staging.inyokaproject.org

via DuckDuckGo

IPv6 Konfiguration, REchner aus dem Internet nicht erreichbar

Status: Ungelöst | Ubuntu-Version: Kubuntu 22.10 (Kinetic Kudu)
Antworten |

mensch_meier

Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 12:43 (zuletzt bearbeitet: 10. Dezember 2022 12:43)

Ich habe ein Problem mit meiner Netzwwerk-Konfiguration, das mir erst mit dem Upgrade meiner Fritzbox 7590 auf OS 7.50 aufgefallen ist.

In meiner FB habe ich IPv4 und IPv6 aktiviert. Weiterhin habe ich einen Rechner im meine LAN, der als HTTP(S)-Server, Bitwarden, Wireguard, DNS-Resolver und einiges mehr. Portfreigaben (unter FB Os 7.29 hiess das glaube ich Portforwarding)für IPv4 und IPv6 zu dem Rechner habe ich eingetragen. Einen DynDNS-Eintrag in der Fritzbox (ich nutze ddnss.de) habe ich auch.

Wie gesagt mit dem Upgrade der Fritzbox verhält sich ipv6 m.E. etwas anders; z.B. kann der Wireguard-Tunnel nicht mehr aufgebaut werden. Was muss ich nun tun, damit ich den Server in meinem LAN über IPv6 aus dem Internet erreichen kann. Nach meinem Verständnis sind das:

  1. der Router muss IPv6 unterstützen

  2. der Rechner, der erreichbar sein soll, muss eine IPv6 haben

  3. Firewall im Router muss die relevanten Ports zu dem Rechner öffnen

  4. die IPv6 des Rechners muss via DynDNS bekannt gemacht werden

Ich habe also:

1. in der Fritzbox IPv6-Unterstützung aktiviert, dabei natives IPv4. Der Router bekommt IPv6 und IPv4-Adressen: 

1
2
3
IPv4-Adresse: 91.35.234.240
            IPv6-Adresse: 2003:c6:dfff:4bd7:cece:1eff:feae:c549/64, Gültigkeit: 14391/1791s
            IPv6-Präfix: 2003:c6:df4b:7b00::/56, Gültigkeit: 14385/1785s

2. Mein Rechner hat folgende Werte für die Ethernet-Schnittstelle: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.188.22  netmask 255.255.255.0  broadcast 192.168.188.255
        inet6 2003:c6:df4a:9c00:6069:22f:21b:ad68  prefixlen 64  scopeid 0x0<global>
        inet6 fd00::8acb:595c:9ab3:f69b  prefixlen 64  scopeid 0x0<global>
        inet6 fe80::6e32:7ba4:6b86:952b  prefixlen 64  scopeid 0x20<link>
        inet6 2003:c6:df4b:7b00:3187:d8cc:755e:d807  prefixlen 64  scopeid 0x0<global>
        ether xxxxxxxxxxxxxxx  txqueuelen 1000  (Ethernet)
        RX packets 19170292  bytes 10429144520 (9.7 GiB)
        RX errors 0  dropped 2  overruns 0  frame 0
        TX packets 21719956  bytes 11433708109 (10.6 GiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

3. in meiner Fritzbox sehen die Portfreigaben so aus: siehe Anhang

4. ich habe auf dem Rechner ddclient installiert und konfiguriert. Eine Anweisung zur Aktualiesrung des DynDNS-Eintrags ist erfolgreich: 

1
2
  $ddclient -force
        SUCCESS:  updating xxxx.ddnss.de: good: IP address set to 2003:c6:df4b:7b00:3187:d8cc:755e:d807

Leider ist damit der HTTPS-Server aus dem WWW nicht erreichbar, auch die Nutzung von Wireguard klappt nicht.

