VPN von iPhone über USG in ein Subnetz

[Peter7714]

Ich suche eine Lösung, um von meinen Smartphone, ohne Fritz VPN, eine VPN verbindung in ein Subnetz aufzubauen.

Mein Netzwerk ist mit einem USG und Switches der Firma UNIFI aufgebaut.

Smartphon --> WEB --> KabelVodafon -->Kabelbox 6490 ---> Unifi USG ----> Unifi Switches ----> Endgeräte

Von der Fritzbox soll nur die Telefonfunktion genutzt werden.

Es geht darum, die Daten von Messgeräten abzufragen und eine Verbindung zu eigenen Kameras auzubauen.

Der Anschluss ist Privat und deshalb keine eigene IPv4 nach außen möglich.  Aufgrung der DSLite Übertragung hilft auch kein DYNDNS Server.

An der Hotline von Vodafon, mit der neuen KI als Gesprächspartner, die eher als Firewall wirkt, habe ich schon Stunden verbracht, ohne einen Ansprechpartner länger als für 5 Sekunden zu bekommen. Kaum hatte ich das Problem angesprochen, war plötzlich die Leitung tot. Die tolle Whatsapp Lösung von Vodafon steckt noch in den Kinderschuhen, Reaktionszeit 8 Std. da kommt keine Kommikation zustande.

Ich bitte um Unterstützung.

[Monkie]

Hallo,

ich hatte ein ähnliches Problem, allerding mit Vodafone DSL (also kein DSLite!). Bezüglich DSLite habe ich gelesen, dass man dies in einer eigenen(!) Fitzbox wohl ausschalten kann, kann dies aber mangels Kabel Anschluss nicht bestätigen.

Am wichtigsten ist, dass man die Fritzbox von außen erreichen kann (egal wie 😉

Ist im USG denn bereits ein VPN eingerichtet?

Um das VPN vom USG überhaupt in einer solchen Konstellation nutzen zu können, muss in der Fritzbox eine Weiterleitung an das USG eingerichtet werden. Z.B. mit exposed hosts. (Internet -> Freigaben -> Hinzufügen -> Exposed Host)

Ob Die Fritzbox das auch bei DSLite kann, kann ich leider nicht sagen.

Das VPN der Fritzbox muss auch ausgeschaltet sein.

Eine andere möglichkeit ist natürlich ganz auf IPv6 zu gehen und dem USG eine IPv6 geben, die direkt aus dem WAN erreichbar ist.. wobei ich hier gerade nicht weiß inwieweit dass funktioniert (Kann ich nicht testen, da ja Vodafone DSL wohl noch lange nicht IPv6 tauglich sein wird).

Das ganze Vorhaben ist recht aufwendig und durch den IP wechsel nicht ganz so Kompfortabel.

Im Endeffekt habe ich es etwas anders gelöst.

Ich Verbinde den USG mit einem VPN auf meinem Server, wodurch die IP wechsel keine Rolle spielen.

Dort kann ich mich dann ebenfalls Verbinden und ich kann auf alles freigegebene in meinem Heimnetz zugreifen.

Ist sowas vielleicht für dich eine Möglichkeit?

Und mit der tollen Hotline KI habe ich mich auch schon "rumschlagen" müssen... kann deine Erfahrungen leider nur bestätigen.

Viele Grüße

Guido

[dasdensch]

Long story short: MAch dein Netz v6 fähig oder du wirst es nicht wirklich schaffen.
IPv4 gibts aktuell ausschließlich bei Business Anschlüssen mit fester IP. DSlite wird nicht abgestellt bei Privatkunden.

[Peter7714]

Das Problem bei DS Light ist, soweit ich es verstehe, dass eine IPv4 von mehreren Nutzern verwendet wird. Dies bedeutet, dass von außen nicht bekannt ist, an wen die Anfrage geht. Von innen nach außen ist es kein Problem, der Vodafon Server kennt das Packet kennt und weiß dann wohin er die Antwort schicken soll.

[Peter7714]

Auch bei IPv6 dürfte es nicht so einfach sein. Ich kenne bisher keinen, der das Problem angepackt und gelöst hat. Ich hätte nichts dagegen IPv6 zu verwenden. Die Frage stellt sich dann, habe ich eine privat IPv6 die sich aus Datenschutzgründen ändert oder ist meine IPv6 immer gleich. Ich habe das Internet nach einer Lösung abgegrast, leider bisher keine Lösung für Normalsterbliche private Anwender gefunden. Ich verstehe nicht, dass sich ein großes Unternehmen wie Vodafon von Fritz VPN abhängig macht, anstelle offen für Lösungen der Zukunft zu sein und die Home Automatisation auf eine breite Basis stellt. Eigentlich müsste es Stand der Technik sein, eine beliebigen VPN Verbindung in sein Netzwerk aufzubauen.

[Monkie]

Bei DSLite werden keine IPv4 Adressen von mehreren Nutzern genutzt, sondern die Nutzer bekommen eine IPv6 und wenn eine Anfrage an eine reine IPv4 kommt wird diese dann durch ein Gateway in die IPv6 übersetzt.

Also dein Router bekommt eine IPv6. Da aber nicht alle Webseiten/etc nicht IPv6 fähig sind wird das Gateway zwingend benötigt.

Ob alle Geräte in deinem Heimnetz IPv6 fähig sind weiß ich natürlich nicht. Wenn nicht wird die Umstellung auf IPv6 auch sehr komplex...

Soweit ich weiß bekommt man immer bei Vodafone Kabel einen IPv6 Präfix zugeteilt (wie oft sich der ändert weiß ich nicht, aber statisch wird der wahrscheinlich nicht sein). Der Postfix ist dann für die im Heimnetz angemeldeten Geräte. Dieser wird dann vom DHCP-Server vergeben.

