[bytecode77]

Moin zusammen,

Da wir ja schon den 01.08. hatten, habe ich auch gleich die FRITZ!Box 6490 Cable eingerichtet und den wunderschönen Technicolor wieder zurück gegeben. Davon kann nun ein anderer Glückspilz profitieren.

Die FRITZ!Box funktioniert einwandfrei, jedoch möchte ich ein Port Forwarding für meinen PC einrichten. Das versuche ich jetzt schon Monate lang, bisher ohne Ergebnis.

Ich habe bereits aus dem relatierten Thread entnommen, dass meine IPv4 Adresse mit DS Lite hinter dem Provider NAT hängt und ein Forwarding nicht möglich ist. Ich möchte aber trotzdem eine NAT benutzen und mit der IPv6 Adresse vom Router selbst online sein. So kann ich die Dyn Domain vom Router selber updaten lassen, anstatt den DynUpdater zu installieren.

Aktuelle Konfiguration

• Der Router ist mit IPv6 online, die DS Lite Adresse kann ich glaube ich ignorieren - wenn ich DS Lite deaktiviere, bin ich offline
  
• Auf dem PC ist IPv6 aktiviert, sämtliche DHCP Einstellungen sollten stimmen
  
• Unter Internet|Permit Access|Port Sharing habe ich den Port XXXXX per TCP auf meinen Rechner weitergeleitet
  
• Unter Internet|Permit Access|IPv6 habe ich dasselbe nochmal gemacht, da ich nicht weiß, wo ich die Einstellung vornehmen muss
  
• Die IP mit der ich online bin stimmt nicht mit der vom Router überein. D.h. ich benutze keine NAT. (Wie kann ich das ändern?)
  
• Bei Dyn habe ich einen AAAA Eintrag mit der IPv6 Adresse vom Router vorgenommen. Erstmal manuell, automatisches Updaten über die FRITZ!Box richte ich ein, wenn das Forwarding funktioniert
  
• Teredo filter ist enabled
  
• Kein VPN oder irgend etwas außerhalb der Norm ist aktiv

PS. Was mein Kenntnissstand über Netzwerne angeht, bin ich bei IPv4 hängen geblieben. Das ganze IPv6 Zeug verstehe ich einfach nicht... Wie gesagt, ich bin da seit Monaten dran und wenn mir irgend jemand hilft, das zum laufen zu bringen, spendiere ich ein Red Bull

[DK2000]

NAT mit IPv6? Ist das nicht überflüssig? Bei IPv6 bekommt doch jedes Gerät seine eigene individuelle IPv6, welche nach außen weitergereicht wird. NAT war ja nur bei IPv4 interessant, wo man eine externe IP auf diverse intenre IPs verteilen konnte.

Und funktionieren würde das, was ich glaube, was Du vorhast, auch nur dann, wenn die eingehenden Verbindungen ebenfalls IPv6 verwenden bzw. über einen IP4to6 Tunnel kommen. Eingehende Verbindungen, welche nur IPv4 verwenden, würden keine Verbindung aufbauen können.

[javo]

Für solche Sachen gibt es in Facebook die Gruppe.......Unitymedia Selbsthilfe...... dort wurden schon mehrfach die Problematik geschildert und auch Lösungen angeboten.

[bytecode77]

 Zitat (DK2000: 07. August 2016 - 11:40)

NAT mit IPv6? Ist das nicht überflüssig? Bei IPv6 bekommt doch jedes Gerät seine eigene individuelle IPv6, welche nach außen weitergereicht wird. NAT war ja nur bei IPv4 interessant, wo man eine externe IP auf diverse intenre IPs verteilen konnte.

Wenn ich die IPv6 Adresse von meinem Rechner im Browser angebe, ist sogar Port 80 offen, obwhol ich den überhaupt nicht angegeben habe, sondern "Open firewall only for certain protocols" und dann Port XXXXX. Komisch, entweder alles ist erreichbar oder nichts. Wie kann ich nur bestimmte Ports freigeben?

