Versuchen wir doch erst mal, auf das Gerät an sich zuzugreifen, um ddns und Portöffnungen zu testen. Du hast in der Konfig den https Fernzugriff aktiviert. Richte dafür eine entsprechende Portöffnung in der Fritzbox ein und versuche, vom Handy aus die Webseite der GL Box aufzurufen.
Beiträge von frank_m
-
-
Der Mini-Router hinter der 7590 quasi wie ein RaspberryPI nur für VPN
Genau das ist das Ziel.
(1) IPv6 im Mini-Router wieder ausschalten - komplett oder auf IPv6 nativ?
Komplett ausschalten nicht. Der VPN Server muss ja über IPv6 erreichbar sein. Nur NAT6 brauchen wir nicht.
(2) IA_PD Präfix in der Fritzbox wieder ausschalten und auf Standard "Nur DNS-Server zuweisen - FRITZ!Box wird als DNS-Server via DHCPv6 bekannt gegeben."
Meines Erachtens reicht das.
(3) Einen anderen DDNS wie den voreingestellten kann man nicht nutzen oder ?
Dafür kenne ich das System zu wenig. Hat man Zugriff auf die Console? Dann lässt sich natürlich problemlos ein anderer dyndns Service verwenden. Was natürlich auch immer geht: Ein Dienst wie dynv6, der von der Fritzbox mit dem Prefix gefüttert wird, und in dem man dann Host Einträge generieren kann.
(4) Der Mini-Router kann VPN nur über die "WAN-Schnittstelle" oder ? Frage nur weil ich mit dem LAN/WAN nicht ganz durchblicke was du meinst...
Habe aktuell nur 1 Kabel von der 7590 LAN zu Mini-Router WAN. Mini-Router LAN ist unbelegt. (Fehler?)
Ich weiß nicht genau, wie der Router WAN und LAN trennt. Aber ich würde auch erwarten, dass man nur ein Interface braucht.
(7) oder besser OpenVPN statt Wireguard testen.
Wenn OpenVPN geht, geht auch Wireguard. Das ist dann nur eine Frage der Konfiguration.
-
(1) Kann man hier schon Fehler machen ?
Es ist so jedenfalls richtig. Nativ v4 oder Nativ v6 ist dabei am Ende mehr oder weniger egal.
(2) Korrekt mit diesem IA_PD Präfix ?
Die Frage ist, ob du das brauchst. Soll der VPN Router IPv6 Adressen verteilen? Ich wüsste nicht, warum.
Mehr Einstellungen -> IPv6 -> "wan"+"NAT6"
NAT6 brauchen wir vermutlich auch nicht.
Was mich stutzig macht ist der DDNS Test, der mir eine IPv4 mit Warnung anzeigt. Klappt hier IPv6 VPN nicht korrekt? Muss ich etwas ändern ?
Es muss sichergestellt sein, dass das Gerät über IPv6 auffindbar ist. Checke also mal anhand von Domain Aufrufen, ob da eine IPv6 Adresse zurückgegeben wird. Die IPv4 Adresse sollte aus dem Eintrag verschwinden.
Mich stört im Moment noch der grundsätzliche Aufbau. Du hast das im Moment so angelegt, dass das GL-AR300M quasi wie ein (NAT-)Router funktioniert. Die VPN Clients hängen am LAN Port, und er hat einen WAN Port zum Internet. Das brauchen wir ja eigentlich nicht. Das Ding soll ja nur Gateway ins VPN Netz sein und Zugriff auf dein LAN ermöglichen. Sprich LAN und WAN Port sind eigentlich eins. Meines Erachtens sollte das gehen.
-
Nach der Begehung geht es recht fix, das war bei mir auch nur eine Woche oder so.
-
Möglicherweise verwendet der Netzbetreiber aber auch GPON in Gebieten, wo zusätzlich CATV eingespeist wird.
Jetzt wo du es sagst ... in den Gebieten, wo sie mit der Telekom kooperieren, nutzen sie auch GPON. Das kann also sein.
-
Bei solchen Nachanschlüssen kann es zu langen Wartezeiten kommen! Deshalb würde ich es so machen:
- Bleib bei der Glasfaser. Vergleichbare Leistungen bekommst du ohne Glasfaser halt nicht.
- Richte dir einen kupferbasierten DSL Anschluss mit kurzer Kündigungsfrist als Reserve ein. Früher bot O2 solche Tarife, ggf. gibts auch andere.
