staging.inyokaproject.org

Hallo zusammen, ich komme mit der Fehlersuche und Fehlerbehebung nicht weiter.

Ich habe eine Jitsi-Meet-Server-Instanz eingerichtet. Der Zugriff von außen erfolgt über die sub-sub-Domain eines DDNS-Dienstleisters (z.B. meat.irgendetwas.myfritz.net). Wenn ich aus Richtung des Webs über IPv4 auf den http- oder https-Server zugreife erscheint korrekt die http-Testseite bzw. die Hauptseite der Jitsi-Instanz.

Wenn ich den selben Zugriff über eine IPv6-Adresse versuche, dann antwortet der Jitsi-Server nicht (Basis ist nginx). Weder die Testseite noch die Jitsi-Instanz kann erreicht werden.

Was ich bereits geprüft habe: In der Fritzbox ist die Freigabe sowohl als IPv4, als auch als IPv6 erfolgt.

Die Ausgabe von sudo netstat -anlp | grep nginx zeigt:

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      817/nginx: master p
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      817/nginx: master p
tcp6       0      0 :::80                   :::*                    LISTEN      817/nginx: master p
tcp6       0      0 :::443                  :::*                    LISTEN      817/nginx: master p
unix  3      [ ]         STREAM     CONNECTED     34135    817/nginx: master p
unix  3      [ ]         STREAM     CONNECTED     34136    817/nginx: master p
unix  3      [ ]         STREAM     CONNECTED     34134    817/nginx: master p
unix  3      [ ]         STREAM     CONNECTED     34137    817/nginx: master p

Die Ausgabe von sudo ufw status zeigt:

Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
443/tcp                    ALLOW       Anywhere
4443/tcp                   ALLOW       Anywhere
10000:20000/udp            ALLOW       Anywhere
22/tcp (v6)                ALLOW       Anywhere (v6)
80/tcp (v6)                ALLOW       Anywhere (v6)
443/tcp (v6)               ALLOW       Anywhere (v6)
4443/tcp (v6)              ALLOW       Anywhere (v6)
10000:20000/udp (v6)       ALLOW       Anywhere (v6)

Die Ausgabe von ifconfig zeigt:

enp1s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.188.15  netmask 255.255.255.0  broadcast 192.168.188.255
        inet6 fe80::Interface-Identifier  prefixlen 64  scopeid 0x20<link>
        inet6 Präfix:Interface-Identifier  prefixlen 64  scopeid 0x0<global>
        ether MAC-Adresse  txqueuelen 1000  (Ethernet)
        RX packets 2217999151  bytes 203473717647 (203.4 GB)
        RX errors 6  dropped 118432  overruns 0  frame 6
        TX packets 5750  bytes 797629509 (797.6 MB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
        device interrupt 22  memory 0xfca80000-fcaa0000

Mir ist aufgefallen, dass zwar das Präfix des Servers und der sub-Domain bei myfritz.net identisch ist, sich aber die Interface-Identifier unterscheiden. Ich habe (von außerhalb) beide IPv6-Adressen ausprobiert. Bei beiden kommt keine Verbindung zum Server zustande.

Wie finde ich jetzt den Fehler, bzw. was muß ich korrigieren?

Prüfe als erstes mal lokal auf dem Server, z.B. mit Lynx, ob der Webserver erreicht werden kann (ne Konferenz wird damit natürlich nicht gehen, aber man sollte den HTML-Kram bekommen). So siehst du, ob die IP überhaupt stimmt und vom Server selbst erreichbar ist.

Im AAAA-Record deines Domainnamen MUSS die IP des Servers drinstehen, wenn da was anderes drinsteht geht es nicht. Ich würde daher entweder eine feste IPv6 dem Server geben und die da eintragen oder die EUI64-Adresse nehmen, der Host-Identifier ist da nämlich von der MAC abhängig und ändert sich somit nur mit Änderung der Netzwerkkarte/Spoofen der MAC.

Im Home-Netz sind beide sites unter der IPv4 und unter der IPv6 erreichbar; jedenfall kann ich den Server von anderen Geräten aus aufrufen und erhalte die richtigen Antworten. Die nginx-Testseite und die Jitsi-Meet-Startseite werden angezeigt.

