Zugriff auf Server oder eingehendes VPN mit DS-Lite-Anschlüssen

Wer z.B. bei einem günstigen DSL-Anbieter oder meist bei den Kabel-Anbietern (um diese geht es nachfolgend) mit einem DS-Lite-Anschluss bedient wird, hat zwar in der Regel beim durchschnittlichen Surfen keine Probleme, bekommt aber beim Betrieb eigener öffentlich zugänglicher Server oder wenn eingehendes VPN verwendet werden soll Schwierigkeiten, da zwar ein IPv6-Subnetz zur Verfügung steht oder keine öffentlich zugängliche IPv4-Adresse.

Mal abgesehen von den Gegebenheiten des Kabelanschlusses, da es ein shared medium ist (je mehr dran hängen, desto bescheidener wird’s) und meist die Upload-Rate eher mässig ausfällt, macht einem das Fehlen einer öffentlichen IPv4-Adresse das Leben schwer, da IPv6 nicht unbedingt überall funktioniert.

Bei (Business-)DSL und Standleitungen sieht die Welt in der Regel anders aus. Je nach Region kann die Lage allerdings eine ganz andere sein wie Gespräche mit Kollegen neulich auf einer Schulung zeigten. Mitunter ist DSL keine Lösung, da nicht verfügbar oder grottenschlecht, so das dann eigentlich nur Kabel übrig bleibt (teuere Standleitungen, sofern sie überhaupt angeboten oder gebaut werden und SkyDSL lassen wir mal außen vor). Da es ja nach Anbieter oder sogar mit dem gleichen Anbieter und unterschiedlichen Ansprechpartner durchaus kuriose Geschichten geben kann, kommt erschwerend hinzu.

Eine öffentliche IPv4-Adresse gibt es im Regelfall nur mit Geschäftskundentarif, sofern verfügbar. Ein Gewerbenachweis kann dafür nötig sein, so mancher Kollege berichtete dabei, das mal danach gefragt wird, mal nicht, also irgendwie nicht einheitlich. Richtig witzig wurde dieses Thema bereits bei freien Berufen, da dort i.d.R. kein Gewerbe angemeldet ist. Ob der Anbieter das dann akzeptiert ist wiederum so eine (weitere) Sache.

Lange Vorrede. Jetzt hat es uns dieses Thema erwischt bei einer Kundin (freier Beruf) und nur ein Vodafone- (vormals Kabel Deutschland) Anschluss vorhanden. Es soll ein VPN verwendet werden, die Daten bleiben im Haus, also eingehend. Vorhanden ist eine AVM FRITZ!BOX 6490 Cable vom Anbieter. Der Anruf bei der Hotline war einigermaßen ernüchternd: Ja, Business-Tarif mit IPv4 wäre möglich, aber erst nach Ablauf der restlichen Vertragslaufzeit (ca. ein Jahr) und andere aktuell genutztes Tarif-Vorteile (TV/Handy/…-Komplettpaket) würden verloren gehen. Man kann sagen: Doppelautsch und meiner Meinung nach nicht im Sinne des Kunden, genau genommen auch nicht im Sinne des Anbieters. So lange und mit so vielen Nachteilen konnte und wollte man nicht warten, also musste ein Plan B her.

Dieser sieht so aus, das mit von IPv4 auf IPv6 tunnelt oder wenn man so will umleitet. Das Ganze geht relativ einfach und schnell mit wenig Aufwand von statten. An dieser Stelle kommt ein wenig Linux und das Paket 6tunnel ins Spiel, mit dessen Hilfe das Vorhaben schnell und gut umgesetzt werden kann. Auf diese Weise können recht bequem TCP-Verbindungen von IPv4 auf IPv6 umgeleitet werden. UDP- oder IPsec geht (leider) nicht.

Nebenbei bemerkt: Wem das Einrichten und betreiben eines Root- oder vServer zu aufwendig ist, der kann auf Dienste wie z.B. Feste-IP.Net – Portmapper (kostenpflichtig) zurückgreifen.

Voraussetzungen

Ein Root- oder vServer mit einer öffentlichen IPv4- und IPv6-Adresse und einem beliebigen Linux oder BSD. Nachfolgend wird Debian verwendet.

Zugang zum Provider-/Kabel-Router. In diesem Fall die zuvor erwähnte FRITZ!BOX, die Daten waren der Kundin bekannt, von daher kein Problem.

