ubuntuusers.de

Hallo, ich bitte euch, mir zu helfen zu verstehen, wo der Fehler liegt, und ob und wie er sich beheben lässt: Ich habe ein lokales Netzwerk das über eine Fritz!box mit dem Internet verbunden ist. Im Netzwerk habe ich einen Wlan-Router mit OpenWRT, auf dem ich einen Open-VPN-Server laufen habe. Ebenfalls habe ich auf diesem Router Dynamisches DNS aktiviert, sodass ich über eine Domain nach dem Schema xyz123.glddns.com erreichbar sein sollte. Mein Internetanschluss verfügt über eine IPv6-Adresse. Die IPv4-Adresse ist hinter einem Carrier-NAT.

Ich möchte von unterwegs mit dem Ubuntu Notebook auf mein lokales Netz zugreifen. Das Internet unterwegs unterstützt kein IPv6. Ich hab schon versucht mich zu verbinden (mit der Datei client.openvpn über die grafischen VPN-Einstellungen ein neues VPN hinzugefügt), aber es kam keine Verbindung zustande. Auch keine Fehlermeldung. Ich sehe mehrere Punkte, an denen es haken könnte, weiß aber nicht wie ich das testen, geschweige denn beheben kann:

• Ist der Wlan-Router hinter der Fritzbox vom Internet aus überhaupt erreichbar?

• Funktioniert das Dynamische DNS? Brauchts das überhaupt? Ein Test auf dem Router sagt "Die DDNS Domain verweist auf die korrekte öffentliche IP dieses Gerätes.", aber wenn ich die Adresse im Browser aufrufe, kommt nichts.

• Ist der OpenVPN Server korrekt eingerichtet? Auf dem Router sagt es "Der OpenVPN Server ist derzeit EINGESCHALTET. Tunneladresse 10.8.0.0,fd00:db8:0:123::0/64 Netzwerkverkehr Statistik 0.00 B/0.00 B Das sind lokale IP-Adressen.

• Ist der Client korrekt eingerichtet? Wenn ich ihn starte, erscheint er eine Weile als eingeschaltet, aber dann schaltet es sich wieder aus. Es kommt keine Verbindung zustande.

Ich habe dies alles beobachtet, verstehe aber zu wenig von Netzwerk, um daraus Schlüsse zu ziehen. Könnt ihr mir hefen?

Die IPv4-Adresse ist hinter einem Carrier-NAT.

Dann bist du von außen maximal per IPv6 direkt erreichbar, nicht aber per v4.

Das_Auge schrieb:

Das "Internet unterwegs" unterstützt kein IPv6. (...) Die IPv4-Adresse ist hinter einem Carrier-NAT.

Und genau das ist die Wurzel des Problems. Das eine Netz (das mit CG-NAT) kann nur per IPv6 erreicht werden. Das "Internet unterwegs" kann aber offenbar nur IPv4. Um zu ergründen, was du tun kannst fehlen in deinem langen aber um das Problem herum geschrieben Text die wesentlichen Informationen. z.B. die um welche Art Internet unterwegs es sich handelt. Ist es

• ein Mobilfunknetz in Deutschland

• ein Mobilfunknetz im Ausland (Roaming)

• das WLAN eines Hotels, Cafes, etc.?

Es gibt Lösungen für diese Arten von Problemen. Aber um die zu finden braucht es zielführende Infos von dir.

Weiterhin stellen sich mir die Fragen, warum du hiner der Fritte

• einen Wlan-Router mit OpenWRT laufen hast? Die Fritte ist doch bereits ein Wlan-Router

• warum dann dort auf dem OpenWRT ein Open-VPN-Server läüft? Aktuelle Fritten haben doch Wireguard und schließlich

• hat dein OpenWRT Wlan-Router von der Fritte eine öffentlich erreichbare IPv6-Adresse bekommen und wie wird diese vergeben (SLAAC oder DHCPv6)?

• für letzteres müssen in der Fritte IA_PD und IA_NA aktiviert worden sein

coraggioso schrieb:

…um welche Art Internet unterwegs es sich handelt.

Es handelt sich um die italenischen Mobilfunknetze Fastweb (Reseller von Vodafone) und Iliad (eigenständig). Beide verhalten sich hier gleich.