Im AAAA-Record deines Domainnamen MUSS die IP des Servers drinstehen, wenn da was anderes drinsteht geht es nicht. Ich würde daher entweder eine feste IPv6 dem Server geben und die da eintragen oder die EUI64-Adresse nehmen, der Host-Identifier ist da nämlich von der MAC abhängig und ändert sich somit nur mit Änderung der Netzwerkkarte/Spoofen der MAC.

Hinsichtlich Deines zweiten Hinweises (EUI64-Adresse) habe ich erst heute später Zeit für eine Anpassung.

Irritieren tut mich, dass die Fritzbox einen anderen Identifier bei Myfritz.net einstellt, als der Server selbst als seinen Identifier angibt. Die Identifier in der Fritzbos-Freigabe und in myfritz.net sind wiederum identisch.

Was zeigt denn

dig xyz.meinedomain.de AAAA

Ist das die IP vom Server? Bei IPv4 wird wahrscheinlich NAT gemacht (das macht deine Fritte), die IPv4 von der Fritte auf der WAN-Seite (die steht im A-Record) und die IP vom Server ist unterschiedlich. Bei IPv6 wird KEIN NAT gemacht. Der Server hat eine öffentliche IPv6. Genau diese muss im AAAA-Record von der Domain vom Jitsi stehen. Es darf NICHT die IPv6 der Fritte im AAAA-Record der Jitsi-Domain stehen.

Daher kann die Fritte das DynDNS zumindest für den AAAA-Record für IPv6 gar nicht machen. Das muss vom Server aus geschehen. Sofern sich dein Präfix nicht ändert kannst du da drauf verzichten und dafür sorgen, dass die IPv6-Adresse immer gleich bleibt. Dann wird einmal der AAAA-Record eingerichtet und bleibt so, ein DynDNS-Update für den AAAA-Record ist dann nicht mehr erforderlich.

Hallo DJKUHpisse, Du hast mich indirekt auf die richtige Spur gebracht. Heute Vormittag war ich wohl etwas daneben.

Was zeigt denn dig xyz.meinedomain.de AAAA Ist das die IP vom Server? ..... usw.

Die Ausgabe zeigt exakt das, was bei der myfritz.net-Subdomain hinterlegt wurde - sie war aber nicht exakt die richtige öffentliche Adresse des Servers, auf welcher die Jitsi-Domain gehostet wird.

Aus irgendeinem Grund hatte die Fritzbox unter Internet/Freigaben/für Gerät(Server-Name)/im Feld "IPv6 Internface-ID einen falschen Eintrag. Nachdem ich diesen Eintrag in der Fritzbox korrigert und myfritz.net aktualisiert habe, lief alles wie es sollte.

Danke für Deine Hinweise Gruß

Moment, wie läuft nun dein DynDNS für IPv6?

Die FB müsste, wenn die das macht, NICHT ihre eigene Adresse als AAAA-Record liefern, sondern die des Servers. Ist dir klar, warum?

Ich habe heute morgen die Angaben in der Fritte bezüglich des DDns-Updates überprüft und das Update manuell angestoßen. Es hat funktioniert und die korrekte Adresse aus neuem /64-Präfix und "richtigem" Indentifier hinterlegt. "Richtig" meint hier den Identifier des Servers, NICHT den Identifier der Fritzbox, da bei IPv6 kein NAT stattfindet.

Ich habe die Erreichberkeit aus dem web danach noch einmal geprüft. Es hat funktioniert.

MfG, Danke

Roete1958 schrieb:

Ich habe die Erreichberkeit aus dem web danach noch einmal geprüft. Es hat funktioniert.

Bist Du sicher, dass Du deinen Server auch per IPv6 und nicht per IPv4 erreicht hast?

Denn (wenn per IPv6) würde das ja bedeuten, dass man einen MyFritz-account auch zum erreichen/verbinden aus dem Internet, per IPv6 für Geräte die mit der FritzBox verbunden sind (... und nicht nur für die FritzBox selber) verwenden kann. D. h. ein v6-dyndns-Client wird auf den Geräten die mit der FritzBox verbunden sind, nicht mehr benötigt?

