Reiner IPv6 Anschluss mit Domain nutzen und mittels VPN verbinden z.B.
-
Hallo Zusammen,
erst mal entschuldigung für den Betreff. Weiß es selber nicht wie ich es ausdrücken bzw beschreiben soll.
Ich habe einen Internetanschluss von der Deutschen Glasfaser, und somit ein reinen IPv6 Anschluss. IPv4 ist ja "genattet". Somit kann ich von außen nicht mehr über IPv4 auf mein Netzwerk zugreifen.
Kaum zu glauben aber an folgendes Projekt arbeite ich schon über ein Jahr. Und komme einfach nicht weiter weil ich es nicht verstehe. Vorher nutzte ich opnsense, aber das habe ich schnell aufgegeben weil das Forum mir zu elitär war, und statt mir Lösungsansätze zu zeigen, direkt mit Links rumgeworfen haben.
Selbst den Support den ich bezahlt in Anspruch nehmen wollte, wollte mir nicht helfen. Auf jeden Fall nutze ich seit gut 8 Monate pfSense und habe es soweit eingerichtet bekommen. Der Anton Bracke (https://beechy.de/) und seine Blogeinträge hat mir dabei sehr viel geholfen.
Was nun funktioniert:
- IPv6 wird an die einzelnen Geräte verteilt, und diese können z.B ipv6-only Seiten aufrufen oder mit ipv6 Server kommunizieren.
- VOIP Telefonie funktioniert (über eine Fritzbox im Netzwerk).
Das ist auch schon 90%.
Die restlichen 10% scheitern an den Zugriff von draußen. Vor dem Deutschen Glasfaser Anschluss, hatte ich einen Anschluss bei der Telekom. Dort habe ich einfach eine Debian VM freigegeben, worauf openvpn lief. So konnte ich mich mit meinem Notebook von draußen nach Hause verbinden und meine ganzen Dienste nutzen (Pi-hole, Plex, FOG Project (imagingserver) usw). Aber das war halt IPv4.
Und das selbe will ich nun auch umsetzen, nur halt mit IPv6 (weil ich es leider muss). Und das bekomme ich einfach nicht hin. Habe zwar mal eine Lösung aus dem opnsense Forum bekommen, dann sind jedoch ALLE Geräte im Netzwerk über ipv6 ansprechbar. Das möchte ich nicht. Von außen nach innen soll alles dicht bleiben, IPv4 sowie IPv6.
Openvpn soll das Tor rein sein.
Und Sahnehäufchen wäre noch natürlich, wenn ich meine Domain die ich dafür registriert habe nutzen könnte.
Ich hoff mir kann endlich mal einer zur Seite stehen. Wäre sehr dankbar.
-
@Krautsalatmission Woran scheitert es denn jetzt, hast Du den OpenVPN-Server schon vollständig eingerichtet?
-
@Bob-Dig said in Reiner IPv6 Anschluss mit Domain nutzen und mittels VPN verbinden z.B.:
@Krautsalatmission Woran scheitert es denn jetzt, hast Du den OpenVPN-Server schon vollständig eingerichtet?
Inzwischen nicht mehr.
Aber als es eingerichtet war, zumindest denke ich es es war eingerichtet, funktionierte die Freigabe der VM nicht. Also kam nicht von draußen nach drinnen.
Jedoch, da openvpn anscheinend ganz speziell eingerichtet werden muss um ipv6 zu nutzen, bin ich überhaupt nicht sicher ob ich es zu damaligen Zeitpunkt überhaupt richtig gemacht habe. Als ich das dann mal vor Monaten in opnsense Forum gepostet habe, fragte man mich direkt warum ich dies nicht mit opnsense selbst mache (weil ich es sicherheitstechnisch besser finde, wenn der VPN Server nicht auf der gleichen Maschine läuft wie die Firewall. Man kann mich ruhig eines besseren belehren). Also habe ich dies über einen der vielen Guides probiert. Hab es aber auch nicht hinbekommen.
