Beiträge von frank_m

Mal kurz zu den Weboberflächen (GL.iNet und Luci) auf dem Mini Router: Kann es sein, dass du die über unterschiedliche Portnummern aufrufst? Oder wie unterscheidest du dazwischen? Das frag ich nur so rein interessenhalber. Könnte aber später - wenn VPN funktioniert - ein interessanter Testfall werden.

Das Handy Config File sieht doch schon gar nicht so schlecht aus. Da müsste jetzt dein "xxx.dnshome.de" als Gegenstelle rein, anstatt der 94er IP Adresse. Als DNS Server kannst du irgendeinen öffentlich verfügbaren Server eintragen: Google, Cloudflare, Quad9 oder sowas würde ich empfehlen. Aber der, der jetzt drinsteht, geht vermutlich auch. Listenport ist egal. Auf Serverseite sollte ein "PersistentKeepalive = 25" für den Client drin sein. Auf Serverseite kann man den Endpoint Eintrag auch rausnehmen, da es sich ja um einen mobilen Client handelt.

Zitat von Matthias

7590: Internet -> Freigaben -> Portfreigabe

Da kann man aber auch die myFritz Freigaben machen. Das sind dann keine regulären Portfreigaben.

Wenn du über die myFritz Freigabe auf deinen Mini-Router kommst, dann hast du entweder eine öffentliche IPv4 und greifst darüber zu, oder es ist eine myFritz Freigabe und keine Portfreigabe. In letzterem Fall wird ein Aufruf über die ddns Adresse des Mini Routers scheitern.

Zitat von Matthias

über xxx.dnshome.de komme ich nach folgender (willkürlicher Test-Änderung)

Du solltest aufhören, solche willkürlichen Teständerungen zu machen. Die beiden beschriebenen Einstellungen haben nichts mit einer Portfreigabe zu tun. Wenn du weiter so unkoordiniert die Einstellungen änderst, werden wir nie zu einem nachvollziehbaren und reproduzierbaren Verhalten kommen.

Zitat von Matthias

Unique Local Addresses (ULA) zuweisen, solange keine IPv6 Internetverbindung besteht (empfohlen) zu Unique Local Addresses (ULA) immer zuweisen

Das würde ich rückgängig machen.

Zitat von Matthias

Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetzwerk bekanntgeben

Welche anderen IPv6 Router verteilen denn noch Präfixe bei dir im Netz?

Zitat von Matthias

Habe in der Fritzbox den Port für HTTPS auf die des GL-AR300M freigegebn. Sprich Fritz-URL + :443 landet auf dem Webinterface des Mini-Routers.

Das kann nur dann funktionieren, wenn du eine öffentliche IPv4 Adresse an deiner Fritzbox hast. Hast du? Weil dann brauchen wir den ganzen Aufwand nicht zu treiben.

Bei IPv6 darfst du nicht auf die Fritz-URL zugreifen. Bei IPv6 hat der Mini-Router seine eigene öffentliche IP Adresse. Bei IPv6 richtest du in der Fritzbox auch keine Portweiterleitung, sondern eine Portfreigabe ein. Das ist der gedankliche Fehler, den viele beim Umstieg von IPv4 auf IPv6 machen. Bei IPv6 ist der Ansatz ein komplett anderer. Man hat bei IPv6 nicht nur den einen Router, der eine öffentliche IP hat und alle Anfragen an seine Heimnetz-Clients weiterleitet, sondern jedes Gerät für sich hat eine öffentliche IP und wird direkt angesprochen. Deshalb muss auch jedes Gerät, dass von außen erreicht werden soll, seine eigene ddns Adresse haben. Die des Routers hilft nicht weiter.

Welche IPv6 Adresse liefert der Aufruf der myFritz Adresse zurück? Die der Fritzbox? Die des Mini Routers? Was ist die IPv4 Adresse deines Routers?

//Nachtrag: Oder hast du in deiner Fritzbox so eine komische myFritz Freigabe erzeugt und keine reguläre Portfreigabe? Dann kann das natürlich alles nicht funktionieren.

