[HowTo] Suche How2 für IPv6 VPN Server hinter Fritzbox

[sf3978]

...
gesetzt.

... <- auch gesetzt

OK, hast Du nach dem setzen auch:

sudo sysctl -p
sudo systemctl daemon-reload
sudo systemctl restart ddclient

ausgeführt oder alternativ, deinen PI rebootet?

-- Zusammenführung Doppelpost gemäß Boardregeln by stoney

Man braucht Privacy Adressen nicht abzuschalten, um EUI-64 Adressen zu nutzen. Es ist völlig normal, mehrere IPv6 Adressen auf dem System zu haben. Die werden für verschiedene Zwecke benutzt. Ein Client wie ein Webbrowser wird z.B. eine Privacy Adresse bevorzugen. Einen Server spricht man dagegen über eine dauerhaftere Adresse an. Das beißt sich überhaupt nicht.

Ja, aber hier geht es um einen Server und nicht um einen Client. Und ein Webbrowser hat m. E. auf einem Server nichts verloren. Und der user kann auch nichts dafür wenn AVM (es geht um FritzBoxen), die Art und Weise der Portfreigabe für IPv6, alleweil ändert. Mit einer einzigen externen IPv6-Adresse mit statischer Interface-ID, ist das eine eindeutige und saubere Sache. Aber auf solche Hinweise habe ich schon gewartet. ;-)

 

[bugmenotbugmenot]

Der Pi ist immer auch ein Client, z.B. für ntp und apt. Das Abschalten der Privacy Extensions ist einfach nicht nötig.
[Edit Novize: Gelöschten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

 

[deerhunter]

ausgeführt oder alternativ, deinen PI rebootet?

klar.
gleich in Image gezogen, für die Sicherheit ;-)

 

[sf3978]

Das Abschalten der Privacy Extensions ist einfach nicht nötig.

Wenn es um eine Server geht war, bin und bleibe ich anderer Meinung. Die PEs werden auf einem Server nicht gebraucht.

 

[bugmenotbugmenot]

Privacy Extensions abzuschalten ist ungefähr wie das Abschalten der Firewall: Zum Debugging kann das mal sinnvoll sein, aber dazu gehört immer der Hinweis, die wieder einzuschalten, wenn man das Problem gefunden hat. Du willst hoffentlich nicht den Mythos etablieren, Privacy Extensions wären irgendwie hinderlich. Die Privacy Adressen stören den Serverbetrieb nicht. Und Server sind immer auch Clients, die auf Update-, Time-, und DNS-Servern nicht ihre MAC-Adresse hinterlassen müssen. Wenn nicht damit aufgehört wird, IPv6 wie IPv4 zu behandeln, bekommen wir als nächstes IPv6-NAT.
[Edit Novize: Gelöschten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

 

[sf3978]

Privacy Extensions abzuschalten ist ungefähr wie das Abschalten der Firewall:

Das verstehe ich nicht. Man benutzt doch die v6-Firewall für das freigeben der v6-Ports, die aus dem Internet erreicht werden sollen.
Meine FritzBox (im RIP-Modus) hat auch eine v4-Firewall (analog der v6-Firewall). D. h. ich habe einen Server (als border device) mit einer externen IPv4-Adresse an meiner FritzBox (direkt im Internet). Es wird für diesen Server (mit der externen IPv4-Adresse kein NAT gemacht).

Wofür sollen diese PEs gut sein? Man war, ist und bleibt mit und ohne PEs, IPv6, IPv4, NAT, CGN, DS-lite, etc. nicht anonym und das ist auch gut so. Oder was willst Du mit den PEs erreichen? Es gibt doch so viele Möglichkeiten zur "Spurenverfolgung im Internet" bzw. es kommen immer neue, bessere und ausgefeiltere Möglichkeiten hinzu.

 

[bugmenotbugmenot]

Schreib doch gleich, dass du Privacy Extensions grundsätzlich ablehnst. Dann weiss man, woher der Tipp, die abzuschalten, kommt. <kopfschüttelemoji>
[Edit Novize: Gelöschten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

 

[sf3978]

Schreib doch gleich, dass du Privacy Extensions grundsätzlich ablehnst.

Nein. Ich benutze die PEs _nicht_ auf Server und _ignoriere_ die PEs auf Clients.

 

[deerhunter]

wollt ihr nicht einen Privatchat oder Fred eröffnen?

 

[sonyKatze]

Man braucht Privacy Adressen nicht abzuschalten, um EUI-64 Adressen zu nutzen. Es ist völlig normal, mehrere IPv6 Adressen auf dem System zu haben. Die werden für verschiedene Zwecke benutzt. Ein Client wie ein Webbrowser wird z.B. eine Privacy Adresse bevorzugen. Einen Server spricht man dagegen über eine dauerhaftere Adresse an.

Dann verlinke bitte eine Schritt-für-Schritt-Anleitung, wie das auf einem Debian basierten System wie Raspberry Pi einzurichten ist. Von Haus aus, legt Debian nämlich keine EUI-64 basierte IPv6 (zusätzlich) an. Und dann bitte noch eine Anleitung, wie ddclient zu überreden ist, immer die EUI-64 zu nehmen. Wirklich gerne willkommen.

Man war, ist und bleibt mit und ohne PEs […] nicht anonym […] es gibt doch so viele Möglichkeiten

Man sollte es aber auch nicht dem letzten Schnüffel-Trottel zu einfach machen … sonst hätte man sich das mit den Privacy-Extensions auch ganz sparen können. Wenn bugmenotbugmenot eine Anleitung für uns hat, ist doch gut.