Es gibt Lösungen für diese Arten von Problemen. Aber um die zu finden braucht es zielführende Infos von dir. Weiterhin stellen sich mir die Fragen, warum […] dort auf dem OpenWRT ein Open-VPN-Server läuft? Aktuelle Fritten haben doch Wireguard

Ein Versuch mit der Fritzbox ist gescheitert (ist schon länger her, aber u.U ist das Problem Dasselbe). Mit dem openWRT-Router habe ich nun einen neuen Versuch gestartet.

• hat dein OpenWRT Wlan-Router von der Fritte eine öffentlich erreichbare IPv6-Adresse bekommen und wie wird diese vergeben (SLAAC oder DHCPv6)?

• für letzteres müssen in der Fritte IA_PD und IA_NA aktiviert worden sein

Der OpenWRT Wlan-Router hat die öffentlich erreichbare Adresse (DDNS) nicht von Fritz!, sondern vom Hersteller des //linuxnews.de/reiserouter-gl-inet-ax3000/ OpenWRT-Routers:. Auf der Fritz!Box ist eine Port-Weiterleitung eingerichtet, sowohl für IPv4, als auch für IPv6.

Ich habe folgenden Test erfolgreich durchgeführt, und wenn ich die Sache richtig durchdacht habe, bedeutet das, dass das VPN prinzipiell funktioniert:

1. Ich verbinde mein Ubuntu mit der Fritz!Box und drucke ein Dokument. Es funktioniert.

2. Ich verbinde mein Ubuntu nun stattdessen mit dem Gast-Wlan der Fritz!Box. Ich drucke ein Dokument, aber es geht nicht. Schlussfolgerung: Wie erwartet habe ich keinen Zugriff mehr auf das lokale Netzwerk.

3. Der OpenWRT-Router ist im lokalen Netzwerk (nicht im Gast-Wlan), mit Portweiterleitung und DDNS vom Router-Hersteller "Gl inet". Dort läuft ein OpenVPN-Server

4. Ich starte vom Ubuntu im Gast-Wlan aus eine VPN-Verbindug zum Open-WRT-Router. Die Verbindung ist erfolgreich.

5. Ich drucke ein Dokument. Es funktioniert (obwohl immer noch über Gast-Wlan verbunden).

Meine Schlussfolgerung: Die Verbindung war nicht lokal, sondern ging übers Internet, durch den VPN-Tunnel über den DDNS-Server zurück in mein lokales Netzwerk. Also funktioniert das VPN, wenn Client und Server auf die gleiche Art verbunden sind.

coraggioso schrieb:

Es gibt Lösungen für diese Arten von Problemen.

encbladexp schrieb:

Die IPv4-Adresse ist hinter einem Carrier-NAT.

Dann bist du von außen maximal per IPv6 direkt erreichbar, nicht aber per v4.

Ich denke, encbladexp beschreibt das Problem hier sehr knapp und präzise. Gibt es denn wirklich eine Lösung für dieses Problem? Oder muss ist Provider wechseln und darauf achten, dass der neue Provider auch eine IPv4-Adresse bereitstellt?

Hallo, @Das_Auge

Es handelt sich um die italenischen Mobilfunknetze Fastweb (Reseller von Vodafone) und Iliad (eigenständig). Beide verhalten sich hier gleich.

Überprüfe in dem Gerät mit dem die Mobilfunkverbindung ins Mobilfunknetz Fastweb/Iliad herstellst die APN-Einstellungen. Aktiviere dort unter

• APN Protokoll und

• APN Roaming Protokoll jeweils

IPv4/IPv6. Prüfe dann (gegebenenfalls nach einem Neustart des Gerätes) unter Geräte ID's ob du nun neben der IPv4- auch eine IPv6-Adresse zugewiesen bekommen hast. In Deutschland, Österreich, Belgien, Frankreich, Spanien und Portugal bekomme ich mit dieser Einstellung immer auch eine IPv6-Adresse von den Mobilfunk ISP's zugewiesen.

Ein Versuch mit der Fritzbox ist gescheitert (ist schon länger her, aber u.U ist das Problem Dasselbe). Mit dem openWRT-Router habe ich nun einen neuen Versuch gestartet.

