SSL Fehler NUR über Mobilfunk (ipv6 Problem?)

[mooz]

Hallo zusammen,

nach mehrern Wochen der Suche und restetten meines Endgerätes bin ich schlussendlich auf diesen Thread hier gestoßen.

https://forum.vodafone.de/t5/CallYa/SSL-Webseite-funktioniert-mit-jedem-OS-Browser-Ger%C3%A4te-Provi...

SSL-Webseite funktioniert mit jedem OS / Browser / Geräte / Provider außer mit meinen mobilen Daten

Dort wird quasi genau mein Fehler beschrieben, leider weiß ich bei iOS nicht wie ich auf  IPv4 Only umschalten könnte.

Der Vollständigkeit halber:

* Habe eine selbstgehostete Heimautomatisierung deren DNS bei Duckdns geupdatet

* SSL Zertifikat von Let's Encrypt

* Vodafone Kabel Internet mit Dualstack

* Zugriff funktioniert mit jedem Browser / Endgerät / Provider außer im 4G Netz von VF 

Wenn man weiß nach was man sucht, dann findet man dazu verschiedene Einträge, teils mit Lösung teils ohne Kommentar.

Die Problemstellung liegt wohl im IPv6 Routing und der Umstellung auf IPv4.,

Vielen Dank schonmal für eure Hilfe!

[thomasschaefer]

Du hast aber schon die Lösung in dem von dir verlinkten Problem gelesen? Dort war nicht der Client die Ursache sondern der kaputte Server!

Der übrigens immer noch kaputt ist, wie ein einfacher Test von ssllabs zeigt. Hast du deinen Server mal via IPv6 geprüft?

Neben ssllabs können das auch andere Testserver.

[mooz]

Klasse,

danke für den Impuls, aber "der kaputte Server" ist nicht über ipv6 erreichbar.

ja scheint ja wirklich so, das es am ipv6 liegt.

Mal angenommen, wenn ich einen Server nur über die offizielle  ipv4 erreichen könnte (weil der zB keine ipv6 Adresse hätte) dann sollte das doch über 4G mit Vodafone auch funktionieren? Oder nicht? 
 Das fühlt sich wie ein DSLlte vs  Dualstack nur am anderen Endpunkt an.

Der Host hängt bei mir hinter der FRITZ!Box und alle anderen Anbieter / Netze können die Verbindungen sauber terminieren.

Vielleicht zum klarstellen, weder muss noch möchte ich den Host per IPv6 ansprechen.

[thomasschaefer]

Du hast dich aber auf ein Beispiel bezogen, wo das der Fall war. ( Der Server kündigt dort via DNS IPv6 Erreichbarkeit an, hat sie aber nicht.)

Wenn du nur einen Server mit ipv4 betreibst und im DNS auch nur einen A-record (mit der IPv4 Adresse) anlegst, dann ist der von überall erreichbar, egal ob der Client hinter Dualstack, DS-lite oder NAT64 hängt, solange du dafür eine öffentliche IPv4 Adresse zur Verfügung hast. IPv6 stünde zwar clientseitig zur Verfügung, aber ob es genutzt wird, entscheidest du am Server bzw. dessen DNS-Eintrag. Wenn DNS und tatsächliche Anbindung im Widerspruch sind, treten solche Situationen wie in dem von dir verlinkten Fall ein.

So wie du deinen Fall jetzt konkretisiert, hat er nichts mit dem zitierten Problem gemeinsam.

Hast du eine öffentliche IPv4 Adresse?

[mooz · Accepted solution]

Hi,

danke für die Hilfe! 

Der entscheidende Hinweis war "Der Server kündigt dort via DNS IPv6 Erreichbarkeit an, hat sie aber nicht."

Bei Duckdns wurden sowohl die IPv4 und IPv6 Adressen hinterlegt vom Host (homeassistant mit duckdns plugin),  IPv4 war ereichbar, IPv6 eben nicht.

Im Gegensatz zu allen anderen wird wohl bei VF dann auch *nur* die IPv6 Adresse genutzt.

Habe dann das Announcement über IPv6 einfach deaktiviert und dann gehts auch mit VF.

Falls hier einer mit ähnlichem Problem vorbei kommt:

1) Duckdns kann aktuell keine IPv6 autodetection

Q: why can't you detect IPv6 addresses?

A: our service is hosted in AWS, they do not support IPv6 on Elastic Load Balancers for the account type we have (VPC), when amazon do support it, we will start detecting it.

2) Homeassistant Duckdns Plugin Configuration muss eine leere IPv6 übergeben werden

ipv6: ' '

[thomasschaefer]

Es freut mich, dass es zumindest funktioniert.

Die Idee mit der Umstellung zu IPv6 ist allerdings, dass man Server für eine (gewisse) Zeit im Dualstackmodus betreibt (also IPv4 mit A und IPv6 mit AAA-Record) und dass Clients, wenn vorhanden, IPv6 bevorzugen.

Wenn das serverseitig mit IPv6 nicht klappt, kann man natürlich die Ursachen suchen (z.B. Firewall, Konfiguration des Dienstes) oder eben IPv6 weglassen.

Letzteres ist zwar nicht im Sinne des Fortschritts aber zum gegenwärtigen Zeitpunkt noch eine funktionierende Alternative.