Ich weiß ehrlich gesagt nicht wo ich anfangen soll. Also erst darum zu kümmern das die VM (egal was für ein Dienst nun darauf läuft) von außen ansprechbar ist, oder die Geschichte mit der VM. Oder direkt weg zu lassen und die VPN Funktion von pfsense zu nutzen. Letzteres weiß ich gar nicht wie man das dann einstellt.
-
@Krautsalatmission Letzteres ist kompliziert und ich hab leider auch gerade kein tutorial zur Hand. Du musst wohl ein Zertifikat in pfsense und user erstellen und kannst dann den Wizard nutzen. Mehr weiß ich aber auch nicht. Müsste es allerdings selbst bald wieder mal machen.
-
@Krautsalatmission Was zeigt dir wieistmeineip.de an? Hast Du in pfSense einen Dynamic DNS Client eingerichtet? Löst deine Domain auf deine IPv6 auf? Ich bin selber kein Experte aber die anderen haben wohl scheinbar alle gerade Urlaub.
-
wieistmeineip.de ist bei mir gesperrt da diese zu Axel Springer gehört
Aber https://www.whatismyip.com/ zeigt zb "meine" Ipv4 Adresse und meine IPv6 Adresse.Zu dem Zeitpunkt wo ich das alles ausprobiert habe, hatte ich noch keine Domain.
Diese will ich auch nicht nutzen, bis alles wirklich läuft.
Und ja, wenn man Google, den Foren und co vertrauen darf, scheint ja ich der einzige Mensch auf der Welt zu sein der ein Openvpn Zugang nur über ipv6 nutzen möchte... Oder alle die sich damit auskennen, wollen mir einfach nicht helfen
-
@Krautsalatmission Wobei ich gerade woanders gelesen habe, dass Du z.B. mit einem Smartphone dich gar nicht auf IPv6 verbinden kannst, wenn dieses nur eine IPv4 Verbindung hat. Das könntest Du auch erst einmal testen, je nachdem, was eigentlich dein Anwendungsfall ist. Vielleicht ist nämlich schon da Schluss.
Ansonsten habe ich gerade bei mir den VPN-Server aktiviert, es war ein Krampf. Aber da gibt es auch eine Option für IPv6, die ich aber nicht nutze. Ich denke daher, daran sollte es nicht scheitern. -
Ich nutze auch kein Smartphone für solche Dinge.
Mal gucken ob ich diese Woche eine Person/Firma finde die sowas gegen Geld umsetzen kann.
-
@Krautsalatmission Ich denke wir hätten das auch hinbekommen, wenn deine Clients IPv6 können.
-
Meine Clienten haben/können alle IPv6 bzw sitze ich nur vor solchen Clienten.
Mach mir keine Hoffnungen!
Ok. Dann wo/wie fangen wir am besten an? Server von pfsense nutzen oder ne Debian VM einrichten?
-
@Krautsalatmission Ich nutze nur den in pfSense.
Hast Du denn jetzt schon irgendeinen Server/Services laufen, damit sichergestellt ist, dass Du von außen erreichbar ist? Denke das muss zu erst sichergestellt sein. Nicht, dass irgendeine Geräte-Firewall was blockt. -
Theoretisch ja. Openmediavault. Plex. und diverse andere. Alle Clienten in meinem Netzwerk bekommen von pfsense eine ipv6 Adresse. Die sind alle nicht von außen erreichbar. Alle Clienten (alles Linuxe) haben keine Firewall aktiviert (ist ja alles nur intern).
Die einzige Firewall ist pfsense. Und es soll auch alles von außen nach innen zu bleiben.
Mein Vorhaben ist das nur eine OpenVPN Maschine offen ist. Aber das fällt ja dann auch weg wenn ich den OpenVPN Service in pfsense nutzen würde.
Wie richte ich den denn ein? Dieser soll nur auf ipv6 laufen.
Edit: Was ich vergaß: Der Dienst soll zwar nur auf ipv6 laufen, aber dem verbundenen Clienten natürlich eine ipv4 (optional auch ipv6, nicht notwendig) für die Verwendung im Netzwerk geben.
