eine Sophos UTM, dort vergebe ich die IPv6 Adressen statisch (stateful)
Ich hab das jetzt just nochmal gestestet und es funktioniert nicht.

Von einem vServer mit IPv6:

From 2a01:XXXX:200:4:cee:e5e8:2e0d:f0f7 icmp_seq=2 Destination unreachable: Administratively prohibited
f0f7 ist die Fritzbox, Administratively prohibited heisst die Fritzbox Firewall "grätscht" dazwischen.

Eine Testmaschine hat die IPv6 2a01:XXXX:fff9:00fc:0000:0000:0000:f148

In der Fritzbox also die Freigabe auf "0000 0000 0000 f148" gesetzt.
der delegated Prefix auf der Sophos ist von der Fritzbox die 2a01:XXXX:fff9:fc::/62

 

[ben8472]

ktw2003: Moment. Hab deinen Beitrag nochmal gelesen. Die Geräte auf die du eine Freigabe erteilt hast, sitzen direkt an deiner Fritzbox? Weil hier geht es ja darum das hinter einem 2. Router der ein Prefix der Fritzbox erhält, die Geräte nicht erreichbar sind von Aussen. Die Geräte direkt an der Fritzbox sind nicht das Problem.

 

[ktw2003]

OK, Router hinter Router. Kannst Du denn überhaupt von Deiner Fritzbox aus (also intern per Telnet) die gewünschte IPv6-Adresse erreichen? Falls nein, so musst Du vermutlich noch eine Route setzen. Wenn das funktioniert, sollte es auch von außen gehen.

 

[ben8472]

ktw2003: Intern per Telnet geht. Also Fazit, hinter 2. Router geht nix von Aussen.

64 bytes from 2a01:XXXX:fff9:fc::f148: seq=0 ttl=63 time=1.554 ms

 

[ktw2003]

Du hast es auch definitiv von der Fritzbox aus probiert, nicht vom PC aus?

 

[ben8472]

ja, per Telnet.
Edit: Das worüber ich mich wundere ist, das AVM all die Funktionen in der Fritzbox drin hat (auch das Prefix Delegation und das erlauben fremder Prefixe), dies aber nicht funktioniert, und der Support von AVM scheinbar bei jeglicher IPv6 Frage mit IPv4 Antworten antwortet.

 

[ktw2003]

Schau mal bitte weiter wo lang ein Tracert läuft. Bleibt der komplett intern oder geht der nach draußen ins Internet und zurück?

 

[ben8472]

Das traceroute auf der Fritzbox kann kein ipv6.
Von meinem vServer aus bleibt das Traceroute immer auf der IPv6 der Fritzbox hängen. Die Fritzbox lässt es nicht durch.
Mit einem Lancom hat es wie gesagt funktioniert.

 

[otto58]

Ich habe die lokale IPv6 Adresse eines PC hinter dem zweiten Router in der Fritzbox eingetragen und Port 80 und Ping6 freigegeben.
Bei dem Test auf http://ipv6-test.com/ ist ICMP für den PC weiter geblockt.
Bei dem Test http://ipv6-test.com/validate.php wird die IPv6 Adresse des (Server-)PC richtig im "AAAA DNS record" angezeigt aber der "web server is unreachable : Permission denied" !!!

 

[ben8472]

Ja, raus geht! Aber rein nicht.

Es bleibt nur zu hoffen das sich IPv6 mehr durchsetzt und diese Probleme in breiterer Masse bei AVM als Bug gemeldet werden. Ich habe es schon über mehrere Wege bei AVM versucht.

 

[HabNeFritzbox]

Wenn mehrere Router sind, in allen die Freigabe anlegen, dann keine PE und direkt aus dem Netz probieren, nicht vom Router selbst aus. Steht doch schon auf Seite 1 was zu.

 

[otto58]

Was ist denn ein PE?
Dies http://ipv6-test.com/validate.php ist ein Test von außen direkt aus dem Netz, den kann man auch von einem IPv4 Rechner aus nutzen.

 

[HabNeFritzbox]

PE ergibt sich durch lesen von Seite 1, z.B. in #12 oder 14.

 

[otto58]

Hast Du auch noch eine Info zu Satz 2 von #34?
Ansonsten kann ich Dich beruhigen, mit der Fritzbox als nur Modem und dem Router 2 als erstem Router geht alles mit und ohne PE.

 

[HabNeFritzbox]

Mit PE haben die Geräte mehre IPs, und Freigabe würde dann auf echten IP gehen, die temporären und wechselnden IPs haben ja keine Freigaben.

Was soll ich dazu noch ne Info haben? In welchem Bezug?

#33 war Antwort an Ben gerichtet. Webserver und Ping sind ja 2 verschiedene Sachen.

Und Standard Subnetze haben eigentlich /64 und nicht /62.

 

[otto58]

#31 habe ich ohne PE getestet.

Könnten die ersten 64 Bit vielleicht auch noch eine Rolle spielen, wenn Dein Prozedere bei Dir funktioniert. Ich habe zu dem Prefix der FB auch noch die Bits 63 und 64 gesetzt. Siehe #1.

 

[HabNeFritzbox]

Die ersten 4 Teile sind egal und können auch dynamisch wechseln, sollten aber schon öffentlich sein für Freigaben.

Ich verwende keine mehrere Router hintereinander, daher kann ich nicht wirklich was zu sagen oder testen. Wer Spaß dran hat, nur zu.

 

[ben8472]

Es macht z.B. sinn wenn ich die Fritzbox als 1. Router benutze damit Telefon problemlos läuft und dahinter eine Sophos UTM Firewall läuft die mein restliches Netz versorgt.

ein /62er Prefix bedeutet das du 4x /64 Netze anlegen kannst hinter der Fritzbox. Das /64 Subnetz ist die empfohlene Größe eines einzelnen für sich benutzbaren Subnetzes. (ähnlich dem /24 bei IPv4)

habe AVM noch ein Feedback Formular ausgefüllt, wäre schön wenn es ähnliches Feedback von anderen Nutzern gäbe, damit sich da was tut. Eingehende IPv6 Verbindungen zu delegierten Prefixen sollten kein exotisches "mambo-jambo" sein.

Hallo,
bitte schaffen Sie die Möglichkeit, eingehende IPv6 Verbindungen zu den von der Fritzbox delegierte /62 IPv6 Prefixen von nachgeschaltenen Routern zu ermöglichen. Derzeit ist es so, das die Fritzbox eingehende Verbindungen zu Adressen der delegierten Prefixen nachgeschalteter Router komplett filtert. Über die IPv6 Freigabe lassen sich diese nicht freigeben.

Zudem wäre es super, wenn man die Größe des zu delegierenden Prefixes größer wählen könnte. Mein Provider vergibt mir ein /48 ipv6 Netz (mehr als 65000 Subnetze), die Fritzbox verteilt aber nur ein /62 Netz (4 benutzbare Subnetze)

Vielen Dank.

XXX