Thema "Betreff: VPN von iPhone über USG in ein Subnetz" in Archiv_Apple

VPN von iPhone über USG in ein Subnetz

Peter7714 — Thu, 27 Jun 2019 10:12:01 GMT

Ich suche eine Lösung, um von meinen Smartphone, ohne Fritz VPN, eine VPN verbindung in ein Subnetz aufzubauen.

Mein Netzwerk ist mit einem USG und Switches der Firma UNIFI aufgebaut.

Smartphon --> WEB --> KabelVodafon -->Kabelbox 6490 ---> Unifi USG ----> Unifi Switches ----> Endgeräte

Von der Fritzbox soll nur die Telefonfunktion genutzt werden.

Es geht darum, die Daten von Messgeräten abzufragen und eine Verbindung zu eigenen Kameras auzubauen.

Der Anschluss ist Privat und deshalb keine eigene IPv4 nach außen möglich. Aufgrung der DSLite Übertragung hilft auch kein DYNDNS Server.

An der Hotline von Vodafon, mit der neuen KI als Gesprächspartner, die eher als Firewall wirkt, habe ich schon Stunden verbracht, ohne einen Ansprechpartner länger als für 5 Sekunden zu bekommen. Kaum hatte ich das Problem angesprochen, war plötzlich die Leitung tot. Die tolle Whatsapp Lösung von Vodafon steckt noch in den Kinderschuhen, Reaktionszeit 8 Std. da kommt keine Kommikation zustande.

Ich bitte um Unterstützung.

Betreff: VPN von iPhone über USG in ein Subnetz

Monkie — Thu, 27 Jun 2019 10:49:01 GMT

Hallo,

ich hatte ein ähnliches Problem, allerding mit Vodafone DSL (also kein DSLite!). Bezüglich DSLite habe ich gelesen, dass man dies in einer eigenen(!) Fitzbox wohl ausschalten kann, kann dies aber mangels Kabel Anschluss nicht bestätigen.

Am wichtigsten ist, dass man die Fritzbox von außen erreichen kann (egal wie 😉

Ist im USG denn bereits ein VPN eingerichtet?

Um das VPN vom USG überhaupt in einer solchen Konstellation nutzen zu können, muss in der Fritzbox eine Weiterleitung an das USG eingerichtet werden. Z.B. mit exposed hosts. (Internet -> Freigaben -> Hinzufügen -> Exposed Host)

Ob Die Fritzbox das auch bei DSLite kann, kann ich leider nicht sagen.

Das VPN der Fritzbox muss auch ausgeschaltet sein.

Eine andere möglichkeit ist natürlich ganz auf IPv6 zu gehen und dem USG eine IPv6 geben, die direkt aus dem WAN erreichbar ist.. wobei ich hier gerade nicht weiß inwieweit dass funktioniert (Kann ich nicht testen, da ja Vodafone DSL wohl noch lange nicht IPv6 tauglich sein wird).

Das ganze Vorhaben ist recht aufwendig und durch den IP wechsel nicht ganz so Kompfortabel.

Im Endeffekt habe ich es etwas anders gelöst.

Ich Verbinde den USG mit einem VPN auf meinem Server, wodurch die IP wechsel keine Rolle spielen.

Dort kann ich mich dann ebenfalls Verbinden und ich kann auf alles freigegebene in meinem Heimnetz zugreifen.

Ist sowas vielleicht für dich eine Möglichkeit?

Und mit der tollen Hotline KI habe ich mich auch schon "rumschlagen" müssen... kann deine Erfahrungen leider nur bestätigen.

Viele Grüße

Guido

Betreff: VPN von iPhone über USG in ein Subnetz

dasdensch — Thu, 27 Jun 2019 10:53:39 GMT

Long story short: MAch dein Netz v6 fähig oder du wirst es nicht wirklich schaffen.
IPv4 gibts aktuell ausschließlich bei Business Anschlüssen mit fester IP. DSlite wird nicht abgestellt bei Privatkunden.

Betreff: VPN von iPhone über USG in ein Subnetz

Peter7714 — Thu, 27 Jun 2019 12:42:19 GMT

Das Problem bei DS Light ist, soweit ich es verstehe, dass eine IPv4 von mehreren Nutzern verwendet wird. Dies bedeutet, dass von außen nicht bekannt ist, an wen die Anfrage geht. Von innen nach außen ist es kein Problem, der Vodafon Server kennt das Packet kennt und weiß dann wohin er die Antwort schicken soll.