Kein Wunder, wenn man das Grundproblem ignoriert.

hat dein OpenWRT Wlan-Router von der Fritte eine öffentlich erreichbare IPv6-Adresse bekommen

Der OpenWRT Wlan-Router hat die öffentlich erreichbare Adresse (DDNS) nicht von Fritz!, sondern

Diese Antwort zeugt von totaler Ahnungslosigkeit! Ich fragte nach einer öffentlich erreichbare IPv6-Adresse und du gibst mir als Antwort woher du Dein DynDNS bekommst. Beantworte die Fragen die gestellt wurden. Wenn du nicht verstehst um was es geht, dann sag das. Ersatzweise irgendetwas vollkommen anderes zu beantworten ist nicht zielführend.

Meine Schlussfolgerung: Die Verbindung war nicht lokal, sondern ging übers Internet, durch den VPN-Tunnel über den DDNS-Server zurück in mein lokales Netzwerk. Also funktioniert das VPN, wenn Client und Server auf die gleiche Art verbunden sind.

Ja, wenn das Zielnetzwerk nur IPv6 kann, dann muss das Quellnetzwerk auch IPv6 können. Deswegen sollst du in den APN IPv6 aktivieren.

Gibt es denn wirklich eine Lösung für dieses Problem? Oder muss ist Provider wechseln und darauf achten, dass der neue Provider auch eine IPv4-Adresse bereitstellt?

Aktiviere in den APN IPv6. Dann werden wir sehen ob das bereits ausreicht.

coraggioso

hat dein OpenWRT Wlan-Router von der Fritte eine öffentlich erreichbare IPv6-Adresse bekommen

Beantwortet das die Frage? Mir sind die Begriffe fremd.

• "DHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren" ist aktiviert

• "DNS-Server und IPv6-Präfix (IA_PD) zuweisen" ist aktiviert

Aktiviere in den APN IPv6. Dann werden wir sehen ob das bereits ausreicht.

Sowohl Fastweb als auch Iliad: "Netzwerk nicht verfügbar", wenn ich auf IPv6 umstelle. Wenn ich beides einschalte, dann habe ich nur eine IPv4-Adresse

Das_Auge schrieb:

Sowohl Fastweb als auch Iliad: "Netzwerk nicht verfügbar", wenn ich auf IPv6 umstelle. Wenn ich beides einschalte, dann habe ich nur eine IPv4-Adresse

Antwort der KI:

Obwohl IPv6 im Mobilfunk in Italien noch nicht flächendeckend verfügbar ist, wird es von den Hauptanbietern wie TIM, Wind Tre, Vodafone Italia und Iliad Italia schrittweise eingeführt

1. Lösungsansatz wäre es also den Mobilfunk ISP zu wechseln. Vorzugsweise zu einem der schon IPv6 flächendeckend anbietet.

2. Lösungsansatz (falls der erste nicht realisierbar ist) stell wieder um von OpenVPN auf Wireguard. Besorge dir einen Account bei IPv64.net | Free DynDNS & VPN Service. Richte dir dort den Cloud Router as a Service ein. Darüber kommst du dann auch aus IPv4-Only Netzen per Wireguard in dein LAN.

Danke für deine schnelle Reaktion!

coraggioso schrieb:

1. Lösungsansatz wäre es also den Mobilfunk ISP zu wechseln. Vorzugsweise zu einem der schon IPv6 flächendeckend anbietet.

2. Lösungsansatz (falls der erste nicht realisierbar ist) stell wieder um von OpenVPN auf Wireguard. Besorge dir einen Account bei IPv64.net | Free DynDNS & VPN Service. Richte dir dort den Cloud Router as a Service ein. Darüber kommst du dann auch aus IPv4-Only Netzen per Wireguard in dein LAN.

"Noch nicht flächendeckend" ist wohl ein Euphemismus. Keiner der 4 Mobilfunkanbieter hat mehr als Experimente am Start. Bleibt Lösungsansatz 2: Klingt interessant, aber auch sehr kompliziert. Ich wäre da auf ein Tutorial angewiesen, und wäre nicht imstande, ein Tutorial für eine etwas andere Situation an meine Bedürfnisse anzupassen, weil ich zu wenig von fortgeschrittener Netzwerkkonfiguration verstehe. Account, Domain und cloud Router hab ich erstellt. Aber einrichten: Keine Chance, ohne Step-by step Anleitung.

Kennst du eine, die für diese Situation passt?