ein Lookup im LAN klappt 

1
2
3
4
5
6
7
$nslookup xxx.ddnss.de
Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
Name:   xxx.ddnss.de
Address: 2003:c6:df4b:7b00:3187:d8cc:755e:d807

mit dig sieht aber anders aus, warum auch immer: 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
$dig xxx.ddnss.de

; <<>> DiG 9.18.4-2ubuntu2-Ubuntu <<>> xxx.ddnss.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64428
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;xxx.ddnss.de.          IN      A

;; Query time: 7 msec
;; SERVER: 127.0.0.53#53(127.0.0.53) (UDP)
;; WHEN: Sat Dec 10 12:14:55 CET 2022
;; MSG SIZE  rcvd: 49

Kann mir jemand hier nen Tipp geben was ich hier falsch mache?

DJKUhpisse Team-Icon

Supporter, Wikiteam
Avatar von DJKUhpisse

Anmeldungsdatum:
18. Oktober 2016

Beiträge: 16818
Zitieren
10. Dezember 2022 13:26 (zuletzt bearbeitet: 10. Dezember 2022 13:27)

Die FB macht bei IPv4 NAT, bei IPv6 nicht. Daher muss der AAAA-Record für den Domainnamen die IPv6-Adresse vom PC haben. Du musst ebenso den AAAA-Record abfragen. 

dig -c in -t aaaa example.org

Gibt man den Typ (-t) nicht an, wird der A-Record (IPv4 abgefragt). Das ist die Sache mit DNS. Wenn das passt geht es an die Firewall.

lubux

Anmeldungsdatum:
21. November 2012

Beiträge: 13293
Zitieren
10. Dezember 2022 13:54 (zuletzt bearbeitet: 10. Dezember 2022 13:55)

mensch_meier schrieb:

Was muss ich nun tun, damit ich den Server in meinem LAN über IPv6 aus dem Internet erreichen kann. Nach meinem Verständnis sind das:

  1. der Router muss IPv6 unterstützen

  2. der Rechner, der erreichbar sein soll, muss eine IPv6 haben

  3. Firewall im Router muss die relevanten Ports zu dem Rechner öffnen

  4. die IPv6 des Rechners muss via DynDNS bekannt gemacht werden

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        
        inet6 2003:c6:df4a:9c00:6069:22f:21b:ad68  prefixlen 64  scopeid 0x0<global>
        inet6 2003:c6:df4b:7b00:3187:d8cc:755e:d807  prefixlen 64  scopeid 0x0<global>

3. in meiner Fritzbox sehen die Portfreigaben so aus: siehe Anhang

4. ich habe auf dem Rechner ddclient installiert und konfiguriert. Eine Anweisung zur Aktualiesrung des DynDNS-Eintrags ist erfolgreich: 

1
2
  $ddclient -force
        SUCCESS:  updating xxxx.ddnss.de: good: IP address set to 2003:c6:df4b:7b00:3187:d8cc:755e:d807

Leider ist damit der HTTPS-Server aus dem WWW nicht erreichbar, auch die Nutzung von Wireguard klappt nicht.

Deaktiviere auf deinem Server die PEs (privacy extensions), so dass dein Server immer nur eine einzige externe/globale/öffentliche IPv6-Adresse hat. Konfiguriere das zuweisen der (einzigen) externen IPv6-Adresse für deinen Server so, dass diese externe IPv6-Adresse eine statische/feste (mac-adressen-basierte; slaacd) Interface-ID hat. Dann ist es einfacher in der v6-Firewall deiner FritzBox, die v6-Portfreigabe (keine Portweiterleitung wie bei IPv4) für die lauschenden v6-Dienste deines Servers, zu konfigurieren. Die v6-Erreichbarkeit eines freigegeben v6-Ports in der v6-Firewall deiner FritzBox, kannst Du dann auf deinem Server, mit tcpdump (oder gleichwertig) testen.

