[Beowulf Shaeffer]

(03.08.2014, 13:28)rubber schrieb:  So, mein nächster Test für den 6rd-Tunnel: native ipv4_in_ipv6 --> KLAPPT auch.
Damit kann man IPv4s über den 6rd Tunnel zu einem interen Router durchleiten. Wenn man jetzt öffentliche IPv4s im Internet auf einem Server übrig hat, kann der im Dualstack-Betrieb über IPv6 einige IPv4s zu internen Clients durchleiten.

Führst Du das mal bitte etwas detaillierter aus. Du hast 4in6 genutzt um die WAN IPv4 Adressen eines WAN Subnetz zu Deiner Fritzbox zu routen?
Wie genau hast Du das realisiert? Danke.

[rubber]

Ich wollte testen, ob der 6rd Tunnel (der ja für sich im Prinzip IPv6inIPv4 darstellt) dafür geeignet ist, wieder IP4inIP6 zu tunneln.

Dazu habe ich als Endpunkt einen (Linux-)Server im Internet genutzt der sowohl feste IPv4 als auch fest IPv6 im echten Dualstack nutzt.
Hiert im DGF-Nez habe ich ohne Genexis und auch direkt mit einem Linux-Endpunkt die 6rd-Verbindung aufgebaut. Aufbauend auf dieser habe ich dann den ipv4_in_ipv6-Tunnel aufgebaut und darüber IPv4 geroutet.
Hier wird es dann ggfs. etwas tricky, denn ich möchte, das die IPv4 Antwortpakete auch auf dem gleichen Weg wieder zurück laufen. Hat der Tunnel-Endpunkt hier im DGF-Netz nur IPv6 gibt es gar kein Problem, hat er aber auch eine interne DGF-IPv4 mit dem dazugehörigen IPv4 Gateway muss man dem Endpunkt beibringen, das er für Antwortpakete zu den WAN-IPv4s auch wieder zurück durch den Tunnel muss. Das realisiert man mit entsprechenden ip-rules und stateful-Markierungen der Pakete.
Zudem müssen die Geräte im internen LAN den Tunnelendpunkt als IPv4-Gateway nutzen. Würde man diese Einstellungen nicht alle vorsehen, so würden die IPv4 Antwortpakete wieder über den DGF-CGNAT Router laufen und im Nirvana enden.
Am einfachsten wäre es deshalb, wenn man am Tunnelendpunkt IPv4 von DGF-extern ignoriert und nur die IPv6-Adressen übernimmt. Dann den ipv4inipv6 Tunnel aufbauen und schon ist man mit echten IPv4 online. Damit man aber IPv4 aus dem DGF-Netz ignorieren kann, darf der Tunnelendpunkt selbst dann wieder nicht der 6rd-Endpunkt sein, denn der braucht ja die DGF-IPv4 Adressen wieder.

Das ganze Prinzip müßte also auch mit Genexis und einem OpenWRT dahinter funktionieren; mir ging es aber erstmal nur um den Test von Tunnel in Tunnel.
Ich kenne mich mit den Fritzbox internen Einstellungen nicht so aus, deshalb weiss ich nicht, ob man damit direkt einen ip4ip6 Tunnel aufbauen kann.
Auf jeden Fall muss man offene Ports für den Endpunkt haben. Hat man den Genexis noch im Boot, so muss der vollständig zum IP6-Tunnelendpunkt durchleiten. Ob das geht habe ich bisher nicht getestet.
Der Router hinter dem Genexis sollte aber bei IPv6-only Anbindung ohne Probleme einen ipv4inipv6 Tunnel aufbauen können.

@LoUiS: ist Deine Frage damit bereits beantwortet oder möchtest Du detaillierte Beschreibungen der notwendigen Kommandos?

[Beowulf Shaeffer]