Edit: Ich korrigiere mich - Von innen heraus ist alles offen und von außerhalb des Netzwerkes sagt ein IPv6 Port Checker, dass Port 80 und XXXXX zu sind.

Unabhängig davon, wie kann die FRTIZ!Box so konfigurieren, dass Dyn die IPv6 Adresse von einem bestimmten PC bekommt und nicht vom Router selbst? (Wäre der nächste Schritt)

Dieser Beitrag wurde von bytecode77 bearbeitet: 07. August 2016 - 17:00

[DK2000]

Wie Dyn jetzt Deine gerätespezifische IPv6 bekommt, gute Frage. Habe den Dienst nie verwendet. Meist haben die ja ein Tool für solche Zwecke. Müsste ich jetzt aber selber erst einmal nachforschen, wie Dyn arbeitet.

[bytecode77]

Das wäre ja eher der Next Step. Ich wäre ja froh, wenn ich schon mal die Firewall so konfiguriert kriege, dass mein Port offen ist...

Das hier sollte doch eigentlich richtig sein, oder?

[Sturmovik]

Die Fritzbox muss die global unicast address (2001:...) nur durchreichen.

Für dynamisches DNS muss ein Client des DNS-Anbieters auf dem Rechner laufen, der dem DNS-Server die neue IP mitteilt, wenn sich da was geändert hat. Die Fritze hat da nix groß zu tun außer Firewalltätigkeiten.

Edit: Da dein Portscan so seltsame Ergebnisse zeigt, prüfe mal, ob deine öffentliche Ipv6-Adresse überhaupt mit der deines Rechners übereinstimmt.
Am Ende läuft da doch irgendein NAT auf der Fritze. Nur weil NAT nicht mehr im Protokoll vorgesehen ist, heißt das ja nicht, dass diese Verschleierungstaktik nicht mehr möglich oder gar verboten ist.

Dieser Beitrag wurde von Sturmovik bearbeitet: 07. August 2016 - 17:21

[bytecode77]

 Zitat (Sturmovik: 07. August 2016 - 17:17)

Die Fritzbox muss die global unicast address (2001:...) nur durchreichen.

Für dynamisches DNS muss ein Client des DNS-Anbieters auf dem Rechner laufen, der dem DNS-Server die neue IP mitteilt, wenn sich da was geändert hat. Die Fritze hat da nix groß zu tun außer Firewalltätigkeiten.

Habe schon gemerkt, dass wenn ich das Updaten von der Domain über die FRITZ!Box laufen lasse, die Domain wohl eher die IPv6 Adresse der FRTIZ!Box selber bekommt.

Aber soweit bin ich noch nicht. Erst muss mein Port freigeschaltet sein. Wie auf dem Screenshot zu sehen, habe ich den Port für meinen Rechner explizit Freigeschaltet, jedoch ist er immer noch nicht erreichbar. Und zwar unabhängig von der Domain, ich teste im Moment alles über die IP Adresse direkt und um die Domain kümmere ich mich später.

Edit: Meine öffentliche IPv6 Adresse stimmt nicht mit der vom Router überein. Also keine NAT

Dieser Beitrag wurde von bytecode77 bearbeitet: 07. August 2016 - 17:24

[DK2000]

Ja, da ist wieder DS-Lite im Spiel und DS-Lite ist ja nicht gleich DS-Lite. Und eingehende Verbindungen und Kabelnetzbetreiber passen so oder so nicht wirklich zusammen.

Wenn Du z.B. auf die Seite http://ipv6-test.com/ gehst, was zeigt er Dir unter 'Type' der IPv6 an?

Und wie testest Du die Verbindung?

[bytecode77]

"Type Native IPv6" und Address ist meine, nicht die vom Router, d.h. keine NAT oder sowas in der Art.

Ich teste meine Verbindung hier und erhalte "Permission denied (13)".

Selbst wenn ich den Screenshot von oben nehme und "Open firewall completely for this device in the home network" wähle, kommt nichts durch. Die "Interface ID" auf dem Screenshot ist ebenfalls nicht meine IPv6 Adresse. Wenn ich diese Manuell eintrage ist der Port auch nicht erreichbar.