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 14:26

OK, der Befehl 'dig' liefert nun auch die korrekte Ausgabe:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
dig -c in -t aaaa xxx.ddnss.de

; <<>> DiG 9.18.4-2ubuntu2-Ubuntu <<>> -c in -t aaaa xxx.ddnss.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49152
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;xxx.ddnss.de.          IN      AAAA

;; ANSWER SECTION:
xxx.ddnss.de.   10      IN      AAAA    2003:c6:df4b:7b00:3187:d8cc:755e:d807

;; Query time: 79 msec
;; SERVER: 127.0.0.53#53(127.0.0.53) (UDP)
;; WHEN: Sat Dec 10 13:53:31 CET 2022
;; MSG SIZE  rcvd: 77

Ich habe die IP geprüft, passt auch zum Ipv6-Präfix der FritzBox.

Ich habe mir die Portfreigabe und weitere Fritzbox-Einstellungen angeschaut. Anbei die Screenshots.

Bei der Portfreigabe fällt auf, dass hier eine andere IPv6 verwendet wird als via DynDNS publiziert:

FritzBox-Freigabe: 2003:c6:df4b:7b00:ba27:ebff:fee6:41d5

Ip aus DynDNS: 2003:c6:df4b:7b00:3187:d8cc:755e:d807

Daran wird es wohl liegen. Wie behebe ich das Problem am Besten?

Bilder

lubux

Anmeldungsdatum:
21. November 2012

Beiträge: 13293
Zitieren
10. Dezember 2022 14:35 (zuletzt bearbeitet: 10. Dezember 2022 14:38)

mensch_meier schrieb:

Bei der Portfreigabe fällt auf, dass hier eine andere IPv6 verwendet wird als via DynDNS publiziert:

FritzBox-Freigabe: 2003:c6:df4b:7b00:ba27:ebff:fee6:41d5

Ip aus DynDNS: 2003:c6:df4b:7b00:3187:d8cc:755e:d807

Daran wird es wohl liegen. Wie behebe ich das Problem am Besten?

Und mir fällt auf, dass es sich bei der FritzBox-Freigabe, um eine IPv6-Adresse mit einer statischen/mac-adressen-basierten Interface-ID handelt. jetzt könnte es sein, dass selbst dann wenn Du auf deinem Server die PEs aktiv hast, die FritzBox von sich aus (da sie ja die MAC-Adresse vom eth0-Interface deines Servers kennt), auf deine Konfiguration hin, die Portfreigabe in ihrer v6-Firewall für die IPv6-Adresse (mit statischer Interface-ID) deines Servers macht. Vergleich mal ganz genau die MAC-Adresse (eth0) deines Servers mit der (von der FB generierten) Interface-ID dieser Ipv6-Adresse. Und wenn das passt, dann teste aus dem Internet, mit tcpdump (+ geeigneter Filter) auf deinem Server.

EDIT:

BTW: Die MAC-Adresse von eth0 hast Du ja anonymisiert und die gerade/z. Zt. gültigen externen IPv6-Adressen deines Servers, hast Du nicht anonymisiert (... naja dafür gibt es ja die PEs 😉 ).

DJKUhpisse Team-Icon

Supporter, Wikiteam
Avatar von DJKUhpisse

Anmeldungsdatum:
18. Oktober 2016

Beiträge: 16818
Zitieren
10. Dezember 2022 15:09

FritzBox-Freigabe: 2003:c6:df4b:7b00:ba27:ebff:fee6:41d5

Ip aus DynDNS: 2003:c6:df4b:7b00:3187:d8cc:755e:d807

Indem du die FW der FritzBox passend konfigurierst.