Die IPv6-Adresse des Routers/der FRITZ!BOX und des dahinter liegenden OpenVPN-Servers müssen bekannt sein. Beides lässt sicht am Beispiel der FRITZ!BOX auf der Status-Seite und in der Heimnetzübersicht auslesen:

Ein OpenVPN-Server hinter dem Provider-/Kabel-Router. Das IPsec-basierte VPN der FRITZ!BOX kann aufgrund der Gegebenheiten nicht verwendet werden. Da die Kundin ein Synology-NAS einsetzt, war OpenVPN kein Problem. Alternativ kann z.B. ein Raspberry PI, pfSense, OPNsense, usw. verwendet werden. Wichtig ist, das man den OpenVPN-Server von „udp“ (Voreinstellung/Standard) auf „tcp“ umstellen kann.

Schritt 1: Root- oder vServer vorbereiten

Wer (noch) keinen solchen Server hat kann günstig z.B. bei active-servers einen Mieten oder das kostenlose DHP Minipaket von KAMP nutzen. Letztgenanntes wurde für dieses Szenario herangezogen.

Wofür man sich entscheidet ist vom persönlichen Anspruch als auch ggf. den Datenmengen abhängig. KAMP beschränkt auf 10GB mit Gigabitgeschwindigkeit pro Tag (danach wird auf 10Mbit reduziert, kann erweitert werden). Damit kann man imho schonmal was anfangen. Wichtig ist, das man sich alle paar Wochen mal am ControlCenter anmeldet, da man sonst wegen Inaktivität bzw. Nicht-Nutzung rausfliegt:

Die neuen KAMP DHP Paketpreise

KAMP – FAQ

Da nur ein wenig Netzwerkverkehr durchgeleitet wird, werden keine grossartigen Ressourcen benötigt. Von daher Reichen die eine vCPU, der 1GB RAM und die 25GB Storage dicke aus. Als Betriebssystem wird schlicht das aktuelle Debian mit den Vorgaben installiert.

Bei KAMP wird „ab Werk“ zunächst keine Verbindung zum vServer zugelassen. Dies verhindert die Firewall des DHP. Das installierte Linux lässt sich über die Konsole des DHP ControlCenter konfigurieren, alternativ kann man „ssh“ (Port 22/tcp) freischalten. Für OpenVPN wird der Port „1194/tcp“ (Nicht udp!) benötigt. Möchte man auch auf die FRITZ!BOX von extern zugreifen, so ist der entsprechende Port freizuschalten.

Hinweis: Der Port, den die FRITZ!BOX verwendet, wird einmalig dynamisch bei der Einrichtung von z.B. MyFRITZ festgelegt, dieser kann unter „Internet – Freigaben“ eingesehen bzw. geändert werden.

Schritt 2: 6tunnel installieren, konfigurieren und automatischen Start einrichten

Läuft der Root- bzw. vServer soweit, kann 6tunnel installiert werden:

apt install 6tunnel

Die Syntax des Tools ist simple:

sudo 6tunnel 1194 <Ziel-IPv6-Adresse_oder_Hostname> 1194

So würde z.B. die Weiterleitung von OpenVPN schon funktionieren. Für jeden Port muss eine eigene 6tunnel-Instanz gestartet werden. Damit das automatisch z.B. nach einem Reboot funktioniert, kann man das Ganze als Shell-Skript verpacken und mittels cron ausführen lassen:

#!/bin/sh

# Da das Skript direkt nach dem (Re)Boot ausgefuehrt wird,
# erst einen Moment warten

sleep 10s

# Ggf. vorhandene 6tunnel-Instanzen beenden

killall 6tunnel

# Pause

sleep 10s

# 6tunnel starten

# FritzBox
6tunnel 49073 <Ziel-IPv6-Adresse_oder_Hostname> 49073

# OpenVPN
6tunnel 1194 <Ziel-IPv6-Adresse_oder_Hostname> 1194

Beim Test gab es direkt nach dem Neustart erstmal Schwierigkeiten, das nicht alle Tunnel aufgebaut wurden, daher die Pause von 10 Sekunden.

Nicht vergessen: Das Skript mittels „chmod +x tunnels.sh“ ausführbar machen!

Dieses Shell-Skript muss zwingend mit root-Rechten ausgeführt werden. Daher es im crontab des root-Benutzers eintragen:

sudo crontab -e
@reboot /home/debian/tunnels.sh

Ab nun werden die Tunnel direkt nach dem Neustart, genau genommen nach der Pause, aufgebaut.

Schritt 3: Die FRITZ!BOX-Freigabe(n) einrichten

Die FRITZ!BOX-Firewall muss die Anfragen zu sich selbst bzw. zum OpenVPN-Server durchlassen. Dazu die entsprechenden Freigaben unter „Internet – Freigaben – Portfreigaben“ erstellen:

Wichtig: Nur den „Internetzugriff über IPv6“ aktivieren, andernfalls klappt es in dieser Konstellation nicht!

