Zugriff auf Server oder eingehendes VPN mit DS-Lite-Anschlüssen

Wer z.B. bei einem günstigen DSL-Anbieter oder meist bei den Kabel-Anbietern (um diese geht es nachfolgend) mit einem DS-Lite-Anschluss bedient wird, hat zwar in der Regel beim durchschnittlichen Surfen keine Probleme, bekommt aber beim Betrieb eigener öffentlich zugänglicher Server oder wenn eingehendes VPN verwendet werden soll Schwierigkeiten, da zwar ein IPv6-Subnetz zur Verfügung steht oder keine öffentlich zugängliche IPv4-Adresse.

Mal abgesehen von den Gegebenheiten des Kabelanschlusses, da es ein shared medium ist (je mehr dran hängen, desto bescheidener wird’s) und meist die Upload-Rate eher mäßig ausfällt, macht einem das Fehlen einer öffentlichen IPv4-Adresse das Leben schwer, da IPv6 nicht unbedingt überall funktioniert.

Bei (Business-)DSL und Standleitungen sieht die Welt in der Regel anders aus. Je nach Region kann die Lage allerdings eine ganz andere sein wie Gespräche mit Kollegen neulich auf einer Schulung zeigten. Mitunter ist DSL keine Lösung, da nicht verfügbar oder grottenschlecht, so das dann eigentlich nur Kabel übrig bleibt (teurere Standleitungen, sofern sie überhaupt angeboten oder gebaut werden und SkyDSL lassen wir mal außen vor). Da es ja nach Anbieter oder sogar mit dem gleichen Anbieter und unterschiedlichen Ansprechpartner durchaus kuriose Geschichten geben kann, kommt erschwerend hinzu.

Eine öffentliche IPv4-Adresse gibt es im Regelfall nur mit Geschäftskundentarif, sofern verfügbar. Ein Gewerbenachweis kann dafür nötig sein, so mancher Kollege berichtete dabei, das mal danach gefragt wird, mal nicht, also irgendwie nicht einheitlich. Richtig witzig wurde dieses Thema bereits bei freien Berufen, da dort i.d.R. kein Gewerbe angemeldet ist. Ob der Anbieter das dann akzeptiert ist wiederum so eine (weitere) Sache.

Lange Vorrede. Jetzt hat es uns dieses Thema erwischt bei einer Kundin (freier Beruf) und nur ein Vodafone- (vormals Kabel Deutschland) Anschluss vorhanden. Es soll ein VPN verwendet werden, die Daten bleiben im Haus, also eingehend. Vorhanden ist eine AVM FRITZ!BOX 6490 Cable vom Anbieter. Der Anruf bei der Hotline war einigermaßen ernüchternd: Ja, Business-Tarif mit IPv4 wäre möglich, aber erst nach Ablauf der restlichen Vertragslaufzeit (ca. ein Jahr) und andere aktuell genutztes Tarif-Vorteile (TV/Handy/…-Komplettpaket) würden verloren gehen. Man kann sagen: “Doppelautsch” und meiner Meinung nach nicht im Sinne des Kunden, genau genommen auch nicht im Sinne des Anbieters. So lange und mit so vielen Nachteilen konnte und wollte man nicht warten, also musste ein Plan B her.

Dieser sieht so aus, das mit von IPv4 auf IPv6 tunnelt oder wenn man so will umleitet. Das Ganze geht relativ einfach und schnell mit wenig Aufwand von statten. An dieser Stelle kommt ein wenig Linux und das Paket 6tunnel ins Spiel, mit dessen Hilfe das Vorhaben schnell und gut umgesetzt werden kann. Auf diese Weise können recht bequem TCP-Verbindungen von IPv4 auf IPv6 umgeleitet werden. UDP- oder IPsec geht (leider) nicht.

Nebenbei bemerkt: Wem das Einrichten und betreiben eines Root- oder vServer zu aufwendig ist, der kann auf Dienste wie z.B. Feste-IP.Net – Portmapper (kostenpflichtig) zurückgreifen.

Voraussetzungen

Ein Root- oder vServer mit einer öffentlichen IPv4- und IPv6-Adresse und einem beliebigen Linux oder BSD. Nachfolgend wird Debian verwendet.