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 15:36 (zuletzt bearbeitet: 10. Dezember 2022 15:38)

OK,

Jetzt sieht es so aus: Fritzbox Portfreigabe, die IPv6 2003:c6:df4b:7b00:ba27:ebff:fee6:41d5 wird verwendet

DynDNS aktualisiert und mit dig geprüft:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
dig -c in -t aaaa xxx.ddnss.de

; <<>> DiG 9.18.4-2ubuntu2-Ubuntu <<>> -c in -t aaaa xxx.ddnss.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64616
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;xxx.ddnss.de.          IN      AAAA

;; ANSWER SECTION:
xxx.ddnss.de.   10      IN      AAAA    2003:c6:df4b:7b00:ba27:ebff:fee6:41d5

;; Query time: 27 msec
;; SERVER: 127.0.0.53#53(127.0.0.53) (UDP)
;; WHEN: Sat Dec 10 14:57:02 CET 2022
;; MSG SIZE  rcvd: 77

Mein Server hat jetzt 2 IPv6, die sich im Präfix uunterscheiden. 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
ifconfig eth0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.188.22  netmask 255.255.255.0  broadcast 192.168.188.255
        inet6 fe80::ba27:ebff:fee6:41d5  prefixlen 64  scopeid 0x20<link>
        inet6 2003:c6:df4b:7b00:ba27:ebff:fee6:41d5  prefixlen 64  scopeid 0x0<global>
        ether xxxxxxxxxxx txqueuelen 1000  (Ethernet)
        RX packets 10142  bytes 5690324 (5.4 MiB)
        RX errors 0  dropped 2  overruns 0  frame 0
        TX packets 10794  bytes 5348147 (5.1 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

Insgesamt scheint jetzt die Konfiguration beser zu passen. Leider klappt ein Zugriff immer noch nicht.

Ein tracerout von meinem Mobiltelefon (WLAN aus) zeigt nach 9 hops und 22s, dass mit 2003:0:8a00:d000:1 es nicht weiter geht. Also mein Rechner hat jetzt zwar ne IPv6 die öffentlich bekannt ist, die die FritzBox-Firewall kennt und Anfragen an den Server durchlässt. Aber das Routing scheint nicht zu stimmen ... ???

DJKUhpisse Team-Icon

Supporter, Wikiteam
Avatar von DJKUhpisse

Anmeldungsdatum:
18. Oktober 2016

Beiträge: 16818
Zitieren
10. Dezember 2022 16:25

Pinge mal den Rechner von außen an und schaue, was kommt (auch ICMP!).

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 16:40

Ping funktioniert, sowohl mit IPv6 als mit FQDN.

DJKUhpisse Team-Icon

Supporter, Wikiteam
Avatar von DJKUhpisse

Anmeldungsdatum:
18. Oktober 2016

Beiträge: 16818
Zitieren
10. Dezember 2022 16:44

Jetzt mit ncat und passendem Protokoll (TCP/UDP) mal ne Verbindung aufbauen und mit Wireshark schauen, was genau passiert.

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 18:27

Ein Verbindung mit NCAT ist nicht möglich:

1
2
$ ncat -6 xxx.ddnss.de 443
Ncat: Connection refused.

OK, ich denke die Netzwerk-Konfiguration ist soweit OK. Das Problem ist m.E., dass ich nun docker auf dem Server den IPv6 beibringen muss, ebenso den ein oder anderen Container (Caddy, ...) auch. Aber das versuche ich erst mal alleine ...

Danke für die Unterstützung an alle!!!

lubux

Anmeldungsdatum:
21. November 2012

Beiträge: 13293
Zitieren
10. Dezember 2022 18:41 (zuletzt bearbeitet: 10. Dezember 2022 18:46)

mensch_meier schrieb:

Ein Verbindung mit NCAT ist nicht möglich:

1
2
$ ncat -6 xxx.ddnss.de 443
Ncat: Connection refused.

Starte mal vor dem Portscan mit ncat, auf deinem Server: 

sudo tcpdump -c 30 -vvveni eth0 ip6 and dst port 443

Wie ist nach dem Portscan mit ncat, die Ausgabe von tcpdump?