Die einfachste Möglichkeit so ein Vorhaben umzusetzen wird dann wohl die externe VPN Variante sein. Hier bekommt man ja auch günstig Server mit IPv4 und IPv6 Adressen.

Aber ganz davon abgesehen, der USG kann an den WAN Ports meines Wissens noch gar kein IPv6?

Wenn ich irgendwo falsch liegen sollte Korrigiert mich bitte 😉

Nachtrag: IPv6 wird vom USG an den WAN Ports Ünterstützt.

Nachtag2: Test Vorschlag

Eventuell ist es Möglich, wenn du am USG WAN IPv6 einstellst und dort vom Fritzbox DHCP Server eine IPv6 Adresse geben lässt. Somit hat dann der USG eine IPv6, die aus dem WAN erreicht werden sollte.

Damit kannst du dann den VPN Tunnel direkt zum USG Aufbauen.

Eventuell funktioniert eine solche konstellation. Testen kann ich das leider nicht.

[Peter7714]

Ich bitte um Entschuldigung, ich habe mich vermutlich falsch ausgedrückt. Jeder hat innerhalb von Vodafon selbstverständlich eine eindeutige IPv4 Adresse, nur im großen Internet nicht, da müssen sich die Anwender Adressen teilen. Wenn dem nicht so wäre, könnte ja jeder seine eigen IPv4 haben. Leider ist nicht jeder Anwender in der Lage, aufgrund seiner Ausbildung, zu forschen ob eventuell oder vielleicht etwas möglich ist, wenn er eine, ich will mal sagen, Anwendung entsprechend dem Stand der Technik, die seit einigen Jahrzehnten genutzt wird, nutzen möchte. Vodafone mit hunderten von Spezialisten sollte doch in der Lage sein, eine umzusetzende Lösung anzubieten, die AVM und andere Anbieter von Hardware berücksichtigt. Ich nähere mich dem 70zigsten Lebensjahrzehnt und hatte die Hoffnung noch in diesem Leben eine Lösung ohne Informatikstudium zu finden, die es ermöglicht einfach meine Adresse aus dem Internet anzusprechen, um mit meinen Geräten Kontakt aufzunehmen. Bei meiner Wohnadresse ist das doch auch kein Problem, da kommt doch auch keiner auf die Idee ständig die Stadt, Straße und Hausnummer zu ändern, damit mich keiner findet. Wenn ich nach außen gehe kann meine Adresse natürlich ändern (Postfach), wenn ich weiß, welche Adresse ich verwendet habe, damit die Antwort richtig ankommt. Selbstverständlich möchte ich niemand verärgern und bin ich dankbar für die Diskussionsbeiträge, die mich weiterbringen können. Dennoch scheint dieses Thema bei den Providern keinen Stellenwert zu besitzen. Ich würde mich freuen, wenn in der Diskussion die Funktionalität der Fritz Box in dieser Beziehung verständlich wird und Wege gefunden werden, die vielen Anwendern das Leben erleichtern. 

[Monkie]

Da gab es wohl beiderseits missverständnisse 😉

Ja das siehst du richtig, die IPv4 Adressn müssen nach außen hin geteilt werden, sonst wäre richtigerweise ja auch DSLite nicht notwendig.

An einer Lösung des Problems bin ich auch sehr Interessiert, auch wenn ich es selbst nicht habe "mangels" DSLite.

Um alle Geräte, bzw die die man von außen haben möchte, aus dem WAN ansprechen zu können, wird es wohl leider wirklich etwas komplexer. Zumindest mit DSLite, bzw IPv6.

Auch wenn eine der eigentlichen Intensionen von IPv6 die ist, eine solche Infrastuktur Problemlos einzurichten, so ist es in der heutigen Infrastrkutur der ISPs nicht möglich.

Es müssten alle ISPs eigentlich auch IPv6 liefern, was aktuell nicht der fall ist, siehe Mobilfunk Vodafone[1][2].

Somit kann man dannn natürlich eine reine IPv6 basierte Lösung vergessen, man kann sich ja nicht verbinden.

Nitchts desto trotz sollte es meiner Meinung nach gehen, wenn man den WAN Port vom USG auf IPv6 stellt. Hier ist dann natürlich vorrausgesetzt, dass die Fritzbox von außen über IPv6 erreichbar ist und deren VPN deaktiviert ist.

Das USG ist mit OpenVPN 2.3.2 und IPv6 im letzen beta release ausgestattet. Somit sollte das VPN auch mit IPv6 funktionieren. Es muss allerdings auch der VPN Client IPv6 Unterstützen. Meines wissens haben viele damit leider Probleme.

[1] https://forum.vodafone.de/t5/Mobilfunk/Einf%C3%BChrung-von-IPv6-im-Vodafone-Mobilfunknetz/td-p/17438...

[2] https://mobile.twitter.com/H_Ametsreiter/status/1135528427291906049

[thomasschaefer]

Du musst ein VPN wählen, welches als Transport ipv6 unterstützt. Leider kenne ich da die Möglichkeiten von usg nicht. Zur Adressierung brauchst du nach vor dyndns, nur eben für ipv6. Da du eine Fritzbox als Router verwendest, spricht aus meiner Sicht nichts dagegen dafür myfritz zu nutzen. Die Fritzbox erlaubt es auch problemlos die Firewall für die usg entweder selektiv oder komplett freizugeben.

[thomasschaefer]

Da hast du aber das Netz schlecht abgegrast. Allein ich habe zwei VPN-Beispiele ins Netz gestellt, die mit ds-lite funktionieren.
Anmerkung noch zu meiner vorherigen Antwort:
Das iPhone braucht natürlich auch eine ipv6-Adressse. Derzeit ist das nur im Netz der Telekom zu bekommen.