Hey Bud,
war vorher auch schon so.
Kannst einfach deine Wunsch IP eintragen und anschließend das Netzwerk neu starten.
Server administrieren - wo fange ich an?
-
Bud -
30. April 2023 um 13:48 -
Erledigt
-
-
Ich bin ein wenig verwirrt. Ich bin gerade darüber einen neuen Server (inkl. IPv6) einzurichten, aber er hat bereits eine IPv6 vorkonfiguriert... Ist das neu unter Debian 13? Kann ich diese IPv6 problemlos verwenden oder ist sie für einen bestimmten Dienst in Benutzung?
Eingerichtete IPv4 und IPv6 ist normal und m.E. auch nicht erst seit Debian 13. Ich lasse die IPv6 zwar immer wie sie kommt, aber man darf die IPv6 auch ändern.
-
Kann ich diese IPv6 problemlos verwenden oder ist sie für einen bestimmten Dienst in Benutzung?
Was ist, wenn ich eine andere IPv6 möchte? Einfach abändern?
Du kannst die IPv6 problemlos ändern.
Bei mir (sowohl im Ubuntu als auch im Debian) wurden bisher immer automatisch zufällige, lange Adressen aus dem IPv6-Präfix vergeben.
Ich ändere sie meistens manuell auf eine kurze und merkfähige Endung, z. B. ::2 oder ::10 aus dem Präfix.
-
Ich bin ein wenig verwirrt. Ich bin gerade darüber einen neuen Server (inkl. IPv6) einzurichten, aber er hat bereits eine IPv6 vorkonfiguriert... Ist das neu unter Debian 13? Kann ich diese IPv6 problemlos verwenden oder ist sie für einen bestimmten Dienst in Benutzung?
Die vorkonfigurierte IPv6 Adresse (basierend auf der MAC Adresse) wird genau dann wichtig, wenn du ein zusätzliches IPv6 Subnet auf dem Server nutzen willst, da dieses auf genau diese eine vorkonfigurierte Adresse geroutet wird. In diesem Fall muss diese auf jeden Fall auf dem NIC anliegen. Natürlich sind auch noch beliebig viele andere Adressen aus dem Prefix möglich. Aber wenn du nur das beiliegende Prefix nutzen willst, ist es völlig egal, welche Adressen du daraus konfigurierst und nutzen willst.
-
Erstmal danke für die zahlreichen Antworten – offensichtlich hatte ich das falsch im Kopf...
Paul Heißt das, dass eine FailoverIPv6 nur auf diese eine vorkonfigurierte IPv6 zeigen würde?Korrekt. So kann man das deuten. Während eine IPv4 ja einfach auf deine bestehende IPv4 geroutet wird, hast du ja bei IPv6 keine einzelne IPv6 Failover Adresse, sondern ein ganzes /64 Prefix. Das aber zeigt trotzdem auf eine einzelne Adresse, in diesem Fall deine aus der MAC Adresse generierte (und vorkonfigurierte) IPv6 Adresse aus deinem schon bestehenden Prefix. Du hast natürlich weiterhin die Freiheit, das ganze /64 aus dem Failover IPv6 Prefix als auch aus dem mitgelieferten zu nutzen. Nur muss eben, damit das Failover IPv6 Subnet funktioniert, diese eine Adresse mindestens auch konfiguriert sein.
-
WIe ist das dann, wenn ich von Live-CD installiere?
Diese eine ipv6 ist ja nur im Image vorkonfiguriert. Wenn ich selbst installiere dann nicht, oder?
-
WIe ist das dann, wenn ich von Live-CD installiere?
Diese eine ipv6 ist ja nur im Image vorkonfiguriert. Wenn ich selbst installiere dann nicht, oder?
Ja. In diesem Fall musst du sie selbst konfigurieren, falls du ein zusätzliches IPv6 Subnet nutzen willst. Wenn du dieses im SCP zuweist, wird dir aber auch genau die Adresse angezeigt, auf die das geroutet wird. Daher siehst du die dort auch nochmal. Im Zweifel muss man einmal kurz ins Rettungssystem booten. Auch dort wird sie dir angezeigt.
