Standort Verbindung IPv4 und IPv6

Wenn du das ganze FritzBox Gedöns eingerichtet hast, dann müsstest du über deren DNS-Dienst (DynDNS Alternative) "immer" Zugriff per VPN haben.

Bezüglich des Verbindens, das machen Firmen ja auch. Also das geht alles.

Jetzt folgt halbgares Wissen, ich hoffe es kann mich sonst jemand korrigieren: Mit zwei Routern hast du quasi bspw. 192.168.12x.xxx als Adressbereich. Bei deinen Eltern wäre quasi 192.168.121.10-255 und bei dir 192.168.122.10-255 über die Subnetzmaske (normalerweise 255.255.255.0) teilst du den Geräten mit, dass sie auch im Bereich 192.168.21 bzw. 192.168.122 suchen können. Das betrifft aber nur IPv4, IPv6 hat da was ganz anderes und irgendwelche (konkurrierenden) Alternativen.

Das natten, also private IP Adressen im Netzwerk zu haben und diese dann im Router einer öffentlichen zuzuweisen gäbe es auch bei IPv6, aber ist Sinnlos, da jedes Gerät sehr viele IPv6 Adressen haben kann. Da gibt es dann lokal (fe80), link-lokal (fd00) und öffentlich.

Das VPN der Fritzbox unterstützt leider immer noch kein IPv6. Ich warte da auch schon seit Jahren drauf. Mit der Fritzbox allein wirst du hier also nicht weiterkommen, wenn du keine öffentliche IPv4-Adresse hast.

Ich habe nun schon seit einigen Jahren stattdessen einen separaten VPN-Server hinter der Fritzbox. Das ganze läuft über Strongswan mit IKEv2/IPsec und unterstützt problemlos IPv4 getunnelt in IPv6 und umgekehrt. Natürlich kann man damit auch ganze Netze miteinander verbinden. Für einen solchen Server könnte ein Raspberry Pi schon ausreichen.

Es gibt noch weitere Alternativen wie WireGuard, was gerade sehr angesagt ist.

wireguard gefällt mir auch sehr gut. Ein raspi4 mit wireguard und watchdog lässt sich recht einfach einrichten. Leider erhöht sich dadurch die Komplexität des Netzes.

Aber ich kann mir vorstellen, dass Fritz an vpn mit ipv6 arbeitet. Das hier bietet vielleicht schon eine Vorgehensweise an.

Zitat von pebbly

Wenn du das ganze FritzBox Gedöns eingerichtet hast, dann müsstest du über deren DNS-Dienst (DynDNS Alternative) "immer" Zugriff per VPN haben.

Bezüglich des Verbindens, das machen Firmen ja auch. Also das geht alles.

Das stimmt so leider nicht. DynDNS ist eben auch nur ein DNS-Service und kein Relay. Es bietet dir damit lediglich einen Hostname zu deinen IP-Adressen. Das bringt dir aber nichts, wenn diese Adressen von außen nicht erreichbar sind, was hier durch Dual Stack Lite der Fall ist. Der VPN-Server der Fritzbox versteht aktuell nur IPv4 und von außen kannst du keine Verbindungen zu einem solchen Anschluss direkt über IPv4 aufbauen.

es soll anbieter geben, die bei einem freundlichen anruf "ich würde gerne vpn nutzen..... könnte ich bitte dualstack kriegen" tatsächlich umstellen. versuch das doch mal als erstes.

bei mir hat es geklappt.

Zitat von Leggalucci

Reezy Na da bin ich froh, dass ich mit diesem Problem nicht alleine bin und du es bereits erfolgreich lösen konntest. Was ich jedoch noch nicht ganz verstehe: Wenn ich HINTER der Fritzbox einen eigenen VPN betreibe z.B Wireshark oder wie du es bereits mit Strongswan betreibe - WIE ist dieser dann von außen erreichbar? Hier habe ich noch einen "knick", das verstehe ich nicht.

Der Server ist dann von außen per IPv6 erreichbar. Im Gegensatz zu IPv4 ist ja dein IPv6-Präfix, welches du von deinem Provider erhältst, von außen problemlos erreichbar. Dein Server hinter der Fritzbox erhält seine eigene global erreichbare IPv6-Adresse (so wie auch jedes andere Gerät in deinem Netz). Du musst dann nur für genau diese Adresse bzw. dieses Gerät ein paar Firewall-Anpassungen in der Fritzbox vornehmen, da die Fritzbox standardmäßig alle Verbindungen von außen filtert. Bei einem IKEv2/IPsec-VPN gehört dazu das Öffnen des Ports 500 sowie das Zulassen von ESP-Paketen. Das lässt sich beides recht einfach über das Fritzbox-Menü konfigurieren.

Da du Synology erwähnt hast: Für Synology gibt es eine prima Anleitung für die Einrichtung eines OpenVPN-Servers über IPv6. Schau mal hier.

wireguard ist wohl performanter als openvpn und sicherer. Außerdem lässt es sich mit Docker einbinden. Eigentlich müsste es auch zudem mit Portainer funktionieren, was die Administration erleichtern könnte.

Ich finde bei Wireguard auch die Ausgabe von Schlüsseln per Qr-Code sehr schick.

Zitat von Leggalucci

DSLite

ist vereinfacht gesagt ipv4 in einer ipv6-verpackung. der betreffende anschluss hat nur noch eine ipv6-adresse (die öffentliche), und alles was an ipv4-zeugs unterwegs ist, wird sozusagen in eine ipv6-umverpackung gesteckt

das selbstgehostete Portmapping klingt doch ganz in Ordnung.

grt

Bei DSLite teilst Du dir mit zig anderen Usern ein und dieselbe iPv4 Adresse nach aussen. Einbahnstraße eben (da könnte man theor. viel Unfug mit machen ... aber macht nat. keiner. :D) . iPv6 selber läuft ja parallel unbeirrt davon für sich. Oder bin ich gerade auf dem Holzweg?

soweit ich das gelesen hab, gibts bei dslite keine öffentliche ipv4-adresse mehr, alles läuft übers ipv6-protokoll. ipv4-daten werden mit dem ipv6-protokoll "verpackt" und vom provider ausgepackt und weitergegeben. umgekehrt werden dort ankommende ipv4-daten eingepackt und an den anschluss als ipv6-päckchen geschickt. so spart der provider ganz einfach ipv4-adressen ein.

Sascha_77 stimmt.... der "verpackungsserver" des providers wird von diversen usern geteilt...

Ah, das es keine öffentlichen v4 mehr gibt wusste ich nicht. Hab zum Glück bei meinem Kabelanschluss Full Dual Stack. Habe ich bei jeder Tarifumstellung auch explizit betont, das ich v4 weiter behalten möchte.

Leggalucci Das müsste jemand anderes beantworten. Ich bin erstmal froh, dass ich noch mit Ipv4 arbeiten darf. Bis sich das ändert, gefällt mir die Idee, dass Geräteadressen auch fest vergeben werden können.

Frage ist auch mal wo das NAS, Drucker etc. steht. Wenn du von dem IPv6 Standort (also Standort Eltern) nur auf andere Bereiche ZUGREIFEN willst, kriegst das m.M. nach einfach hin.

Problematisch ist es, wenn hinter DS Light die Serverressourcen (also die Ressourcen auf die du zugreifen willst) liegen hast.

Das ERSTE was ich aber machen würde (wie grt auch schon angemerkt hat) wäre ein Anruf beim Provider und frag lieb nach ner IPv4 Adresse.