Thema "Betreff: SSH Verbindung über IPv6" in Archiv_Internet-Geräte

SSH Verbindung über IPv6

Vitaly — Fri, 25 May 2018 14:19:03 GMT

Hallo,

ich habe einen Raspberry-Pi, der über LAN-Kabel mit meinem Hitron CV-30360 Router verbunden ist. Der Raspberry-Pi ist bereits für IPv6 eingerichtet und bekommt erfolgreich eine IPv6 Adresse. Jetzt will ich mich über das Internet mit dem Raspberry über seine globale IPv6 verbinden. Wenn ich das in meinem Heimnetz mache, also "ssh user@pi_global_ipv6", dann klappt es. Wenn ich das extern mache oder einfach auf der Webseite https://centralops.net/co/Ping.aspx die globale IPv6 des Raspberry anpinge, dann geht es gar nicht.

Was ich gelesen habe, kann mein Router den Zugriff blocken und man muss das im Firewall freigeben. Ich kann aber diese Möglichkeit in den Einstellungen des Routers nicht finden. Es gibt da nur Portweiterleitung Einstellungen. Übrigens kann man hier in den EInstellungen die IPv6 Adresse des Routers finden und sie kann ich problemlos auf https://centralops.net/co/Ping.aspx anpingen. Deswegen habe ich entschieden, die Portweiterleitung einzurichten. Es sieht so aus:

Auf dem Raspberry-Pi habe ich SSH auch auf 10622 Port umgestellt und lokal getestet, es funktioniert.

Jetzt versuche ich das so "ssh user@router_global_ipv6 -p 10622" aber leider wieder ohne Erfolg.

Warum klappt es bei mir nicht, den Raspberry-Pi direkt über seine globale IPv6 zu erreichen? Wenn das unmöglich ist, warum funktioniert die Portweiterleitung nicht oder mache ich etwas falsch?

Vielen Dank im Voraus!

VG, Vitaly

Betreff: SSH Verbindung über IPv6

reneromann — Fri, 25 May 2018 17:08:24 GMT

Hast du auch die "richtige" IPv6 genutzt?

Schau mal, ob die sich in regelmäßigen Abständen ändert - das wäre ein Anzeichen darauf, dass Linux die Privacy Extensions aktiviert hat und du eben jene Adresse der IPv6 Privacy Extensions benutzt (die dann aber der Router nicht aus der MAC bestimmen kann).

Schau mal da nach, da steht, wie du die Privacy Extensions ausschalten und auf die MAC-basierte IPv6 umstellen kannst (ansonsten gibt's wieder "Krach").

Betreff: SSH Verbindung über IPv6

Vitaly — Fri, 25 May 2018 19:03:23 GMT

Hi Reneromann,

danke für Deine Antwort. Das war ein interessanter Hinweis, das wusste ich bisher nicht. Tatsächlisch waren diese Privacy Extensions auf meinem Raspberry-Pi aktiviert. Ich habe sie deaktiviert. Die IPv6 haben jetzt am Ende ähnliche mit MAC Teile, aber trotzdem kann ich über SSH keine Verbindung weder direkt noch über Portweiterleitung erstellen.

Vielleicht kann die Info auch nützlich sein: ich habe in der /etc/dhcpcd.conf einige Einstellungen hinzugefügt, damit der Raspberry einen lokalen statischen IPv4 bekommt. Es sieht so aus:

interface eth0

static ip_address=192.168.0.100/24

static routers=192.168.0.1

static domain_name_servers=192.168.0.1

Vielleicht sollte man da etwas auch für IPv6 anpassen?

VG, Vitaly

Betreff: SSH Verbindung über IPv6

reneromann — Fri, 25 May 2018 22:47:22 GMT

Portweiterleitungen im Sinne von "Ich nehme die öffentliche IP des Routers und leite den Port X am Router auf das Gerät Y mit Port Z weiter" funktionieren bei IPv6 nicht mehr, da es kein NAT mehr gibt.

Du musst viel eher direkt die global gültige IPv6 des Raspberry benutzen!

Ob die Einstellung der statischen IPv4 ohne IPv6-Teil evtl. Probleme machen kann, kann ich dir nicht sagen - schau einfach mal auf dem Raspberry per ifconfig, ob der Raspberry überhaupt eine IPv6 hat...