Bemerkung: Für die FRITZ!BOX selbst muss keine gesonderte Freigabe erstellt werden, dies geschieht z.B. bei der Einrichtung von MyFRITZ automatisch und wird an dieser Stelle auch nicht angezeigt.

Schritt 4: OpenVPN-Server einrichten

Je nachdem was man für einen OpenVPN-Server betreibt, fällt die Einrichtung unterschiedlich komplex aus. Wie bereits erwähnt kommt hier ein Synology-NAS zum Einsatz, daher ist die Einrichtung sehr einfach:

  • Über das „Paket-Zentrum“ den „VPN Server“ installieren.
  • Aus dem Hauptmenü dann „VPN Server“ starten.
  • Unter „VPN Server einrichten“ auf „OpenVPN“ klicken.

Wenn man möchte, kann man die Voreinstellungen belassen. Wichtig ist nur das Protokoll von „udp“ auf „tcp“ zu ändern:

Hinweis: Unter „Privileg“ können die VPN-Benutzer eingeschränkt werden. Es sollten nur die Benutzer das Recht haben sich per VPN einzuwählen, für die es relevant ist.

  • Abschließend auf „Konfigurationsdatei exportieren“ klicken.

Schritt 5: OpenVPN-Client installieren und Einstellungen importieren

Je nach Betriebssystem stehen verschiedene OpenVPN-Clients zur Verfügung. Für Windows z.B. das Original oder die Variante von Securepoint, für MacOS z.B. Tunnelblick, usw. Unter Windows verwende ich gerne den Client von Securepoint, da dieser durch das „versteckte“ Protokoll und die bessere farbliche Statusmeldung für den gemeinen Anwender leichter zu verstehen bzw. zu handhaben ist.

Bevor man nun die zuvor exportierte Konfigurationsdatei importiert, muss man das ZIP-Archiv entpacken und die darin enthaltene „VPNConfig.ovpn“-Datei editieren. Bei „YOUR_SERVER_IP“ muss die IPv4-Adresse des vServers eingetragen werden. Nun kann die Datei in den jeweiligen OpenVPN-Client importiert werden. Beim (ersten) Verbindungsaufbau wird man nach Benutzername und Kennwort gefragt. Es gelten die gleichen Angaben, wie wenn man z.B. ein Netzaufwerk verbindet.

(Abschluss-)Bemerkung

Die hier vorgestellte Lösung ist nicht der einzige Weg, neben 6tunnel gibt es weitere Optionen, auch liese sich mittels VPN noch was drehen. Mir erschien dieser Weg neben der Nutzung externer Portmapper-Dienste soweit als möglichst einfachster und kostengünstigster.

Quellen

Björn’s Techblog – Server hinter Unitymedia DS-Lite Anschluss betreiben

bjoerns1983/6tunnel_command.sh

wojtekka/6tunnel

ubuntu manuals – 6tunnel

askubuntu – How to set up a root cron job properly

nixCraft – Linux Execute Cron Job After System Reboot

Update 26.06.2018

Zur Info:

Feste-IP.net – Supportforum – Anleitung OpenVpn Unitymedia/DS-Lite Iphone

Neben 6tunnel soll das Ganze, gemeint das Weiterleiten von IPv4 zu IPv6, zudem mittels socat oder xinetd gehen:

serverfault – Use iptables to forward ipv6 to ipv4?

16 Kommentare

  • Interessanter Artikel.
    Zu VF(Kabel) ich wurde vor nehm Jahr+- ohne zu murren auf IPv4 umgestellt, ich musste nur sagen warum (Homeserver, VPN, reichte).

    Ich habe allerdings direkt bei der technischen Hotline und nicht im Verkauf angerufen – vlt. macht das den Unterschied ?

  • Thomas Schäfer

    Den angemieteten Server und den Zwang zu TCP kann man übrigens umgehen, indem man einfach auch auf Clientseite IPv6 nutzt.

  • @Daniel:

    Wie erwähnt, kommt auf den Anbieter, Tarif und wohl auch darauf an, wen man am Rohr hat. Manche sind des Könnens und Willens mächtig, das (kurzfristig) zu ändern, Manche nicht. Das mag auch von der Region abhängig sein, denn die Netze sind nicht überall gleich.

    @Thomas:

    Stimmt, aber wenn das nicht geht, bleibt nur der Umweg. In manchen LANs wird IPv6 immer noch gefiltert und auch der Weg durch’s Internet ist nicht immer ohne Unterbrechung gegeben. Bei einer AVM-Schulung neulich kam das Thema auch auf. Der Schulungsleiter erzählt dabei von seinen Tests, da er viel unterwegs ist kann er von vielen unterschiedlichen Standorten und Netzen aus probieren und meinte dazu, das er nur im geringen Prozentbereich mit IPv6 durchkommt.