Betreff: VPN von iPhone über USG in ein Subnetz

Peter7714 — Thu, 27 Jun 2019 12:54:24 GMT

Auch bei IPv6 dürfte es nicht so einfach sein. Ich kenne bisher keinen, der das Problem angepackt und gelöst hat. Ich hätte nichts dagegen IPv6 zu verwenden. Die Frage stellt sich dann, habe ich eine privat IPv6 die sich aus Datenschutzgründen ändert oder ist meine IPv6 immer gleich. Ich habe das Internet nach einer Lösung abgegrast, leider bisher keine Lösung für Normalsterbliche private Anwender gefunden. Ich verstehe nicht, dass sich ein großes Unternehmen wie Vodafon von Fritz VPN abhängig macht, anstelle offen für Lösungen der Zukunft zu sein und die Home Automatisation auf eine breite Basis stellt. Eigentlich müsste es Stand der Technik sein, eine beliebigen VPN Verbindung in sein Netzwerk aufzubauen.

Betreff: VPN von iPhone über USG in ein Subnetz

Monkie — Thu, 27 Jun 2019 13:34:59 GMT

Bei DSLite werden keine IPv4 Adressen von mehreren Nutzern genutzt, sondern die Nutzer bekommen eine IPv6 und wenn eine Anfrage an eine reine IPv4 kommt wird diese dann durch ein Gateway in die IPv6 übersetzt.

Also dein Router bekommt eine IPv6. Da aber nicht alle Webseiten/etc nicht IPv6 fähig sind wird das Gateway zwingend benötigt.

Ob alle Geräte in deinem Heimnetz IPv6 fähig sind weiß ich natürlich nicht. Wenn nicht wird die Umstellung auf IPv6 auch sehr komplex...

Soweit ich weiß bekommt man immer bei Vodafone Kabel einen IPv6 Präfix zugeteilt (wie oft sich der ändert weiß ich nicht, aber statisch wird der wahrscheinlich nicht sein). Der Postfix ist dann für die im Heimnetz angemeldeten Geräte. Dieser wird dann vom DHCP-Server vergeben.

Die einfachste Möglichkeit so ein Vorhaben umzusetzen wird dann wohl die externe VPN Variante sein. Hier bekommt man ja auch günstig Server mit IPv4 und IPv6 Adressen.

~~Aber ganz davon abgesehen, der USG kann an den WAN Ports meines Wissens noch gar kein IPv6?~~

Wenn ich irgendwo falsch liegen sollte Korrigiert mich bitte 😉

Nachtrag: IPv6 wird vom USG an den WAN Ports Ünterstützt.

Nachtag2: Test Vorschlag

Eventuell ist es Möglich, wenn du am USG WAN IPv6 einstellst und dort vom Fritzbox DHCP Server eine IPv6 Adresse geben lässt. Somit hat dann der USG eine IPv6, die aus dem WAN erreicht werden sollte.

Damit kannst du dann den VPN Tunnel direkt zum USG Aufbauen.

Eventuell funktioniert eine solche konstellation. Testen kann ich das leider nicht.

Betreff: VPN von iPhone über USG in ein Subnetz

Peter7714 — Thu, 27 Jun 2019 14:23:09 GMT

Ich bitte um Entschuldigung, ich habe mich vermutlich falsch ausgedrückt. Jeder hat innerhalb von Vodafon selbstverständlich eine eindeutige IPv4 Adresse, nur im großen Internet nicht, da müssen sich die Anwender Adressen teilen. Wenn dem nicht so wäre, könnte ja jeder seine eigen IPv4 haben. Leider ist nicht jeder Anwender in der Lage, aufgrund seiner Ausbildung, zu forschen ob eventuell oder vielleicht etwas möglich ist, wenn er eine, ich will mal sagen, Anwendung entsprechend dem Stand der Technik, die seit einigen Jahrzehnten genutzt wird, nutzen möchte. Vodafone mit hunderten von Spezialisten sollte doch in der Lage sein, eine umzusetzende Lösung anzubieten, die AVM und andere Anbieter von Hardware berücksichtigt. Ich nähere mich dem 70zigsten Lebensjahrzehnt und hatte die Hoffnung noch in diesem Leben eine Lösung ohne Informatikstudium zu finden, die es ermöglicht einfach meine Adresse aus dem Internet anzusprechen, um mit meinen Geräten Kontakt aufzunehmen. Bei meiner Wohnadresse ist das doch auch kein Problem, da kommt doch auch keiner auf die Idee ständig die Stadt, Straße und Hausnummer zu ändern, damit mich keiner findet. Wenn ich nach außen gehe kann meine Adresse natürlich ändern (Postfach), wenn ich weiß, welche Adresse ich verwendet habe, damit die Antwort richtig ankommt. Selbstverständlich möchte ich niemand verärgern und bin ich dankbar für die Diskussionsbeiträge, die mich weiterbringen können. Dennoch scheint dieses Thema bei den Providern keinen Stellenwert zu besitzen. Ich würde mich freuen, wenn in der Diskussion die Funktionalität der Fritz Box in dieser Beziehung verständlich wird und Wege gefunden werden, die vielen Anwendern das Leben erleichtern.