Zugang zum Provider-/Kabel-Router. In diesem Fall die zuvor erwähnte FRITZ!BOX, die Daten waren der Kundin bekannt, von daher kein Problem.

Die IPv6-Adresse des Routers/der FRITZ!BOX und des dahinter liegenden OpenVPN-Servers müssen bekannt sein. Beides lässt sich am Beispiel der FRITZ!BOX auf der Status-Seite und in der Heimnetzübersicht auslesen:

Ein OpenVPN-Server hinter dem Provider-/Kabel-Router. Das IPsec-basierte VPN der FRITZ!BOX kann aufgrund der Gegebenheiten nicht verwendet werden. Da die Kundin ein Synology-NAS einsetzt, war OpenVPN kein Problem. Alternativ kann z.B. ein Raspberry Pi, pfSense, OPNsense, usw. verwendet werden. Wichtig ist, das man den OpenVPN-Server von “udp” (Voreinstellung/Standard) auf “tcp” umstellen kann.

Schritt 1: Root- oder vServer vorbereiten

Wer (noch) keinen solchen Server hat kann günstig z.B. bei active-servers einen Mieten oder das kostenlose DHP Minipaket von KAMP nutzen. Letztgenanntes wurde für dieses Szenario herangezogen.

Wofür man sich entscheidet ist vom persönlichen Anspruch als auch ggf. den Datenmengen abhängig. KAMP beschränkt auf 10GB mit Gigabitgeschwindigkeit pro Tag (danach wird auf 10Mbit reduziert, kann erweitert werden). Damit kann man imho schonmal was anfangen. Wichtig ist, das man sich alle paar Wochen mal am ControlCenter anmeldet, da man sonst wegen Inaktivität bzw. Nicht-Nutzung rausfliegt.

Da nur ein wenig Netzwerkverkehr durchgeleitet wird, werden keine großartigen Ressourcen benötigt. Von daher Reichen die eine vCPU, der 1GB RAM und die 25GB Storage dicke aus. Als Betriebssystem wird schlicht das aktuelle Debian mit den Vorgaben installiert.

Bei KAMP wird “ab Werk” zunächst keine Verbindung zum vServer zugelassen. Dies verhindert die Firewall des DHP. Das installierte Linux lässt sich über die Konsole des DHP ControlCenter konfigurieren, alternativ kann man “ssh” (Port 22/tcp) freischalten. Für OpenVPN wird der Port “1194/tcp” (Nicht udp!) benötigt. Möchte man auch auf die FRITZ!BOX von extern zugreifen, so ist der entsprechende Port freizuschalten.

Hinweis: Der Port, den die FRITZ!BOX verwendet, wird einmalig dynamisch bei der Einrichtung von z.B. MyFRITZ festgelegt, dieser kann unter “Internet – Freigaben” eingesehen bzw. geändert werden.

Schritt 2: 6tunnel installieren, konfigurieren und automatischen Start einrichten

Läuft der Root- bzw. vServer soweit, kann 6tunnel installiert werden:

apt install 6tunnel

Die Syntax des Tools ist simple:

sudo 6tunnel 1194 <Ziel-IPv6-Adresse_oder_Hostname> 1194

So würde z.B. die Weiterleitung von OpenVPN schon funktionieren. Für jeden Port muss eine eigene 6tunnel-Instanz gestartet werden. Damit das automatisch z.B. nach einem Reboot funktioniert, kann man das Ganze als Shell-Skript verpacken und mittels cron ausführen lassen:

#!/bin/sh

# Da das Skript direkt nach dem (Re)Boot ausgefuehrt wird,
# erst einen Moment warten

sleep 10s

# Ggf. vorhandene 6tunnel-Instanzen beenden

killall 6tunnel

# Pause

sleep 10s

# 6tunnel starten

# FritzBox
6tunnel 49073 <Ziel-IPv6-Adresse_der_FRITZ!BOX> 49073

# OpenVPN
6tunnel 1194 <Ziel-IPv6-Adresse_des_Synology-NAS> 1194

Beim Test gab es direkt nach dem Neustart erstmal Schwierigkeiten, das nicht alle Tunnel aufgebaut wurden, daher die Pause von 10 Sekunden.