Zitat von Matthias

Mir ist aber nicht klar, ob man diese IPv6 dann einfach in einen Browser eingeben kann/darf

Warum die IPv6? Einfach die URL mit dem ddns Hostnamen in den Browser eintippen. Der löst das dann schon auf.

Zitat von Matthias

Über die Myfritz-URL (sinngemäß https://a5kjsufjak22xxxx.myfritz.net:443) komme ich nun zumindest von außen (Handynetz) auf das Webinterface des GL-AR300M.

Das kann eigentlich nicht sein, denn myFritz löst die Adresse der Fritzbox auf, aber nicht die des GL-AR300M. Oder hast du da irgendwas besonderes gemacht?

Versuchen wir doch erst mal, auf das Gerät an sich zuzugreifen, um ddns und Portöffnungen zu testen. Du hast in der Konfig den https Fernzugriff aktiviert. Richte dafür eine entsprechende Portöffnung in der Fritzbox ein und versuche, vom Handy aus die Webseite der GL Box aufzurufen.

Zitat von Matthias

Der Mini-Router hinter der 7590 quasi wie ein RaspberryPI nur für VPN

Genau das ist das Ziel.

Zitat von Matthias

(1) IPv6 im Mini-Router wieder ausschalten - komplett oder auf IPv6 nativ?

Komplett ausschalten nicht. Der VPN Server muss ja über IPv6 erreichbar sein. Nur NAT6 brauchen wir nicht.

Zitat von Matthias

(2) IA_PD Präfix in der Fritzbox wieder ausschalten und auf Standard "Nur DNS-Server zuweisen - FRITZ!Box wird als DNS-Server via DHCPv6 bekannt gegeben."

Meines Erachtens reicht das.

Zitat von Matthias

(3) Einen anderen DDNS wie den voreingestellten kann man nicht nutzen oder ?

Dafür kenne ich das System zu wenig. Hat man Zugriff auf die Console? Dann lässt sich natürlich problemlos ein anderer dyndns Service verwenden. Was natürlich auch immer geht: Ein Dienst wie dynv6, der von der Fritzbox mit dem Prefix gefüttert wird, und in dem man dann Host Einträge generieren kann.

Zitat von Matthias

(4) Der Mini-Router kann VPN nur über die "WAN-Schnittstelle" oder ? Frage nur weil ich mit dem LAN/WAN nicht ganz durchblicke was du meinst...

Habe aktuell nur 1 Kabel von der 7590 LAN zu Mini-Router WAN. Mini-Router LAN ist unbelegt. (Fehler?)

Ich weiß nicht genau, wie der Router WAN und LAN trennt. Aber ich würde auch erwarten, dass man nur ein Interface braucht.

Zitat von Matthias

(7) oder besser OpenVPN statt Wireguard testen.

Wenn OpenVPN geht, geht auch Wireguard. Das ist dann nur eine Frage der Konfiguration.

Zitat von Matthias

(1) Kann man hier schon Fehler machen ?

Es ist so jedenfalls richtig. Nativ v4 oder Nativ v6 ist dabei am Ende mehr oder weniger egal.

Zitat von Matthias

(2) Korrekt mit diesem IA_PD Präfix ?

Die Frage ist, ob du das brauchst. Soll der VPN Router IPv6 Adressen verteilen? Ich wüsste nicht, warum.

Zitat von Matthias

Mehr Einstellungen -> IPv6 -> "wan"+"NAT6"

NAT6 brauchen wir vermutlich auch nicht.

Zitat von Matthias

Was mich stutzig macht ist der DDNS Test, der mir eine IPv4 mit Warnung anzeigt. Klappt hier IPv6 VPN nicht korrekt? Muss ich etwas ändern ?

Es muss sichergestellt sein, dass das Gerät über IPv6 auffindbar ist. Checke also mal anhand von Domain Aufrufen, ob da eine IPv6 Adresse zurückgegeben wird. Die IPv4 Adresse sollte aus dem Eintrag verschwinden.