EDIT:

Auf welchem Gerät benutzt Du ncat? Kannst Du nmap oder nping oder gleichwertig auf deinem Smartphone benutzen? Evtl. ein Webtool für den TCP6-Portscan aus dem Internet benutzen oder einen Freund, der einen nativen IPv6-Internetanschluss hat, bitten einen v6-TCP6-Portscan aus dem Internet zu machen.

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
10. Dezember 2022 19:05

Die Ausabe von tcpdump, ich kann die leider nicht interpretieren:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
# tcpdump -c 30 -vvveni eth0 ip6 and dst port 443
tcpdump: listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes
18:57:15.765069 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 286: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 232) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x26a6 (correct), seq 2676691003:2676691203, ack 1517286307, win 1824, options [nop,nop,TS val 1696958240 ecr 3856541873], length 200
18:57:15.774024 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 286: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 232) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x59ec (correct), seq 200:400, ack 1, win 1824, options [nop,nop,TS val 1696958249 ecr 3856541873], length 200
18:57:15.800799 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 334: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 280) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x98fa (correct), seq 400:648, ack 1, win 1824, options [nop,nop,TS val 1696958276 ecr 3856541873], length 248
18:57:15.926090 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 686: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 632) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xaa72 (correct), seq 648:1248, ack 1, win 1824, options [nop,nop,TS val 1696958401 ecr 3856541959], length 600
18:57:15.945140 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0x4be7 (correct), seq 1248, ack 2807, win 1824, options [nop,nop,TS val 1696958420 ecr 3856542063], length 0
18:57:15.948156 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xe302 (correct), seq 1248, ack 29867, win 1613, options [nop,nop,TS val 1696958423 ecr 3856542063], length 0
18:57:16.081411 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 139: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 85) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xd23b (correct), seq 1248:1301, ack 29867, win 1824, options [nop,nop,TS val 1696958556 ecr 3856542085], length 53
18:57:16.092077 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 139: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 85) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x644d (correct), seq 1301:1354, ack 29867, win 1824, options [nop,nop,TS val 1696958567 ecr 3856542085], length 53
18:57:16.099218 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 686: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 632) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xee22 (correct), seq 1354:1954, ack 29867, win 1824, options [nop,nop,TS val 1696958574 ecr 3856542085], length 600
18:57:16.168526 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xddae (correct), seq 1954, ack 29916, win 1824, options [nop,nop,TS val 1696958644 ecr 3856542240], length 0
18:57:16.191158 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xdd22 (correct), seq 1954, ack 29965, win 1824, options [nop,nop,TS val 1696958666 ecr 3856542309], length 0
18:57:16.191417 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xd796 (correct), seq 1954, ack 31385, win 1824, options [nop,nop,TS val 1696958666 ecr 3856542309], length 0
18:57:16.191493 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xd78d (correct), seq 1954, ack 31393, win 1824, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.191670 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xd20c (correct), seq 1954, ack 32813, win 1813, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.191749 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xd204 (correct), seq 1954, ack 32821, win 1813, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.191904 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xcc83 (correct), seq 1954, ack 34241, win 1802, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.192063 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xc702 (correct), seq 1954, ack 35661, win 1791, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.192263 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xc181 (correct), seq 1954, ack 37081, win 1780, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.192396 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xbc00 (correct), seq 1954, ack 38501, win 1769, options [nop,nop,TS val 1696958667 ecr 3856542309], length 0
18:57:16.192535 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xb67e (correct), seq 1954, ack 39921, win 1758, options [nop,nop,TS val 1696958668 ecr 3856542309], length 0
18:57:16.192843 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xad28 (correct), seq 1954, ack 42329, win 1740, options [nop,nop,TS val 1696958668 ecr 3856542309], length 0
18:57:16.214193 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xa714 (correct), seq 1954, ack 43757, win 1824, options [nop,nop,TS val 1696958689 ecr 3856542332], length 0
18:57:16.214539 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0xa17f (correct), seq 1954, ack 45185, win 1824, options [nop,nop,TS val 1696958690 ecr 3856542332], length 0
18:57:16.214990 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 86: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 32) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0x9b96 (correct), seq 1954, ack 46698, win 1824, options [nop,nop,TS val 1696958690 ecr 3856542332], length 0
18:57:16.550779 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 710: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 656) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xa89d (correct), seq 1954:2578, ack 46698, win 1824, options [nop,nop,TS val 1696959026 ecr 3856542332], length 624
18:57:16.551593 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 139: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 85) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x30a5 (correct), seq 2578:2631, ack 46698, win 1824, options [nop,nop,TS val 1696959027 ecr 3856542332], length 53
18:57:16.552432 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 1506: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 1452) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [.], cksum 0x1801 (correct), seq 2631:4051, ack 46698, win 1824, options [nop,nop,TS val 1696959027 ecr 3856542332], length 1420
18:57:16.552479 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 98: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 44) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0x4878 (correct), seq 4051:4063, ack 46698, win 1824, options [nop,nop,TS val 1696959027 ecr 3856542332], length 12
18:57:16.553603 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 338: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 284) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xe5bc (correct), seq 4063:4315, ack 46698, win 1824, options [nop,nop,TS val 1696959029 ecr 3856542332], length 252
18:57:16.554405 b8:27:eb:e6:41:d5 > cc:ce:1e:ae:c5:4c, ethertype IPv6 (0x86dd), length 710: (flowlabel 0x85270, hlim 255, next-header TCP (6) payload length: 656) 2003:c6:df4e:7400:ba27:ebff:fee6:41d5.46444 > 2a0c:dd40:1:b::42.443: Flags [P.], cksum 0xf37e (correct), seq 4315:4939, ack 46698, win 1824, options [nop,nop,TS val 1696959029 ecr 3856542332], length 624
30 packets captured
38 packets received by filter
0 packets dropped by kernel