-
So ganz generell finde ich in deinen Beschreibungen einige Unschönheiten. Die müssen in deinem Fall nicht zwangsläufig zu Problemen führen, aber die können im Detail richtig weh tun. Außerdem wird deutlich, dass die Beschreibung deines Heimnetzes noch sehr lückenhaft ist.
-- virtuelles Netzwerkinterface #1: 10.0.16.61
-- virtuelles Netzwerkinterface #2: 10.0.16.71
Warum zwei Interfaces im gleichen Subnetz? Das ist üblicherweise eine Todsünde. Das kann - je nachdem, wie du die UTM mal einsetzen willst - böse nach hinten losgehen.
Gateway für beide: 10.0.16.1 (das ist meine Ubiquiti Dream Machine Pro, die die 10.0.11.1 hat).
Und das auch schon wieder. Welche IP hat deine Dream Machine denn nun? 10.0.11.1 oder 10.0.16.1? Oder beide? Wie ist das Routing von 10.0.11.0/24 zu 10.0.16.0/24? Oder sind es es gar nicht 2 /24 Netze, sondern ein /16? Wenn es zwei Netze sind: Ist ein NAT Router dazwischen? Wenn nicht: Wer kümmert sich um das Routing zwischen den beiden Netzen? Was ist 10.0.11.0 überhaupt für ein Netz?
-
Das heißt, dein Setup läuft jetzt komplett? Oder fehlt noch was?
-
Kann das diese günstige 30€ Lösung ?
VPN Server (Wireguard, OpenVPN) kann die sein, allerdings mit bescheidenen Bandbreiten. Steht ja in der Produktbeschreibung.
-
Wenn das Setup richtig funktioniert,
Welches Setup nutzt du? Auch das mit der 2. öffentlichen IP, welche auf das lokale RED Interface getunnelt wird?
Nur für die Rückantwort, des von außen an den Cloud Firewall empfangene und nach innen weitergeleitete Traffic, wird der Weg über den RED-Tunnel verwendet.
Und wie stellst du das sicher? DNAT?
Aber das sind die Sachen, die ich meinte, als ich oben sagte, die Anleitung lässt gewisse Details offen.
-
Mein Wunsch bzw. Überlegung ist es, dass der gesamte Traffic (natürlich nur die Ports usw., den ich in der Sophos bei netcup freigegeben habe) bei mir ankommt.
Das hört sich so an, als geht es hier um den von außen ankommenden Datenverkehr, also das, was beim Zugriff auf eine DNS oder dyndns Adresse zu dir geschickt wird. Der augehende Datenverkehr soll also direkt über deine Internetverbindung geschickt werden? Dann hast du jetzt ein veritables Routing Problem zumindest wenn du die Anleitung mit der öffentlichen IP auf dem RED Interface befolgst.
-
Ähm hab ich nie was dran verstellt. Ist das diese "Native IPv6 Anbindung nutzen" bei der Fritz?
Hast du denn IPv6 generell aktiviert in der Fritzbox? Dann ist es egal, ob es auf native iPv4 oder IPv6 Anbindung steht. Hat deine Fritzbox eine IPv6 Addresse und ein Prefix?
Und wenn es in dr Fritzbox aktiv ist, ist es dann auch auf deinen Endgeräten aktiv?
Über IPv6 ist der Weg anders, als über IPv4. Das könnte einen Unterschied machen in deinem Fall.
Die Trägheit an sich, die du siehst, vermute ich eher auf deinem lokalen System. Die Tests ins Internet ergeben keinerlei Hinweis auf ein Problem.
-
Genau, Paketverluste gibt es nicht. Die Anzahl der Tests ist aber auch klein.
http wird zwar sofort auf https umgeleitet geht aber sofort und schnell, sowohl bei google als auch bei gmail. Was heisst das?
Der Unterschied ist nicht das http, sondern das www im Namen.
Warum nutzt du kein IPv6? Dann musst du nicht über den CGNAT Router.
-
Die eine Anleitung (Busche) ist einigermaßen oberflächlich, da bleiben ein paar Details verborgen. Da besteht ein gewisses Risiko, dass man das falsch macht.