Betreff: VPN von iPhone über USG in ein Subnetz

Monkie — Fri, 28 Jun 2019 14:04:58 GMT

Da gab es wohl beiderseits missverständnisse 😉

Ja das siehst du richtig, die IPv4 Adressn müssen nach außen hin geteilt werden, sonst wäre richtigerweise ja auch DSLite nicht notwendig.

An einer Lösung des Problems bin ich auch sehr Interessiert, auch wenn ich es selbst nicht habe "mangels" DSLite.

Um alle Geräte, bzw die die man von außen haben möchte, aus dem WAN ansprechen zu können, wird es wohl leider wirklich etwas komplexer. Zumindest mit DSLite, bzw IPv6.

Auch wenn eine der eigentlichen Intensionen von IPv6 die ist, eine solche Infrastuktur Problemlos einzurichten, so ist es in der heutigen Infrastrkutur der ISPs nicht möglich.

Es müssten alle ISPs eigentlich auch IPv6 liefern, was aktuell nicht der fall ist, siehe Mobilfunk Vodafone[1][2].

Somit kann man dannn natürlich eine reine IPv6 basierte Lösung vergessen, man kann sich ja nicht verbinden.

Nitchts desto trotz sollte es meiner Meinung nach gehen, wenn man den WAN Port vom USG auf IPv6 stellt. Hier ist dann natürlich vorrausgesetzt, dass die Fritzbox von außen über IPv6 erreichbar ist und deren VPN deaktiviert ist.

Das USG ist mit OpenVPN 2.3.2 und IPv6 im letzen beta release ausgestattet. Somit sollte das VPN auch mit IPv6 funktionieren. Es muss allerdings auch der VPN Client IPv6 Unterstützen. Meines wissens haben viele damit leider Probleme.

[1] https://forum.vodafone.de/t5/Mobilfunk/Einf%C3%BChrung-von-IPv6-im-Vodafone-Mobilfunknetz/td-p/1743849

[2] https://mobile.twitter.com/H_Ametsreiter/status/1135528427291906049

Betreff: VPN von iPhone über USG in ein Subnetz

thomasschaefer — Sat, 29 Jun 2019 17:09:51 GMT

Du musst ein VPN wählen, welches als Transport ipv6 unterstützt. Leider kenne ich da die Möglichkeiten von usg nicht. Zur Adressierung brauchst du nach vor dyndns, nur eben für ipv6. Da du eine Fritzbox als Router verwendest, spricht aus meiner Sicht nichts dagegen dafür myfritz zu nutzen. Die Fritzbox erlaubt es auch problemlos die Firewall für die usg entweder selektiv oder komplett freizugeben.

Betreff: VPN von iPhone über USG in ein Subnetz

thomasschaefer — Sat, 29 Jun 2019 17:16:45 GMT

Da hast du aber das Netz schlecht abgegrast. Allein ich habe zwei VPN-Beispiele ins Netz gestellt, die mit ds-lite funktionieren.
Anmerkung noch zu meiner vorherigen Antwort:
Das iPhone braucht natürlich auch eine ipv6-Adressse. Derzeit ist das nur im Netz der Telekom zu bekommen.

Betreff: VPN von iPhone über USG in ein Subnetz

thomasschaefer — Sat, 29 Jun 2019 17:26:45 GMT

Nachdem ich jetzt von monkey weiß, dass usg openvpn hat, sollte sich dein Vorhaben leicht umsetzen lassen.
Die Einschränkungen im Vodafone Mobilfunknetz kann ich zwar nicht weg diskutieren, aber es besteht ja Hoffnung (soll dieses Jahr noch kommen) bzw. Auswahl (Telekom).

Betreff: VPN von iPhone über USG in ein Subnetz

Peter7714 — Sun, 30 Jun 2019 08:12:33 GMT

Hallo Thomas, vielen Dank für den Hinweis.

Nur mal zu meinem Verständnis. Wenn ich ein VPN IPv6 verwende bekommt dann der DynDNS Server von meiner Fritzbox die Private IPv6 Adresse übermittelt, damit ich von außen über den DS lite erreichbar bin.