 

[bugmenotbugmenot]

ip token set ::666 dev eth0

Beim Systemstart als root ausführen, also in rc.local oder per cron oder wie auch immer. Eth0 ist der Name des Netzwerkdevices. ::666 ist der lokale Teil der IPv6-Adresse, für den in der Fritzbox der Port freigegeben wird. Das Präfix kommt von der Fritzbox und die Fritzbox kann auch das DNS Update übernehmen.
[Edit Novize: Gelöschten Beitrag wieder hergestellt - Threadvandalismus wird nicht geduldet]

 

[deerhunter]

Nochmal ne andere Frage.
Mit IPv6 klappts ja nun an meinem DG Dual-Stack Anschluss einen OpenVPN zu conntecten.
Gehe ich recht in der Annahme, das der gleiche Weg über IPv4 aus dem Mobilfunknetz oder einem z.B. IPv4 Wlan im Urlaub nicht klappt?!
Hab mal Spasseshalber das Smartphone auf IPv4 geänder, da bekam ich keinen VPN connect.
Wenn ich im heimischen Netwerk via Wlan bin funktioniert der VPN connect via IPv4 mit openVPN client.
Das Problem scheint zu sein, dass bei der Fritzbox IPv4 Portfreigabe die Provider IPv4 steht und nicht die vom Raspi?

 

[sf3978]

... an meinem DG Dual-Stack Anschluss ....
Gehe ich recht in der Annahme, das der gleiche Weg über IPv4 aus dem Mobilfunknetz oder einem z.B. IPv4 Wlan im Urlaub nicht klappt?!

Naja, ich verstehe unter Dual-Stack = natives IPv6 + natives IPv4.
Du hast aber bei DG, natives IPv6 und IPv4 per CG-Nat. D. h., der Weg über IPv4 aus dem Mobilfunknetz kann nicht funktionieren.

 

[deerhunter]

Ok, danke.
Hab ich mir gedacht.

 

[Insti]

IPv4 Wlan im Urlaub nicht klappt?!

Nein, das klappt nicht.
Günstige Lösung ist ein IONOS VPS für 1.- im Monat auf dem du openvpn oder Wireguard installierst und dich darüber mit deinem Heimnetz verbindest.
Habe das auch so und das läuft sehr zuverlässig. Pi Zuhause ist dauerhaft mit dem VPS verbunden über Wireguard. Unterwegs kann ich mit dem Smartphone über die Wireguard APP mich mit dem VPS auch verbinden und damit auch in das Heimnetzwerk.

 

[sf3978]

... eine Anleitung, wie ddclient zu überreden ist, immer die EUI-64 zu nehmen.

Das kann man auch mit der Konfigurationsdatei des ddclient machen. Z. B.:

-use6=cmd
-cmd program          : obtain IP address from by calling {program}.

Auf dem Pi wird lediglich ein Script (oder ein binary) für "cmd" benötigt, das die EUI-64-basierte IPv6-Adresse ermittelt und an den ddclient übergibt.

EDIT:

BTW: Benutzt bzw. hat deine FritzBox eine externe IPv6-Adresse mit statischer Interface-ID und wenn ja, fungiert die FritzBox mit dieser externen IPv6-Adresse, evtl. als gateway?

 

[deerhunter]

Hallö,
um mein altes Thema noch mal aufzugreifen. Es klappt aus meinem IPv6 Mobilfunknetz seit Mai problemlos.
Im Urlaub musste ich allerdings feststellen, dass das Kanarische WLAN leider via IPv4 lief und nicht zu erreichen war.
Jemand Tipps, wie ich mein Himbeer VPN auch aus dem IPv4 Netz erreichen kann?

 

[frank_m24]

Ein Weg wäre ein IPv4 auf IPv6 Portmapper. Da kann man sich aber die Ports nicht aussuchen, die man bekommt. Die luxuriöse Variante ist ein eigener VPS, auf dem man entweder einen Portmapper einrichtet, oder der die Rolle des VPN Servers einnimmt. Auf den Server verbinden sich dann alle Clients (Raspi, Handys, ...).

 

[koyaanisqatsi]

Moinsen


Ein ganz normaler FTP/HTTP Proxy (nicht TOR, nicht Onion ) kann auch helfen.
...wenn der Dual Stack beherscht holt der IPv6 ab und liefert IPv4 aus.
Ist aber nicht für VPN geeignet.

Aber auch ein im Heimnetzwerk werkelnder Proxy der für das Internet freigegeben ist, kann sowas.
Hab ich mal mit "tinyproxy" gemacht.
Aber dann nur zeitweise und mit "rotierender" (dynamischer) Portnummer.
Denn so ein Proxy öffnet auch das Heimnetz für FTP/HTTP und HTTPS Zugriffe auf laufende Heimserver.
...VPN ohne Verschlüsselung, sozusagen.

 

[erik]

Wenn ich, wie bei der DG, eine öffentliche IPv6, aber nur eine nicht öffentliche IPv4 habe, kann ich mein Heimnetz und auch den dort befindlichen VPN-Server auch nur via IPv6 erreichen. Das ist dann aus einem IPv4-only Wlan genau so nicht möglich wie aus einem IPv4-only Mobilfunknetz. Dafür gibt es die genannten Portmapper wie die von dir vorher genutzte Fipbox, oder man bucht einen vServer mit IPv4-Adresse und richtet dort seinen VPN-Server oder einen eigenen Portmapper ein.