Mich stört im Moment noch der grundsätzliche Aufbau. Du hast das im Moment so angelegt, dass das GL-AR300M quasi wie ein (NAT-)Router funktioniert. Die VPN Clients hängen am LAN Port, und er hat einen WAN Port zum Internet. Das brauchen wir ja eigentlich nicht. Das Ding soll ja nur Gateway ins VPN Netz sein und Zugriff auf dein LAN ermöglichen. Sprich LAN und WAN Port sind eigentlich eins. Meines Erachtens sollte das gehen.

Nach der Begehung geht es recht fix, das war bei mir auch nur eine Woche oder so.

Zitat von alfalfa

Möglicherweise verwendet der Netzbetreiber aber auch GPON in Gebieten, wo zusätzlich CATV eingespeist wird.

Jetzt wo du es sagst ... in den Gebieten, wo sie mit der Telekom kooperieren, nutzen sie auch GPON. Das kann also sein.

Bei solchen Nachanschlüssen kann es zu langen Wartezeiten kommen! Deshalb würde ich es so machen:

- Bleib bei der Glasfaser. Vergleichbare Leistungen bekommst du ohne Glasfaser halt nicht.

- Richte dir einen kupferbasierten DSL Anschluss mit kurzer Kündigungsfrist als Reserve ein. Früher bot O2 solche Tarife, ggf. gibts auch andere.

So ganz generell finde ich in deinen Beschreibungen einige Unschönheiten. Die müssen in deinem Fall nicht zwangsläufig zu Problemen führen, aber die können im Detail richtig weh tun. Außerdem wird deutlich, dass die Beschreibung deines Heimnetzes noch sehr lückenhaft ist.

Zitat von pschaumburg

-- virtuelles Netzwerkinterface #1: 10.0.16.61

-- virtuelles Netzwerkinterface #2: 10.0.16.71

Warum zwei Interfaces im gleichen Subnetz? Das ist üblicherweise eine Todsünde. Das kann - je nachdem, wie du die UTM mal einsetzen willst - böse nach hinten losgehen.

Zitat von pschaumburg

Gateway für beide: 10.0.16.1 (das ist meine Ubiquiti Dream Machine Pro, die die 10.0.11.1 hat).

Und das auch schon wieder. Welche IP hat deine Dream Machine denn nun? 10.0.11.1 oder 10.0.16.1? Oder beide? Wie ist das Routing von 10.0.11.0/24 zu 10.0.16.0/24? Oder sind es es gar nicht 2 /24 Netze, sondern ein /16? Wenn es zwei Netze sind: Ist ein NAT Router dazwischen? Wenn nicht: Wer kümmert sich um das Routing zwischen den beiden Netzen? Was ist 10.0.11.0 überhaupt für ein Netz?

Das heißt, dein Setup läuft jetzt komplett? Oder fehlt noch was?

Zitat von Matthias

Kann das diese günstige 30€ Lösung ?

VPN Server (Wireguard, OpenVPN) kann die sein, allerdings mit bescheidenen Bandbreiten. Steht ja in der Produktbeschreibung.

Zitat von Alfy

Wenn das Setup richtig funktioniert,

Welches Setup nutzt du? Auch das mit der 2. öffentlichen IP, welche auf das lokale RED Interface getunnelt wird?

Zitat von Alfy

Nur für die Rückantwort, des von außen an den Cloud Firewall empfangene und nach innen weitergeleitete Traffic, wird der Weg über den RED-Tunnel verwendet.

Und wie stellst du das sicher? DNAT?

Aber das sind die Sachen, die ich meinte, als ich oben sagte, die Anleitung lässt gewisse Details offen.

Zitat von pschaumburg

Mein Wunsch bzw. Überlegung ist es, dass der gesamte Traffic (natürlich nur die Ports usw., den ich in der Sophos bei netcup freigegeben habe) bei mir ankommt.

Das hört sich so an, als geht es hier um den von außen ankommenden Datenverkehr, also das, was beim Zugriff auf eine DNS oder dyndns Adresse zu dir geschickt wird. Der augehende Datenverkehr soll also direkt über deine Internetverbindung geschickt werden? Dann hast du jetzt ein veritables Routing Problem zumindest wenn du die Anleitung mit der öffentlichen IP auf dem RED Interface befolgst.