Betreff: SSH Verbindung über IPv6

Vitaly — Sat, 26 May 2018 07:36:17 GMT

Meine Präferenz wäre natürlich auch, den Raspberry direkt über seine globale IPv6 zu errecihen. Das klappt aber irgendwie nicht. Der Raspberry bekommt bereits erfolgreich eine IPv6. Zum Testen habe ich den Eintrag in /etc/dhcpcd.conf für die statische IPv4 auskommentiert. Privacy Extensions habe ich wieder aktiviert (slaac private), weil das nicht mehr über Portweiterleitung des Routers funktionieren sollte und deswegen sollte es auch so passen.

Hier ist mein ifconfig:

Das Ergebnis ist aber leider immer noch gleich: ich kann keine IPv6 auf https://centralops.net/co/Ping.aspx anpingen. Da kriege ich jedes Mal ein TimedOut.

Betreff: SSH Verbindung über IPv6

reneromann — Sat, 26 May 2018 08:06:30 GMT

Der PING muss auch separat freigeschaltet werden, weil er standardmäßig (als Sicherheitsmaßnahme gegen Scans in dein Netz hinen) vom Router abgeblockt wird.

Weiterhin: Mit aktivierten Privacy Extensions ändert sich deine IPv6 in regelmäßigen Abständen - ganz böses Foul, wenn man von außen etwas freigeben möchte...

Und wie ich schon schrieb:

Portweiterleitungen gibt es bei IPv6 nicht mehr, weil es kein NAT mehr gibt. Du adressierst direkt die Ports auf dem Raspberry und musst in der Firewall des Routers nur den Traffic zu diesem Port erlauben.

Hast du denn schon mal versucht, im lokalen Netz per IPv6 auf den Raspberry zu kommen?

Klappt das wenigstens?

Betreff: SSH Verbindung über IPv6

thomasschaefer — Sat, 26 May 2018 09:33:46 GMT

Da Ping und TCP 22 wirklich komplett verschieden sind, probiere mal bitte den Portscanner:

http://www.ipv6scanner.com/

Betreff: SSH Verbindung über IPv6

Vitaly — Sat, 26 May 2018 09:40:56 GMT

Zu den Privacy Extensions: ich habe ein dynamic DNS für den Raspberry eingerichtet, deswegen war mein Plan eine SSH Verbindung über ein Domain zu erstellen. In diesem Fall sollte es dann kein Problem sein, wenn die IPv6 vom Raspberry sich ändert. Die IPv6 wird jede 5 Minuten überprüft und bei Bedarf aktualisiert, sodass ein Domain immer zu aktueller IPv6 leitet. Aber wie gesagt, ich habe versucht, die Privacy Extensions zu deaktivieren, aber es funktioniert immer noch nicht. Deswegen liegt das Problem vermutlich nicht daran.

Wo kann ich denn die Firewall-Einstellungen des Routers finden, um den Traffic zu dem SSH-Port vom Raspberry zu erlauben? In 192.168.0.1 finde ich keine solchen Einstellungen, also nur Portweiterleitung wie auf dem Screenshot oben. Das einzige, was ich dort noch gefunden habe, war die "UPnP Funktion" Checkbox. Zum Testen habe ich sie mal aktiviert und den Router neu gestartet. Leider immer noch keine Auswirkung.

Im lokalen Netz kann ich den Raspberry via seine globale IPv6 erreichen, das klappt problemlos.

Betreff: SSH Verbindung über IPv6

Vitaly — Sat, 26 May 2018 09:56:35 GMT

Ich habe die IPv6 vom Raspberry auf http://www.ipv6scanner.com/ geprüft.

Alle Ports werden als FILTERED markiert:

"FILTERED The port is blocked by firewall or other network obstacle"

Was ich einteressant fand: dort gabt es in der Liste keinen 10622 Port, auf den ich SSH auf dem Raspberry umgestellt habe. Auf der Webseite kann man eigene IPv6 sehen und ich habe die Ports für meinen Laptop geprüft.

Für den Laptop wurden die gleichen Ports wie beim Raspberry aufgelistet und alle waren auch FILTERED.

Kann das sein, dass das ganze Traffic zuerst über Router geht? Deswegen sieht man auf der Webseite immer die gleichen Ports für verschiedene Geräte und alle sind FILTERED.

Betreff: SSH Verbindung über IPv6

thomasschaefer — Sat, 26 May 2018 10:11:53 GMT

Du kannst aber bevor du scannst einen individuellen Port angeben, auch 10622.

Betreff: SSH Verbindung über IPv6

Vitaly — Sat, 26 May 2018 11:09:50 GMT

Für den 10622 Port zeigt es auch FILTERED.

Wo könnte ich dann diesen Port freigeben? In den Router EInstellungen sehe ich keine solche Möglichkeit.