Bist Du sicher, dass Du deinen Server auch per IPv6 und nicht per IPv4 erreicht hast?

Ja, ich bin mir sicher.

Denn (wenn per IPv6) würde das ja bedeuten, dass man einen MyFritz-account auch zum erreichen/verbinden aus dem Internet, per IPv6 für Geräte die mit der FritzBox verbunden sind (... und nicht nur für die FritzBox selber) verwenden kann. D. h. ein v6-dyndns-Client wird auf den Geräten die mit der FritzBox verbunden sind, nicht mehr benötigt?

Ich bin mir jedenfalls sicher bezogen auf die Fritte 7590 mit neuester Firmware FRITZ!OS: 07.25: siehe auch Andrijan Möcker in c't Magazin vom 8.5.2020 "Fritzbox: DynDNS mit IPv6 einrichten" und "DynDNS mit IPv6 leicht gemacht" in Heise c't Sonderheft "ADMIN".

Die Fritte erhält bei Eintrag der Freigabe eines Netzwerkgerätes den 64-Bit-Identifier mitgeteilt (siehe Bild-Anhang zu meinem Post vom 7.5. 19:34 Uhr). Da sich dieser Eintrag aus der MAC ergibt, ist er in diesem Fall statisch. Diese Identifier-ID wird zum Beispiel als sub-Domain-Record "jitsi" in meiner Zone "meine-Domain.dynv6.net" eingetragen. Wenn mit der IPv6-Freigabe auch eine MyFritz-Freigabe für v6 eingerichtet wird, dann pflegt die Fritte auch einen separaten Eintrag wie zum Beispiel "jitsi.kryptisch.myfritz.net" und nicht nur für die Fritte selbst ("kryptisch.myfritz.net"). Die /64-Identifier für das Netzgerät und für die Fritte unterscheiden sich selbstverständlich dabei.

Bei manchen DynDNS-Dienstleistern - zum Beispiel DynV6.com - aber nicht bei allen - ist es möglich nach dem ersten Update der IP nur noch das periodisch vom Provider neu vergebene /64-Präfix zu übermitteln. Dabei setzt der DynDNS-Dienst beim Update die neue /128-Adresse aus beiden /64-Teiladressen zusammen.

Letztlich hat man dann zwei verschiedene Möglichkeiten auf die IPv6-Adresse zuzugreifen: erstens über MyFritz.net und zeitgleich über DynV6.com. Mit dem DynDNS-Anbieter deSEC soll auch DNSSEC möglich sein. Auch soll es möglich sein per CNAME von von der dynV6-Adresse auf die MyFritz-Adresse zu verweisen. Dann bräuchte die FritzBox nur noch MyFritz bei Wechsel des Präfixes up-to-date erhalten.

Soweit die Theorie. Ich hatte hier mein Problem selbst verbockt: Ich hatte den ursprünglichen virtuellen Testserver (Ubuntu Server 20.04) nach einem Test neu aufgesetzt und für die Home-Netz-IP und den Hostname die gleichen Werte gesetzt. Um die MAC und den Fritzbox-Freigabe-Eintrag habe ich mich nicht gekümmert. (Zeigte ja auch immer grün und Internet-Zugang). Die Fritte hatte den Identifier-ID-Eintrag (siehe oben) aber nicht selbstständig angepasst.

Erst durch die Fragen von DJKUHpisse wurde ich auf diesen, meinen eigenen Fehler aufmerksam.

Roete1958 schrieb:

Ich bin mir jedenfalls sicher bezogen auf die Fritte 7590 mit neuester Firmware FRITZ!OS: 07.25: siehe auch Andrijan Möcker in c't Magazin vom 8.5.2020 "Fritzbox: DynDNS mit IPv6 einrichten" und "DynDNS mit IPv6 leicht gemacht" in Heise c't Sonderheft "ADMIN".

OK, das wollte ich wissen. Danke für den Hinweis.