-
Hm. So ganz klar ist mir das noch nicht.
Wenn ich von CD installiere kann ich doch meine ipv6 frei aus dem mir zu Verfügung gestellten Subnetz wählen, oder? Vorkonfiguriert ist da doch erstmal keine.
Und die setze ich ja erstmal nur auf dem Server und nicht im SCP. (Meine endet dann meist auf ::900d:babe
)Eine Failover-IP kann ja dann auf keine vorkonfigurierte ipv6 geroutet werden.
(Ich habe aber schon ewig nichts mehr von CD installiert, sondern nehme immer nur Images.Meine Erinnerung kann mich also trügen)
-
Hm. So ganz klar ist mir das noch nicht.
Hier mal ein Screenshot aus dem SCP, der das bildlich etwas besser beschreibt. Du kannst dort ja ein Failover IPv6 Subnet (oder auch ein zusätzliches) einem Server zuweisen (im Netzwerk Tab). Nachdem du das gemacht hast, sieht das dann so aus:
Das links ist ein IPv6 Failover Subnet, Das rechts ist die (vorkonfigurierte) IPv6 Adresse, auf die das Failover Prefix geroutet wird. Damit also das Failover Subnet überhaupt funktionieren kann, muss diese eine Adresse auf deinem Server konfiguriert sein. Entweder ist sie das bereits (wenn man z.B. einfach ein Netcup Image installiert hat) oder man muss das eben selbst manuell erledigen. Anliegen muss sie aber, damit das Routing auch am Ziel ankommt.
-
Vorkonfiguriert ist da doch erstmal keine.
such mal nach SLAAC
-
Und es geht wieder los
Habe gerade meinen WireGuard-Server unter Debian 13 neu aufgesetzt, bekomme einen Handshake hin, aber die Daten werden eindeutig nicht durch den Tunnel geroutet. checkip.org sagt ebenfalls nein. Hat jemand einen Tipp für mich warum?Code
Alles anzeigenbud@wireguard:~$ sudo wg show wg0 latest-handshakes xxxxabcdefghijklmnopqrstuvwxyz0123456789xxxx= 1764877191 bud@wireguard:~$ sudo wg show interface: wg0 public key: yyyyabcdefghijklmnopqrstuvwxyz0123456789yyyy= private key: (hidden) listening port: 51820 peer: xxxxabcdefghijklmnopqrstuvwxyz0123456789xxxx= endpoint: 1.1.1.1:63268 allowed ips: 10.0.1.21/32, fd10:10:10::21/128 latest handshake: 4 minutes, 7 seconds ago transfer: 1.54 KiB received, 460 B sent bud@wireguard:~$endpoint (1.1.1.1) in diesem Fall - laut checkip.org - nicht die IPv4 des Servers
Code: /etc/wireguard/wg0.conf
Alles anzeigen[Interface] Address = 10.0.1.1/24, fd10:10:10::1/64 ListenPort = 51820 PrivateKey = zzzzzzabcdefghijklmnopqrstuvwxyz0123456789zzzzzz= PostUp = ufw route allow in on wg0 out on eth0; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PreDown = ufw route delete allow in on wg0 out on eth0; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE SaveConfig = true # Bud | iPhone 15 Pro [Peer] PublicKey = xxxxabcdefghijklmnopqrstuvwxyz0123456789xxxx= AllowedIPs = 10.0.1.21/32, fd10:10:10::21/128Code: ufw
Alles anzeigenbud@wireguard:~$ sudo ufw status verbose Status: active Logging: on (low) Default: deny (incoming), allow (outgoing), deny (routed) New profiles: skip To Action From -- ------ ---- 22/tcp ALLOW IN Anywhere 51820/udp ALLOW IN Anywhere 51820/udp (v6) ALLOW IN Anywhere (v6) Anywhere on eth0 ALLOW FWD Anywhere on wg0 Anywhere on wg0 ALLOW FWD Anywhere on eth0 Anywhere (v6) on eth0 ALLOW FWD Anywhere (v6) on wg0 Anywhere (v6) on wg0 ALLOW FWD Anywhere (v6) on eth0 bud@wireguard:~$Code: /etc/sysctl.d/99-wireguard.confnet.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1Ich hoffe ich hab alles anonymisiert
-
Wireguard leitet nur zu den AllowedIPs weiter. Wenn du also alles durch WireGuard leiten willst, dann musst du das definieren.