Nicht vergessen: Das Skript mittels “chmod +x tunnels.sh” ausführbar machen!

Dieses Shell-Skript muss zwingend mit root-Rechten ausgeführt werden. Daher es im crontab des root-Benutzers eintragen:

sudo crontab -e
@reboot /home/debian/tunnels.sh

Ab nun werden die Tunnel direkt nach dem Neustart, genau genommen nach der Pause, aufgebaut.

Schritt 3: Die FRITZ!BOX-Freigabe(n) einrichten

Die FRITZ!BOX-Firewall muss die Anfragen zu sich selbst bzw. zum OpenVPN-Server durchlassen. Dazu die entsprechenden Freigaben unter “Internet – Freigaben – Portfreigaben” erstellen:

Wichtig: Nur den “Internetzugriff über IPv6” aktivieren, andernfalls klappt es in dieser Konstellation nicht!

Bemerkung: Für die FRITZ!BOX selbst muss keine gesonderte Freigabe erstellt werden, dies geschieht z.B. bei der Einrichtung von MyFRITZ automatisch und wird an dieser Stelle auch nicht angezeigt.

Schritt 4: OpenVPN-Server einrichten

Je nachdem was man für einen OpenVPN-Server betreibt, fällt die Einrichtung unterschiedlich komplex aus. Wie bereits erwähnt kommt hier ein Synology-NAS zum Einsatz, daher ist die Einrichtung sehr einfach:

  • Über das “Paket-Zentrum” den “VPN Server” installieren.
  • Aus dem Hauptmenü dann “VPN Server” starten.
  • Unter “VPN Server einrichten” auf “OpenVPN” klicken.

Wenn man möchte, kann man die Voreinstellungen belassen. Wichtig ist nur das Protokoll von “udp” auf “tcp” zu ändern:

Hinweis: Unter “Privileg” können die VPN-Benutzer eingeschränkt werden. Es sollten nur die Benutzer das Recht haben sich per VPN einzuwählen, für die es relevant ist.

  • Abschließend auf “Konfigurationsdatei exportieren” klicken.

Schritt 5: OpenVPN-Client installieren und Einstellungen importieren

Je nach Betriebssystem stehen verschiedene OpenVPN-Clients zur Verfügung. Für Windows z.B. das Original oder die Variante von Securepoint, für MacOS z.B. Tunnelblick, usw. Unter Windows verwende ich gerne den Client von Securepoint, da dieser durch das “versteckte” Protokoll und die bessere farbliche Statusmeldung für den gemeinen Anwender leichter zu verstehen bzw. zu handhaben ist.

Bevor man nun die zuvor exportierte Konfigurationsdatei importiert, muss man das ZIP-Archiv entpacken und die darin enthaltene “VPNConfig.ovpn”-Datei editieren. Bei “YOUR_SERVER_IP” muss die IPv4-Adresse des vServers eingetragen werden. Nun kann die Datei in den jeweiligen OpenVPN-Client importiert werden. Beim (ersten) Verbindungsaufbau wird man nach Benutzername und Kennwort gefragt. Es gelten die gleichen Angaben, wie wenn man z.B. ein Netzaufwerk verbindet.

(Abschluss-)Bemerkung

Die hier vorgestellte Lösung ist nicht der einzige Weg, neben 6tunnel gibt es weitere Optionen, auch ließe sich mittels VPN noch was drehen. Mir erschien dieser Weg neben der Nutzung externer Portmapper-Dienste soweit als möglichst einfachster und kostengünstigster.

Quellen

Björn’s Techblog – Server hinter Unitymedia DS-Lite Anschluss betreiben

bjoerns1983/6tunnel_command.sh

wojtekka/6tunnel

ubuntu manuals – 6tunnel

askubuntu – How to set up a root cron job properly

nixCraft – Linux Execute Cron Job After System Reboot

Update 26.06.2018

Zur Info:

Feste-IP.net – Supportforum – Anleitung OpenVpn Unitymedia/DS-Lite Iphone

Neben 6tunnel soll das Ganze, gemeint das Weiterleiten von IPv4 zu IPv6, zudem mittels socat oder xinetd gehen:

serverfault – Use iptables to forward ipv6 to ipv4?

Update 23.07.2020

Links aktualisiert.