Unter Diagnostics|Security steht, dass Port XXXXX auf Computer mit IPv6 Adresse YYYY:YYYY:YYYY:YYYY weitergeleitet ist. Diese Adresse entspricht bei ipconfig der "IPv6 Address" und meine Online Adresse entspricht dort der "Temporary IPv6 Address".

[DK2000]

Es läuft aber euch ein IPv6 Dienst (z.B.Webserver) auf dem Zielrechner, der Antworten kann?

Native IPv6 ist schonmal gut.

[Sturmovik]

Laut Post #4 ist intern alles erreichbar. Schon seltsam. Ich hab immer noch die Fritz in Verdacht, dass die hier entweder heimlich was natted oder irgendwelchen anderen Mist macht. Vor allem, da auch nix errichbar ist, wenn die Firewall komplett geöffnet ist. Dafür hasse ich diese ganzen Plasterouter, die taugen alle nur als Modem.

@bytecode: was sagt denn netstat -aon ?
Vielleicht wärs für die Analyse auch sinnvoll, mal die IP-Adressen und den fraglichen Port zu posten, gern per PN.
(ipconfig und das was ipv6-test.com rauswirft)

Dieser Beitrag wurde von Sturmovik bearbeitet: 07. August 2016 - 18:32

[bytecode77]

Ehrlich gesagt, habe ich Angst, IP Adressen und Ports zu posten, da ich früher schon mit dem Technicolor festgestellt habe, dass jeder auf mein localhost, phpMyAdmin, etc. zugreiffen konnte. Es war entweder alles erreichbar, oder nichts. Aber ich denke die letzten X Stellen sollten zur Analyse ausreichen Der Port XXXXX ist der Port den ich freizugeben wünsche.

netstat -aon

Zitat

TCP [::]:XXXXX [::]:0 LISTENING

ipv6-test.com spuckt mir die IPv6 Adresse aus, die auch Google anzeigt: ***:afc und die DS Lite Adresse.
Type "Native IPv6"
IMCP "Filtered"

ipconfig

Zitat

IPv6 Address. . . . . . . . . . . : ***:d777
Temporary IPv6 Address. . . . . . : ***:afc

Unter Permit Access|IPv6 steht das Gerät mit ***:d777. Weder komplette Freigabe noch einzelne Ports inkl. Ping6 führen dazu, dass diese IP von außen erreichbar ist. Mit diesem Port Checker

[RalphS]

Nur zur Sicherheit: Portforwarding ist deaktiviert?

Das würde sich da ins Gehege kommen. IPv6 kommuniziert direkt, ohne NAT, ohne Forwarding, ohne irgendwas; aber dafür müssen halt die Clients ordentlich per Firewall gesichert werden, soweit der Router das nicht übernimmt (NAT zählt an dieser Stelle nicht).

Das Blöde an den FBs ist: die HABEN eine Firewall, die läuft auch (ist aktiv), aber man hat ohne Zusatzsoftware wie freetz keinen Zugriff drauf.

- Und die Firewall von dem 'Zielrechner' muß sauber laufen. Also zumindest sowas wie

10000 allow in tcp6 --ports 80,443 from any to me via <external_iface> keep-state

und falls das immer noch nicht tut (tracert gibt Auskunft) außerdem noch eine *ausgehende Regel konfigurieren, damit geantwortet werden kann.

Dieser Beitrag wurde von RalphS bearbeitet: 07. August 2016 - 19:01

[bytecode77]

 Zitat (RalphS: 07. August 2016 - 18:57)

Nur zur Sicherheit: Portforwarding ist deaktiviert?

Also was bei der FRITZ!Box unter "Port Sharing" läuft ist glaube ich Port Forwarding. Dort habe ich aktuell nichts eingetragen. Aber wo man das gezielt als Ganzes deaktivieren kann, weiß ich ehrlich gesagt nicht...

Die Windows Firewall habe ich komplett ausgeschaltet, um zusätzliche Komplexität zu vermeiden, während ich an der Problemlösung dran bin. Wenn alles geht, schalte ich sie wieder ein und kümmere mich im Anschluss ums Dyn.