Hi rubber,

die Routing "Probleme" hinter dem Tunnel sind mir bewusst und die kann ich lokal recht einfach loesen. Mich interessiert tatsaechlich ein explizites Konfigurationsbeispiel des (Linux)Servers im WAN fuer 4in6. Ist auch egal welche Distri das ist, das kann ich mir hinbiegen. Ich muss nur einmal allgemein verstehen, wie das 4in6 auf dem Linux konfiguriert wird. Ich hatte dazu vor laengerer Zeit schon mal gesucht, aber leider keine vernuenftige Doku gefunden.
Ich nutze auf meiner Seite aktuell einen LANCOM Router mit einem passenden SFP Modul, welches direkt per SC mit der Glasfaser verbunden ist.
Ich wollte bisher, um das Problem der IPv4 WAN Adressen zu loesen, einen (IPsec, L2TP oder sonstwas) VPN Tunnel von meinem Server im WAN zum LANCOM aufbauen und dadurch das komplette /27er WAN Netz des Linux Server routen. Das ist ja ein aehnlicher Ansatz wie 4in6 nur mit IMHO etwas mehr Overhead. Das loest zumindest ebenfalls die Probleme der Erreichbarkeit per IPv4 aus dem WAN.
Wenn es aber mit 4in6 eine standard Loesung (mit weniger Overhead) gibt, interessiert mich das natuerlich auch. Ggf. kann das dann mit ins LCoS des LANCOM eingebaut werden, wenn es in Zukunft von mehr Kunden angefragt wird und sich breiter durchsetzt. Danke schon mal fuer Deinen Einsatz!


Ciao
LoUiS

[rubber]

Ich habe fast überhaupt keine Ahnung von LANCOM (meide ich wo ich kann) und kann Dir hier tatsächlich "nur" zur Linux Konfiguration Informationen senden:

Ich gehe davon aus, das beide Systeme per IPv6 Verbindung haben:
IPv6-Router im LAN: 2a00:61e0:XXXX:XX0Y::1
IPv6-Router "draussen" im INET: 2a00:fe0:Z::1

Dann muss man auf dem LAN-Router auf folgende Art den Tunnel bauen:
ip -6 tunnel add i4i6tunnel mode ip4ip6 local 2a00:61e0:XXXX:XX0Y::1 remote 2a00:fe0:Z::1
ip -6 link set i4i6tunnel up

Auf dem INET-Router analog:
ip -6 tunnel add i4i6tunnel mode ip4ip6 local 2a00:fe0:Z::1 remote 2a00:61e0:XXXX:XX0Y::1
ip -6 link set i4i6tunnel up

Jetzt zu den neuen Devices" i4i6tunnel" jeweils eine IPv4-IP aus dem zu benutzenden Transfernetz 192.168.222.0/30 zuweisen:
LAN: ip addr add 192.168.222.2 dev i4i6tunnel
INET: ip addr add 192.168.222.1 dev i4i6tunnel

Nun auf beiden Routern das Transfernetz bekannt machen:
LAN/INET: route add -net 192.168.222.0/30 dev i4i6tunnel

Ab jetzt sollten die beiden Router sich nicht nur über ihre IPv6 Adressen sondern auch über die IPv4 Transfer Adressen erreichen können. Falls nicht (also bitte prüfen), gibt es ein Problem mit dem ip4inip6 Tunnel. Dann ist zu prüfen, welche Seite hakt. Alles weitere kann man sich vorerst sparen, bis die Router sicher "sehen" können.

Hat man jetzt auf dem INET-Router ein Netz A.B.C.D/24 und möchte davon z.B. den oberen Teil zum LAN Router übergeben ist dies ganz einfach:
INET: route add -net A.B.C.128/25 gw 192.168.222.2

Dann kommt das Netz A.B.C.128/25 beim LAN-Router an und er kann es entsprechend verteilen oder mit virtuellen Interfaces selbst nutzen oder oder oder. Wichtig ist eben nur, das der LAN-Router die Antworten auch über das Transfernetz zurück routet. Unterstellen wir, der LAN-Router hätte ansonsten keinen IPv4-Default-GW, dann eben einfach mit:
LAN: route add default via 192.168.222.1

Das Transfernetz kann natürlich auch schon im Bereich der öffentlichen IPv4-Adressen liegen, muss aber nicht.

[Beowulf Shaeffer]

Hi,

danke fuer Deine Anleitung! Wichtig war mir nur die Linux Seite (die ich meide wo ich nur kann), damit bekomme ich das hin.
Die LANCOM Seite ist kein Problem, die bekomme ich schon einfach in den Griff.


Ciao
LoUiS

[rubber]

@LoUiS
Das ergänzt sich ja dann prima! ;-)

Ich werde morgen meinen ersten Anschluss mit 200Mbit geschaltet bekommen. Bin mal gespannt! Mal sehen wo die Speedbremse eingebaut ist.

[Mansa]

Ich hab was Komisches festgestellt Ich habe von unterschiedlichen Glasfaser Anschlüssen versucht meinen Server der ipv6 hat zu erreichen und bei manchen Anschlüssen klappt es über ipv6 und bei anderen nicht.

Gruß Mansa