Wenn ich mit netstat, was das so auf 443 lauscht, sehe ich, dass nur auf IPv4 gelauscht wird:

1
2
# netstat -tulpn | grep 443
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      1299/docker-proxy

lubux

Anmeldungsdatum:
21. November 2012

Beiträge: 13293
Zitieren
10. Dezember 2022 19:15 (zuletzt bearbeitet: 10. Dezember 2022 19:15)

mensch_meier schrieb:

Die Ausabe von tcpdump, ich kann die leider nicht interpretieren:

Naja, die IPv6-Adressen (src und dst) und die MAC-Adressen (src und dst) und die Ports kennst nur Du. Und war das so, das Ausgabeformat des tcpdump?

mensch_meier schrieb:

Wenn ich mit netstat, was das so auf 443 lauscht, sehe ich, dass nur auf IPv4 gelauscht wird:

Nochmal: Für den Test mit tcpdump und der Portfreigabe in der v6-Firewall deiner FritzBox, ist es nicht relevant ob ein Dienst auf dem (Filter-)TCP6-Port (443) lauscht oder nicht lauscht. Wichtig ist ob und was, tcpdump zu Gesicht bekommt.

mensch_meier

(Themenstarter)
Avatar von mensch_meier

Anmeldungsdatum:
28. August 2008

Beiträge: 212
Zitieren
16. Dezember 2022 16:12

OK, ich habe mich ein bisschen in ipv6 eingelesen und zumindet ein Grundverständnis dafür.

Ich habe getestet, dass ich die IPv6 von aussen anpingen kann, der Test mit tcpdump zeigt, dass auch die IP-Pakete durchkommen. Insofern habe ich meine Router sowie ddclient richtig konfigiert.

Eine Ausgabe von netstat zeigt mir aber, dass der Reverse-Proxy nur auf ipv4 eingerichtet ist:

1
2
$ netstat -tulpn | grep 443
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      1335/docker-proxy

Der nächste Schritt, wäre aus die notwendigen ipv6-fähig zu machen, oder?
Antworten |