Update 23.01.2023

Kleine Korrekturen.

20 Kommentare

  1. Andy

    Hallo Wolfgang,

    6Tunnel verpackt die IPv4-Pakete in IPv6-Pakete.
    Wichtig in Verbindung mit OpenVPN ist das dieser auf TCP (Standard ist UDP) konfiguriert wird, da 6Tunnel nur TCP kann.
    Vom vServer aus muss dann der Port 1194/TCP auf die IPv6-Adresse des Raspi weitergeleitet werden.
    Die *.ovpn-Dateien für die Clients müssen die IPv4-Adresse des vServers und auch auf TCP eingestellt sein.

  2. Alex

    Hallo, Vielen Dank für die super Anleitung!
    Läuft super bei mir in dieser Kombination.

    Könntest du mir bitte nochmal erklären wie ich das Startskript anlege und ausführbar mache?
    Linux ist mir noch neu und ich weiß leider nicht wie man so etwas macht.

    Danke
    Alex

  3. Andy

    Hallo Alex,

    wie weit kommst du denn?
    Das Skript an sich kann beispielsweise mit nano oder vim erstellt werden.
    Alternativ von Windows aus via WinSCP.
    Damit das Skript ausgeführt werden kann muss mit chmod (steht im Beitrag) das entsprechende Recht zugewiesen werden.

  4. Harald

    Blöde Frage: Der OpenVPN-Server muss dann auch IPv6 können, oder? Leider kann das OpenVPN in QNAP nur IPv4. Aber wenn ich mir die Screenshots aus dem Artikel anschaue, wird doch beim Synology OpenVPN die Option “IPv6-Servermodus aktivieren” gar nicht angekreuzt. Wieso funktioniert das dann? Oder werden die IPv4-Pakete beim NAS dann wieder “ausgepackt”?

  5. Andy

    Nein, bei diesem Punkt geht es darum, das IPv6 über OpenVPN übertragen werden kann.

  6. Harald

    Super, danke für die schnelle Antwort. Schade, dann ärgere ich mich jetzt, dass ich mich damals gegen Synology und für QNAP entschieden habe. Naja, dann werde ich halt nen Raspi nehmen und dann gleich auf wireguard statt OpenVPN setzen… Aber dein Artikel hat mir trotzdem weitergeholfen 🙂

  7. Esko

    Hallo zusammen,

    mal für halbwissende: Kann ich damit von unterwegs aus meinem Tablet per Remotedestkopclient auf meinen Heim Desktop PC zugreifen ?

    Im WLAN Netzwerk geht das ja schon nativ, aber jeden Versuch den ich bisher gestartet habe von Unterwegs in mein Heimnetzwerk einzugreifen lief vergeblich. Ich möchte mir da ungern nochmehr Arbeit machen.

  8. Andy

    Ja, aber bloß kein RDP ohne VPN über das Internet nutzen!

  9. Gregor

    Hi, wie sieht es mit einem Home Webserver aus?
    Kann dieser an einem DS-Lite Anschluss betrieben werden?
    VPN hat bei mir den Webserver nicht erreichbar gemacht von außen.
    Cu

  10. Andy

    Ja, das ist möglich.
    I.d.R. wenn es nicht funktioniert liegt es an Firewall, Routing oder Zugriffe von außen oder dem VPN-Netz sind nicht auf den Webserver zugelassen.

  11. David

    Hi Andy,

    danke fuer dein Guide. Ist die Ziel IPv6 Adresse die FritzBox oder die Synology? Denke mal die FritzBox, da doch der Port freigegeben wird?

    Ist mir irgendwie nicht so ersichtlich, bin neu im Thema.

    Danke,
    David

  12. Andy

    Hallo David,

    da muss die IPv6-Adresse des Ziel-Geräts, am Beispiel des Beitrags vom Synology NAS, rein.
    Dein Gedankengang funktioniert nur für IPv4.

    Der Beitrag wurde in dieser Hinsicht etwas überarbeitet.

