IPv6 Ping Funktioniert nicht

Du versuchst, von deinem IONOS Server ausgehend deinen Raspberry Pi anzupingen, aber ein Router lässt die Pings nicht durch (Destination unreachable: Administratively prohibited = Der Admin hat die Durchleitung der Pings verboten bzw. nicht erlaubt.)

Dein Router bekommt eine Adresse für sich und ein Präfix für die anderen Computer in deinem Netz. Die Adresse deines Routers ist aus dem Bereich 2a00:6020:1000:... und sollte im Webinterface der Fritzbox angezeigt werden. Es sollte die Adresse sein, die die "unreachable" Nachricht schickt. Wenn das so ist, musst du deinen Raspberry Pi in der Fritzbox Firewall freigeben. Das ist so ähnlich wie eine Portweiterleitung bei IPv4, aber in diesem Fall wird nur die Firewall für diese Pakete geöffnet. Im Video wird das ab etwa 6:10 gezeigt, nachdem auch dort die Pings ohne die Freigabe nicht durchgehen. Wenn die 2a00:6020:1000:... Adresse nicht die Adresse deiner Fritzbox ist, dann melde dich bitte nochmal.

Der Teil um 3:50 in dem Youtube Tutorial ist übrigens falsch erklärt: Die Einstellung ist für Router, die an der Fritzbox angeschlossen sind und selbst wieder IPv6-Adressen vergeben können sollen. Dazu delegiert die Fritzbox mit dieser Einstellung ein Präfix an Geräte, die sowas anfordern. IA_PD steht für Identity Association Prefix Delegation. Geräte, die keine Router sind, tun das normalerweise nicht und brauchen das auch nicht.

Da von deinem Router eine Antowrt kommt, erreichen die Pings dein Netz. Das heißt, der Fehler liegt nicht bei der DG, was eine gute Nachricht ist. Eigene Fehler sind leichter zu finden, als die DG zu Fehlerkorrekturen zu bewegen. Ja, die Adresse des Raspberry Pi sollte angepingt werden, aber es muss auch die richtige Adresse sein.

Bei IPv6 gibt es mehrere Adressen. Die fe80:... Adresse z.B. ist nur im LAN nutzbar. Aber auch innerhalb des von der DG zugeteilten Präfix kann der Computer mehrere Adressen haben. Je nach Adressvergabe können das z.B. mehrere temporäre Adressen sein, um Tracking zu erschweren ("Privacy Extensions"). Außerdem kann eine Adresse dabei sein, deren Interface ID sich ändert, wenn sich das Präfix ändert, aber ansonsten gleich bleibt. Ganz klassisch können IPv6 Adressen aber auch eine statische Interface ID haben.

Gib auf dem Raspberry Pi mal "ip a" (kurz für ip address) ein und schau dir die Liste der IPv6 Adressen an. Hinter jeder Adresse steht, was für eine Art Adresse das ist. Die "temporary" Adressen sind kurzlebig. Wenn du die in der Fritzbox freigibst, hält die Freigabe nicht lange. Die Adressen verschwinden nach relativ kurzer Zeit und werden durch neue ersetzt, die dann wieder nicht freigegeben sind.

Die letzten vier Blöcke einer möglichst langlebigen IPv6 Adresse des Raspberry Pi mit "scope global" müssen die Interface-ID sein, die in der Fritzbox freigegeben wird. Mit der Freigabe aus dem Screenshot und den anderen Adressfragmenten müsstest du 2a00:6020:15fb:c300:42e1:____:____:288c anpingen und das müsste zu dem Zeitpunkt auch eine der Adressen sein, die der Pi mit "ip a" auflistet.

Das Kernproblem dürfte sein, dass die Fritzbox nicht weiß, welche Adresse du freigeben möchtest. Die Adressen bildet ja mit der Konfiguration aus dem Youtube-Tutorial das Endgerät selbst, indem es irgendwelche Interface-Identifier an das Präfix hängt. Wenn die Fritzbox eine Adresse per DHCPv6 vergeben hätte, würde es wahrscheinlich passen.

Die "mngtmpaddr" ändert den Interface-Identifier übrigens, wenn sich das Präfix ändert. Dabei ist egal, ob die DG dir mal ein anderes Präfix gibt, was selten aber nicht nie vorkommt, oder ob die Fritzbox die letzten 8 Bit des Präfix mal anders vergibt. Dann funktioniert die Freigabe wieder nicht. Am besten gibst du allen Geräten, die von außen erreichbar sein sollen, Adressen per DHCPv6 oder statische Interface-Identifier.

Guter Hinweis von patrickhanft. Als Ergänzung dazu: Der "IP Token" Mechanismus ersetzt im Prinzip nur den per EUI64 aus der MAC-Adresse des Netzwerkinterfaces gebildeten Interface Identifier durch einen selbst gewählten Interface-Identifier. Die aus den Anfangszeiten von IPv6 stammende EUI64 Methode ist die Alternative zu IP Token, wenn letzteres noch nicht unterstützt wird oder zu umständlich zu konfigurieren ist. Der nach EUI64 gebildete Interface Identifier ist auch statisch (solange man die Netzwerkkarte nicht wechselt). Man macht damit allerdings die MAC-Adresse öffentlich, was Rückschlüsse auf das Gerät erlaubt und das Gerät in verschiedenen Netzen wiedererkennbar macht. IP Token ist also besser.