Zitat von PhilW

Ähm hab ich nie was dran verstellt. Ist das diese "Native IPv6 Anbindung nutzen" bei der Fritz?

Hast du denn IPv6 generell aktiviert in der Fritzbox? Dann ist es egal, ob es auf native iPv4 oder IPv6 Anbindung steht. Hat deine Fritzbox eine IPv6 Addresse und ein Prefix?

Und wenn es in dr Fritzbox aktiv ist, ist es dann auch auf deinen Endgeräten aktiv?

Über IPv6 ist der Weg anders, als über IPv4. Das könnte einen Unterschied machen in deinem Fall.

Die Trägheit an sich, die du siehst, vermute ich eher auf deinem lokalen System. Die Tests ins Internet ergeben keinerlei Hinweis auf ein Problem.

Genau, Paketverluste gibt es nicht. Die Anzahl der Tests ist aber auch klein.

Zitat von PhilW

http wird zwar sofort auf https umgeleitet geht aber sofort und schnell, sowohl bei google als auch bei gmail. Was heisst das?

Der Unterschied ist nicht das http, sondern das www im Namen.

Warum nutzt du kein IPv6? Dann musst du nicht über den CGNAT Router.

Die eine Anleitung (Busche) ist einigermaßen oberflächlich, da bleiben ein paar Details verborgen. Da besteht ein gewisses Risiko, dass man das falsch macht.

Zur Erklärung: Ich nutze die Sophos nicht. Ich hab auch keine zweite öffentliche IP, die ich mir "nach Hause tunnele", dafür hab ich keine sinnvollen Anwendungsfälle. Ich greife lediglich über meine öffentliche IPv4 auf einem Netzcup Server auf ausgewählte Dienste zu Hause zu, das ganze wird inzwischen über einen Wireguard Tunnel realisiert (früher OpenVPN).

Zitat von pschaumburg

-> Ist meine bevorzugte Weise, da ich dann das NAT vernachlässigen kann und nur an einer Stelle zentral eine Einstellung für eine Freigabe treffen muss anstatt an zweien

Ich bin mir noch nicht sicher, wie du das meinst bzw. was du damit erreichen willst. Je nachdem, wie du zu Hause die Konfiguration vornimmst, musst du doch wieder ein NAT aufsetzen. Und ggf. kommst du damit auf zwei Defaultgateways in deinem Netz, was die Sache sehr schnell sehr komplex machen kann. Schickst du deinen gesamten Datenverkehr durch den RED Tunnel? Oder soll der nur für spezifische Zugriffe von außen dienen?

Zitat von pschaumburg

Leider hat bei mir bisher keine der Möglichkeiten funktioniert. Mal ist es an der Firewall gescheitert (trotz aktiver Einstellung und Erlauben von Any-Any-Any) , mal am RED Tunnel (down, up und keine Verbindung etc.), mal an einem "Error", der in keinem Log angezeigt wird.

Es ist natürlich extrem schwierig, auf dieser Basis den Fehler einzuschränken. Was genau ist denn gescheitert, wie äußert sich das, wie hast du es analysiert, was hast du dagegen getan? Welche Dienste willst du überhaupt über den Tunnel nutzen und wie hast du das zu Hause eingerichtet? Das müssten wir schon wissen.

Zitat von pschaumburg

- VLAN dazu gebucht

Wofür braucht man das?

Versuche mal, http://www.google.de anstatt google.de aufzurufen. Außerdem könntest du ein mtr auf google.de oder gmail.de machen, um möglichen Paketverlusten auf die Spur zu kommen. Poste das Ergebnis am besten hier, mtr Traces mit Paketverlusten auf Zwischenhops verleiten zu Fehlschlüssen. Man muss wissen, wie man sie auswertet.

Mit IOS kenne ich mich leider nicht aus. Keine Ahnung, ob deren VPN client ein IPv6 Problem hat. Aber vielleicht finden sich andere hier, die weiterhelfen können.