  • Thomas Schäfer

    Hätte er eine Sim der Telekom dabei gehabt, hätte er andere Erfahrungen gemacht. Hat er auch etwas dazu gesagt, warum AVM kein zeitgemäßes VPN implementiert?
    AVM ist doch der Grund warum man zu solchen Hacks greifen muss.

  • Über welche Wege alles getestet wurde und wird kann ich nicht beantworten. Aus eigener Erfahrung kann ich sagen, das eben IPv6 nicht überall oder durchgängig tut.

    Was ist gegen IPsec einzuwenden bzw. definiere „zeitgemäßes VPN“?
    Ich persönlich ziehe OpenVPN vor, weil imho einfacher und störungsfreier.

    Aber dieser Workaround oder Hack wenn man so möchte hat jetzt nichts speziell mit AVM oder IPsec zu tun, sondern eben DS-Lite und IPv6.

    Früher, ist x Jahre her, hatte ich mehr Ärger mit IPsec als heute. Das mag daran liegen, das heute das „durchleitende“ Equipment besser geworden ist. Seinerzeit gab es gerne mal Probleme in der Richtung, das z.B. durch manche Router nur ein IPsec-Tunnel durchgelassen oder die Pakete irgendwie verstümmelt wurden.

  • Thomas Schäfer

    Gegen IPsec ist nichts einzuwenden,nur gegen fehlendes IPsec via IPv6.
    Da gibt es zwar auch noch Hürden, dies steht außer Frage, nur Hürde Nr.1 ist die nicht vorhandene Implementierung in der Fritzbox.

  • Hm, ok. Das mag an der Zielgruppe für diese Router liegen, ist halt hauptsächlich SoHo. Wer mehr machen möchte kann ja einen anderen Router oder einen eigenen VPN-Server auf Raspi-Basis etc. nutzen. Oder dann auf Basis von ssh oder stunnel tunneln, kommt halt immer darauf an. Zum Glück hat man heute mehr, einfacher oder günstigere Möglichkeiten als z.B. vor 15 oder 20 Jahren.

  • Thomas Schäfer

    Die Zielgruppe „SoHo“ ist aber hauptsächlich von DS-lite ( und damit IPv6-only für VPN-Server) betroffen.
    Du bist nicht AVM. Du hast einen Workaround dokumentiert. Vielen Dank dafür!

  • danke schonmal für die Tipps, allerdings wäre ich um eine kleinere schritt für schritt anweisung gerade beim Server einrichten sehr dankbar. ich komme nicht aufs debian drauf und kann auch keine kommandos eingeben.

  • Firewall bei KAMP konfiguriert?
    Klappt der Zugriff direkt bei KAMP auf der Konsole?

  • hallo andy, da gehts schon los 😀 ich kann die konsole öffnen, er verbindet sich auch, allerdings gehts mit dem login dann schon nicht weiter. Ich muss aber acuh gestehen, dass ich mit linux nicht wirklich vertraut bin, nen raspi als homematic server einzurichten hab ich aber hinbekommen. Sollte also Grund zur Hoffnung geben.

  • Was ich schonmal hatte war, das der Browser getreikt hatte und man gar nicht so wirklich auf die Konsole gekommen ist.
    Von daher erstmal die Frage, ob überhaupt eine Abfrage nach den Anmeldedaten kommt und ggf. mal mit einem anderen Browser testen.

  • die konsole öffent sich und ich darf auch die login daten eingeben. Nutzen tu ich den neusten Firefox, ich probier später aber auch mal den Inet explorer

  • Firefox und Chrome/Chromium ist i.d.R. völlig ok. Ggf. macht auch ein Virenschutz Probleme. IE macht meist mehr Probleme als das er nutzen bringt.
    Was genau passiert denn nach der Eingabe von Benutzername/Kennwort? Bleibt die Konsole schwarz und erscheint nur ein Eingabeprompt oder erscheint überhaupt nichts?
    Der Vollständigkeit halber: Auf der Konsole gibt es keine grafische Oberfläche.

  • die konsole bleibt schwarz mit einem grünen Kästchen, oder aber er meldet immer falsche LoginDaten.

  • Der Standardbenutzername bei KAMP nach dem Setup lautet „debian“ + das Kennwort. Je nachdem was man für Sonderzeichen im Kennwort hat, kann das durchaus Schwierigkeiten bereiten.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.