-
@Krautsalatmission Nun es gibt ein paar Optionen im GUI betreffend IPv4 und IPv6, da musst Du dann das für dich passende wählen.
Beginnen würde ich wie folgt: erstelle unter System / Certificate Manager / CAs eine neue Certificate Authority.
Anschließend unter System/ User Manager /User einen neuen User für das VPN. Beim erstellen den Haken setzen, dass auch ein Zertifikat erstellt werden soll. Als CA wählst Du die eben erstellte CA aus, die wahrscheinlich eh die einzige ist. -
Ok.
Habe ich erledigt.
-
@Krautsalatmission Jetzt nach OpenVPN wechseln und den Wizard benutzen, dabei Local User auswählen und dann die CA, die Du erstellt hast. Mit dieser kreierst Du dann im Wizard auch noch ein Server Zertifikat, wenn Du danach gefragt wirst.
Wenn Du das hast kommst du zum eigentlichen Server, hier dann wohl UDP on IPv6 auswählen. Den Port würde ich ändern.
Certificate Depth erstmal auf Do not check.Das Tunnel Network kannst Du so wie im Beispiel angeben, Local Network ist dann dein tatsächliches LAN, welches in der selben Schreibweise anzugeben ist.
Redirect Gateway den Haken setzen.Ansonsten die Einstellungen so lassen und erst mal keinen Server eintragen wie DNS usw.
Auf der nächsten Seite dann die haken setzen für die Firewallregeln.Dann bist Du schon fertig.
Du kannst bei den Firewallregeln sehen, dass der VPN-Server auf dem WAN-Interface lauscht, Du musst dich also auf die IPv6-Adresse von pfSense selbst verbinden.
Aus dem Packet Manager von pfSense installierst Du dir noch openvpn-client-export. Dann kannst Du unter OpenVPN noch die passende Config für Client exportieren, wobei unten der Useraccount zu sehen sein sollte. Bis auf Use Random Local Port würde ich keine Haken setzen. Dann als default Speichern und erst danach config files herunterladen, welche passen.
Wenn Du DDNS in pfSense erfolgreich am laufen hast, kannst Du auch den Namen statt der Interface IP Adresse in die Config schreiben lassen oder die config später per Hand ändern.
Ich hoffe das hilft Dir weiter und dass es auch mit IPv6 läuft, was ich selber noch nicht getestet habe. Es könnte ja sein, dass du auf IPv6 bleiben musst und nicht intern auf IPv4 wechseln kannst, aber das weiß ich halt nicht.
-
Mit dieser kreierst Du dann im Wizard auch noch ein Server Zertifikat, wenn Du danach gefragt wirst.
Bei "Choose a Server Certificate" ist nur ein Cert da. Und zwar das, was beim anlegen des Nutzers erstellt worden ist.
Ich würde behaupten das ist aber falsch nach deiner beschreibung?
-
@Krautsalatmission Genau, einfach ein neues erstellen, über den Button im Wizard, nur für den Server. Das soll so sein, alles richtig bis jetzt.
-
Kommt bei Tunnel Network und Local Network jetzt also wirklich eine IPv4 Adresse?
Also Tunnel Network habe ich das Beispiel genommen wie du gesagt hast, also 10.0.8.0/24 und Local Network 192.168.2.0/24
-
@Krautsalatmission Wenn letzteres dein LAN ist dann ja. Keine Ahnung ob OpenVPN das kann, aber ich vermute das wird.
-
@Bob-Dig said in Reiner IPv6 Anschluss mit Domain nutzen und mittels VPN verbinden z.B.:
Du kannst bei den Firewallregeln sehen, dass der VPN-Server auf dem WAN-Interface lauscht, Du musst dich also auf die IPv6-Adresse von pfSense selbst verbinden.
ja ich sehe eine Regel. Bei "Protocol" steht jedoch Ipv4 UDP obwohl UDP Ipv6 only ausgewählt habe. Bin auf Edit gegangen und habe mal auf IPv6 geändert.