Des Weiteren, kann Fritz VPN über den "Tellerrand" schauen und sieht das Subnetz? Alle Artikel, die sich mit DS und VPN beschäftigen sehen darin ein dickes Problem. Portweiterleitung und Fritz VPN verträgt sich nicht. Wenn ich hier was überlesen habe, welche Einstellungen erforderlich damit es funktioniert, wäre ich dankbar für die Informationen.

Noch eine Frage am Rande, über myip.ix bekomme ich einen Hostname angezeigt xxxxxxxxxx.dynamic.kabel-deutschland.de angezeigt. Ist in diesem Hostname meine private IPv6 ev. schon definiert. Mit den ersten 10 alphanumerischen Stellen wären genügend Kombinationen vorhanden, um alle Kunden von Vodafone für die nächsten 100 Jahre eine eigene oder auch mehrere eindeutige Adressen zu geben.

Betreff: VPN von iPhone über USG in ein Subnetz

thomasschaefer — Sun, 30 Jun 2019 21:16:20 GMT

"Wenn ich ein VPN IPv6 verwende bekommt dann der DynDNS Server von meiner Fritzbox die Private IPv6 Adresse übermittelt, damit ich von außen über den DS lite erreichbar bin."

Nein, du arbeitest grundsätzlich mit "öffentlichen" Adressen bei IPv6. Es gibt zwar auch so etwas ähnliches wie private Adressen fd..... Diese sind aber für die Verwendung im DNS genauso nutzlos wie IPv4-Adressen hinter (CG)NAT.

Deine Fritzbox hat eine "öffentliche" IPv6-Adresse und auch dein USG hat eine "öffentliche" IPv6-Adresse.

Letztere muss im (DYN)DNS erscheinen. Außerdem muss sie entsprechend freigegeben sein, d.h. die muss auch eingehend den Router passieren dürfen. (Firewall im Router konfigurieren oder testweise ganz abschalten)

"Des Weiteren, kann Fritz VPN über den "Tellerrand" schauen und sieht das Subnetz?"

Fritz-VPN ist dumm. Es funktioniert nicht mit DS-lite/IPv6. Vergiss es einfach bis AVM mal ein richtiges Update zu dem Thema rausbringt.

Du kannst openvpn auf usg einrichten und da auch das dahinter liegende Ipv4-Netzwerk via IPv6 zum Smarpthone tunneln.

myip.is ist dumm. Es zeigt nur die Ipv4-Adresse an, die du dir mit anderen Nutzern teilst. Damit kannst für vpn/server nichts anfangen.

Deine nutzbaren IPv6-Adressen siehst du unter anderem hier:

v6.de, ipv6-test.com test-ipv6.com

Die Länge des rückwärts aufgelösten Namens der Ipv4-Adresse täuscht. Außerdem gehören nicht alle IP-Adressen vodafone. Der Rest des Internets braucht auch noch ein paar, egal ob ipv4 oder ipv6.

Falls du in München wohnst, könnte ich dir ggf. persönlich helfen. Da wäre in einer Stunde eventuell mehr geklärt als in 100 Forumsantworten möglich ist.

Betreff: VPN von iPhone über USG in ein Subnetz

Peter7714 — Mon, 08 Jul 2019 10:37:09 GMT

Zuerst einmal vielen Dank Thomas für Deine Unterstützung. Ich musste erst einmal alles verdauen. In meinem verzweifelten Kampf gegen die Technik ist mir eingefallen, dass VPN mit der Fritzbox ja funktionieren soll. Tatsächlich konnte ich kurzzeitig eine Verbindung mit meiner Fritzbox ,ohne das Subnetz, aufbauen. Wie macht AVM das mit DS Lite.

Diesen Monat oll ja IPv6 starten. Da der Support bei Vodafone so gut wie nicht zu erreichen ist, wird Herr Ametsreiter in Twitter bestimmt entsprechende Hinweise mit den Rahmenbedingungen für die Nutzung veröffentlichen. Ich freue mich schon jetzt darauf. Vielleicht macht er auch ein Youtube Clip "Ganz einfach mit VPN ins Homenetz mit Vodafone". Damit könnte er seine Hotline kräftig entlasten. 🙂

Betreff: VPN von iPhone über USG in ein Subnetz

thomasschaefer — Mon, 08 Jul 2019 10:44:39 GMT

Für das kaputte vpn von avm ist Herr Ametsreiter nicht verantwortlich. Aber für alle anderen Probleme, die mit der Erreichbarkeit von Rechnern zu tun haben, schon.

Schaun wir mal, der Juli ist ja noch lang.