Zur Erklärung: Ich nutze die Sophos nicht. Ich hab auch keine zweite öffentliche IP, die ich mir "nach Hause tunnele", dafür hab ich keine sinnvollen Anwendungsfälle. Ich greife lediglich über meine öffentliche IPv4 auf einem Netzcup Server auf ausgewählte Dienste zu Hause zu, das ganze wird inzwischen über einen Wireguard Tunnel realisiert (früher OpenVPN).
-> Ist meine bevorzugte Weise, da ich dann das NAT vernachlässigen kann und nur an einer Stelle zentral eine Einstellung für eine Freigabe treffen muss anstatt an zweien
Ich bin mir noch nicht sicher, wie du das meinst bzw. was du damit erreichen willst. Je nachdem, wie du zu Hause die Konfiguration vornimmst, musst du doch wieder ein NAT aufsetzen. Und ggf. kommst du damit auf zwei Defaultgateways in deinem Netz, was die Sache sehr schnell sehr komplex machen kann. Schickst du deinen gesamten Datenverkehr durch den RED Tunnel? Oder soll der nur für spezifische Zugriffe von außen dienen?
Leider hat bei mir bisher keine der Möglichkeiten funktioniert. Mal ist es an der Firewall gescheitert (trotz aktiver Einstellung und Erlauben von Any-Any-Any) , mal am RED Tunnel (down, up und keine Verbindung etc.), mal an einem "Error", der in keinem Log angezeigt wird.
Es ist natürlich extrem schwierig, auf dieser Basis den Fehler einzuschränken. Was genau ist denn gescheitert, wie äußert sich das, wie hast du es analysiert, was hast du dagegen getan? Welche Dienste willst du überhaupt über den Tunnel nutzen und wie hast du das zu Hause eingerichtet? Das müssten wir schon wissen.
- VLAN dazu gebucht
Wofür braucht man das?
-
Versuche mal, http://www.google.de anstatt google.de aufzurufen. Außerdem könntest du ein mtr auf google.de oder gmail.de machen, um möglichen Paketverlusten auf die Spur zu kommen. Poste das Ergebnis am besten hier, mtr Traces mit Paketverlusten auf Zwischenhops verleiten zu Fehlschlüssen. Man muss wissen, wie man sie auswertet.
-
Mit IOS kenne ich mich leider nicht aus. Keine Ahnung, ob deren VPN client ein IPv6 Problem hat. Aber vielleicht finden sich andere hier, die weiterhelfen können.
-
Die Ports 1701 und 500 sind in der Firewall freigegeben.
Was ist mit ESP?
-
In unserem Fall steht das Netz schon, Status zwar noch in "Bauphase" jedoch warten wir jetzt schon den 14. Monat - sogenannter Nachanschluss.
Das ist schon heftig. Bei mir waren es "nur" 6 Monate. Und da ich schon recht früh in der Bauphase bestellt habe, waren es dann am Ende nur wenige Wochen nach Einzug.
Die Frage ist ja auch noch: habt ihr schon einen Vertrag mit der DG? Der kommt ja erst durch die Auftragsbestätigung zustande. Eine Bestellbestätigung reicht nicht. Die 20 Monate laufen erst ab Vertragsbeginn.
Jetzt kann man sich natürlich über Verzögerungen im Ausbau aufregen oder gar kündigen. Die Frage ist: Was bringt es, was sind die Alternativen? Wenn ich dann anschließend wieder auf 16 MBit/s DSL hänge, dann bringt mir das nicht viel.
Außerdem: Auf jeder Informationsveranstaltung sagt jeder im Publikum zu den propagierten Terminen "Träumt weiter, das schaffen die nie". Und dann schaffen sie es wirklich nicht, und alle regen sich drüber auf. Schon komisch.
-
Wenn meine Frau Netflix auf 4k anschaut und ich zocke werden doch niemals 100 mbit an Anspruch genommen.
Stimmt.
Das muss doch irgendwie eine Lösung für mein Problem geben.
Mit "Problem" meinst du Lags und Paketverluste in Onlinespielen? Siehe #7. Diese Probleme werden meistens außerhalb deines Einflussbereichs verursacht.
Das Einzige, was du zu Hause sicherstellen kannst, ist die Benutzung von LAN anstatt WLAN. Das bringt was. Darüber hinaus kannst du versuchen, den Server zu wechseln, wenn du Probleme feststellst.
-
Kann das eigentlich Auswirkungen zum Paketverlust haben wenn der Down und Upload nicht richtig eingestellt sind?
Wie gesagt nur, wenn die Leitung wirklich voll ausgelastet ist.