  13. Joshy

    Moin. Ich beisse mir seit einem Jahr die Zähne aus. Ich habe einen DS Lite Anschluss von Inexio. Bin der Anleitung hier gefolgt. Komme aber immer noch nicht weiter. Der vServer bei Kamp läuft. Ich kann wenn ich Open VPN connect starte auch sehen wie dieser angepingt wird. Jedoch wird die Anfrage abgelehnt. In der Fritzbox habe ich die Portfreigabe Anderes Gerät TCP 1194 Zugriff über IPV6. Im NAS OpenVPN installiert. eine Konfigurationsdatei erstellt. Diese mit der vServer IP bearbeitet und in VPN Connect eingelesen. Das fragt dann noch nach einer Zertifikatsdatei. Das crt Format kann es nicht gebrauchen. Also ohne Zertifikat. Da wird die Verbindung nicht aufgebaut. Ich habe keine Idee mehr.

  14. Klaus Frieseke

    Sehr einfach lässt sich diese DS-Lite Thematik auch mit einem einfachen, preiswerten vServer bei einem Provider lösen und den klassischen VPN Clients die jedes Betriebssystem immer mit an Bord hat.
    Eine sehr genaue Beschreibung für so ein einfaches Jumphost Setup findet man hier:
    https://administrator.de/tutorial/ikev2-vpn-server-fuer-windows-und-apple-clients-mit-raspberry-pi-1754377434.html

  15. Andy

    Ohne Zertifikat wird das nicht funktionieren, da PSK von Synology meines Wissens nach nicht unterstützt wird.
    Wie sehen denn die Logs von OpenVPN-Server und -Client aus?

  16. Andy

    Im Beitrag wird unter anderem ein vServer verwendet. Dies wird unter anderem bei den Voraussetzungen erwähnt.
    Ob nun IPsec IKEv2 einfacher ist mag Geschmackssache sein.
    Grundsätzlich gibt es mehrere Wege wie man das Thema angehen kann.
    Port-Mapper wie 6tunnel oder socat sind da ein (sehr einfacher) Weg und VPN-Lösungen ein anderer Weg.
    Zu letzterem gibt es ebenfalls mehrere Beiträge:

    https://www.andysblog.de/?s=ds-lite

  17. Joshy

    Ich habe es auch schon in anderen Foren versucht.
    Normalerweise bekomme ich sowas hin.
    Hier beisse ich mir jedoch die Zähne aus.
    Hatte auch schon vorgeschlagen einer schaut mal per Teamviewer in meine Fritte.
    Aber ich bekomme immer nur Sprüche. Ich total doof. Andere total schlau.
    Aber wirksam helfen will da niemand.
    Es ist da sehr frustrierend.

  18. Andy

    Das im Beitrag beschrieben Konstrukt habe ich 2018 erfolgreich gebaut und da lief das alles.
    Soweit mir bekannt ist sollte das auch heute noch oder so ähnlich gehen.
    Das eine oder andere Update wurde ja gepostet.

    > Ich kann wenn ich Open VPN connect starte auch sehen wie dieser angepingt wird. Jedoch wird die Anfrage abgelehnt.

    Wo genau sieht du das?

    Poste bitte mal anonymisiert die Logs von beiden OpenVPN-Seiten.

    Ansonsten: Ab Montag 09:00 Uhr bin ich wieder in der Firma erreichbar und kann mal per pcvisit schauen: https://its-weber.de/

  19. Joshy

    Ich sehe das im Server Log online. Das kann ich aufrufen. Da sehe ich dann wie von einer IP permanent versucht wird über den Port 1194 zu kommen.
    Das muss die IP sein die aus dem CGNAT resultiert.
    So lange bis der VPN Connect auf gibt. Dann ist da wieder Ruhe.

    Ich bin jetzt auch nicht daheim. Komme an das OpenVPN log daheim nicht ran.
    Erst Sonntag Abend vermutlich. Oder Montag. Oder Dienstag.
    Hängt am Streik. Weiß noch nicht wann und wie es heim geht.

  20. Andy

    Auf Server-Seite muss beim Verbindungsaufbau die öffentliche IPv6-Adresse des vServers erscheinen, da ja die Verbindung des Clients von IPv4 auf IPv6 durch 6tunnel auf dem vServer “übersetzt” wird.
    Ist das nicht der Fall, stimmt vmtl. etwas mit der 6tunnel- oder Client-Konfiguration nicht.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

© 2024 Andy's Blog

Theme von Anders NorénHoch ↑