Step-by step Anleitung:

• Fritzbox WireGuard Site 2 Site VPN mit dem Cloud Router von IPv64.net - Anleitung / Tutorial

Support (denn mit Ubuntu hat das nichts mehr zu tun):

• IPv64.net - Forum

Danke, diese Links sind sehr hilfreich! Außerhalb von Ubuntu konnte ich damit alles einrichten, sodass es funktioniert (Testweise mit je einem Router in den beiden Netzwerken, die beide als Clients mit dem Cloud-Router verbunden sind; mit der Fritzbox hat's leider nicht geklappt).

Wenn ich allerdings von Ubuntu aus direkt zum Cloudrouter verbinden will und versuche, die WireGuard-Verbindung in Ubuntu zu installieren (Einstellungen → Netzwerk → VPN hinzufügen → aus Datei importieren), dann bekomme ich folgende Fehlermeldung:

VPN-Verbindung kann nicht importiert werden. Die Datei "wg0.conf" konnte nicht gelesen werden oder enthält keine gültige VPN-Verbindung

Fehler: does not look like a Cisco-kompatibler (sic!) VPN-Client (vpnc) VPN connection (no Host).

Die WireGuard-Konfiguration sieht so aus:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

[Interface]
Address = 10.7.0.2/32,fd64::2/128
PrivateKey = [mein key]
DNS = 86.54.11.100

[Peer]
PublicKey = [mein key]
PresharedKey = [mein key]
AllowedIPs = 192.168.8.0/24,10.7.0.0/24
Endpoint = srv03.vpn64.de:12345
PersistentKeepalive = 15

Das_Auge schrieb:

Wenn ich allerdings von Ubuntu aus direkt zum Cloudrouter verbinden will und versuche, die WireGuard-Verbindung in Ubuntu zu installieren (Einstellungen → Netzwerk → VPN hinzufügen → aus Datei importieren), dann bekomme ich folgende Fehlermeldung:

Fehler: does not look like a Cisco-kompatibler (sic!) VPN-Client (vpnc) VPN connection (no Host).

Moin, aber gelesen haste die Fehlermeldung wohl nicht wirklich oder? Selbstverständlich ist eine WireGuard-kompatible Datei nicht kompatibel zum Cisco-VPN !!!

Eine britische Pfund-Münze passt ja auch in keinen Verkaufsautomaten für Euro-Münzen auf dem Kontinent 😉

Lesestoff:

• WireGuard

• NetworkManager

• NetworkManager/WireGuard

Die Datei "wg0.conf" gehört ins Verzeichnis

/etc/wireguard/

dafür sind sudo-Rechte erforderlich und Wireguard muss zuvor natürlich auch installiert worden sein. Siehe WireGuard (Abschnitt „Installation“)

Nachtrag:

Ich empfehle dir die wg0.conf noch um einen Eintrag für die MTU zu ergänzen. Das sähe dann so aus:

[Interface]
Address = 10.7.0.2/32,fd64::2/128
PrivateKey = [mein key]
DNS = 86.54.11.100
MTU = 1392

[Peer]
(...)

Ansonsten gibt es auf Linux-Systemen Probleme mit TCP-Verbindungen (wie ssh, http/https, etc.). Fritten setzen automatisch eine MTU = 1392 und bei Android scheint das nicht notwendig zu sein.

Hallo Das_Auge,

der Fehler "does not look like a vpnc VPN connection" kommt daher, dass GNOME die .conf-Datei ohne passendes WireGuard-Plugin an den vpnc-Importer weiterleitet. Der Import über die grafische Oberfläche ist dabei leider fehleranfällig.

Zuverlässiger ist der Import per Kommandozeile:

sudo nmcli connection import type wireguard file /pfad/zur/wg0.conf

Oder direkt mit wg-quick (einfacher, kein NetworkManager nötig):

sudo apt install wireguard-tools
sudo cp /pfad/zur/wg0.conf /etc/wireguard/wg0.conf
sudo wg-quick up wg0

Beim Systemstart automatisch aktivieren:

sudo systemctl enable --now wg-quick@wg0

Euer Split-Tunnel-Setup (AllowedIPs = 192.168.8.0/24,10.7.0.0/24) funktioniert mit beiden Methoden problemlos - nur der Heimnetz-Traffic wird durch den Tunnel geleitet, der Rest geht weiterhin direkt ins Internet.