Betreff: SSH Verbindung über IPv6

reneromann — Sun, 27 May 2018 09:09:57 GMT

Das Problem ist, dass mit den Privacy Extensions die vom Router auf Grundlage der eingegebenen MAC-Adresse berechnete IPv6 nicht mit der vom Raspberry verwendeten Adresse übereinstimmt.

Daher schaltet der Router dann den Port nicht frei - deshalb ja auch meine Bitte: Privacy Extensions abschalten!

Und beim Testen dann bitte unbedingt darauf achten, dass du die IPv6 des Raspberry verwendest!

Betreff: SSH Verbindung über IPv6

Vitaly — Sun, 27 May 2018 11:50:19 GMT

Ok, ich habe die Privacy Extensions auf dem Raspberry deaktiviert. Jetzt hat er die IPv6 Adressen, die am Ende mit seinem MAC ähnlich sind.

Ich prüfe auf http://www.ipv6scanner.com die globale IPv6 vom Raspberry und den 10622 Port, auf dem SSH aktiv ist. Das Ergebnis auf der Webseite ist leider immer noch FILTERED 😕

Betreff: SSH Verbindung über IPv6

reneromann — Sun, 27 May 2018 13:10:53 GMT

Hast du denn mal probiert, von einem anderen IPv6-fähigen Anschluss von außen per SSH auf den Port 10622 zuzugreifen?

Und auch auf die Gefahr hin:

Hast du mal mit "netstat -aln |grep 10622" geschaut, ob der Port auch wirklich auf dem Raspberry geöffnet ist?

Wenn ja, sollte da etwas wie

"tcp 0.0.0.0:10622 0.0.0.0:* LISTEN" -und-

"tcp6 :::10622 :::* LISTEN" stehen...

Weiterhin sollte natürlich auch die Firewall auf dem Raspberry, sofern aktiv, geprüft werden - nicht das die derzeit nur lokale Verbindungen zulässt und alles aus dem Internet abblockt...

Noch was:

Die globale IPv6 auf dem PI sollte nach Deaktivierung der Privacy Extensions in Etwa so aussehen:

=> MAC-Adresse: OP:QR:ST:UV:WX:YZ

=> letzte 64 Bit der IPv6: OP*QR:STff:feUV:WXYZ

(P* deshalb, weil diese Zahl durch ein binäres Austauschen des 3. Bits abgeändert wird).

Daher reicht es in der Routerfirewall auch, die MAC-Adresse anzugeben - weil aus dieser die letzten 64 Bit der IPv6 abgeleitet werden -und- die ersten 64 bit, also der Präfix, eh vom Router kommen.

Betreff: SSH Verbindung über IPv6

Vitaly — Mon, 28 May 2018 18:50:35 GMT

@reneromann danke nochmal für deine Unterstützung!

"netstat -aln |grep 10622" sieht bei mir so aus:

aus meiner Sicht sollte da alles passen, oder?

Nach der Deaktivierung der Privacy Extensions bekommt der Raspberry eine IPv6, die in zweiter Hälfte mit der MAC-Adresse sehr ähnlich ist. Deswegen würde ich davon ausgehen, dass das auch passt.

Ich habe aber heute noch eine Sache gefunden und zwar, dass ich außen meines Heimnetzes einen anderen IPv6-Subnetwork habe, als zuhause. Was ich gelesen habe, kann das Problem sein, wenn der Router zwischen unterschiedlichen Subnetzen keinen Weg findet. Stimmt das? Sorry, wenn das eine dumme Frage ist. Ich bin im Thema ganz neu und kenne mich nicht so gut aus.

Ich werde jetzt versuchen, außen meines Heimnetzes auch das gleiche Subnetz einzustellen.

Betreff: SSH Verbindung über IPv6

thomasschaefer — Mon, 28 May 2018 19:00:28 GMT

Hallo @Vitaly

Es tut mir zwar leid, dass wir Dein Problem noch nicht lösen konnten. Mache aber deswegen bitte keine unüberlegten Sachen. Netze oder IP-Adressen doppelt zu vergeben war unter IPv4 schlecht und ist es auch unter IPv6.

Natürlich hat "draußen" ein Gerät eine andere IPv6-Adresse als beispielsweise jedes Gerät in Deinem Netz.

Sie müssen verschieden sein, sonst könnten sie nicht miteinander kommunzieren.

Mit freundlichen Grüßen

Thomas Schäfer

Betreff: SSH Verbindung über IPv6

Vitaly — Tue, 29 May 2018 09:18:07 GMT

Kann das sein, dass Vodafone selbst etwas in eigenen EInstellungen (z.B. des Routers?) anpassen muss?

Sollte ich versuchen, mich an Vodafone-Support zu wenden?