CodeAllowedIPs = 0.0.0.0/0, ::/0Könntest natürlich auch die checkip IP dort eintragen zum testen
-
Du denkst daran, dass sich unter Debian13 das verhalten der sysctl.conf geändert hat
-
fvbor Ich steh auf dem Schlauch. AllowedIPs = 0.0.0.0/0, ::/0 defeniere ich in der .conf für den Client, richtig? In der wg0.conf setzte ich doch trotzdem die IP des Clients auf meinem Tunnelserver?
Hille Folgendes „ersetzt“ die sysctl.conf - oder habe ich das auch falsch gemacht?
Code: /etc/sysctl.d/99-wireguard.confnet.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1 -
Du denkst daran, dass sich unter Debian13 das verhalten der sysctl.conf geändert hat
bei /etc/sysctl.d/99-wireguard.conf ist er unter Debian13 schon richtig
-
in wg0 setzte du die IP des Servers.
Code: wg0
Alles anzeigen[Interface] Address = 10.8.0.1/24,fd08:8:8:8::1/64 ListenPort = 51820 PrivateKey = xxx PostUp = ufw route allow in on wg0 out on eth0; iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -I POSTROUTING -o eth0 -j MASQUERADE PreDown = ufw route delete allow in on wg0 out on eth0; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE PostDown = [Peer] PublicKey = xxx PresharedKey = xxx AllowedIPs = 10.8.0.2/32,fd08:8:8:8::2/128 PersistentKeepalive = 25in dem Client setzte du die Allow Ip auf 0.0.0.0, wenn du möchstest, dass der gesamte Traffic durch den Wireguard geht.
Code: Client Config[Interface] Address = 10.8.0.2/32,fd08:8:8:8::2/128 PrivateKey = xxxx [Peer] PublicKey = xxxx PresharedKey = xxxx AllowedIPs = 0.0.0.0/0,::/0 Endpoint = xx.xx.xx.xx:51820 PersistentKeepalive = 25 -
Wireguard ist einfacher zu verstehen, wenn man sich daran erinnert, warum da von Peers die Rede ist: Es gibt keinen "Server", nur "ich" und "die andere Seite". Der [interface] Abschnitt ist man selbst, und der [peer] Abschnitt ist die andere Seite. Nur von letzterem kann es auch mehrere geben.
Die eigene Adresse legt man selbst fest. In dem Abschnitt für die andere Seite legt man fest, welche Adressen die andere Seite im Tunnel als Absenderadressen verwenden darf. Das ist eine rein lokale Einstellung und wird der anderen Seite nicht mitgeteilt. Es gibt keine Zuteilung vom Server für den Client oder sowas. Alle sind gleichberechtigte Peers. Wenn man es nicht abschaltet, werden für diese Adressen auch Routen angelegt, so dass Pakete an diese Adressen zum Wireguard-Device geroutet werden. Wireguard schickt Pakete, die in das Wireguard Device geschickt werden, durch den Tunnel zu dem Peer, der die Zieladresse verwenden darf. Deshalb dürfen die AllowedIPs verschiedener Peers nicht überlappend angegeben werden.
-
Code: /etc/wireguard/wg0.conf
Alles anzeigen[Interface] Address = 10.0.1.1/24, fd10:10:10::1/64 ListenPort = 51820 PrivateKey = zzzzzzabcdefghijklmnopqrstuvwxyz0123456789zzzzzz= PostUp = ufw route allow in on wg0 out on eth0; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PreDown = ufw route delete allow in on wg0 out on eth0; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE SaveConfig = true # Bud | iPhone 15 Pro [Peer] PublicKey = xxxxabcdefghijklmnopqrstuvwxyz0123456789xxxx= AllowedIPs = 10.0.1.21/32, fd10:10:10::21/128Code: smartphone.conf[Interface] PrivateKey = prvkey= Address = 10.0.1.1/24, fd10:10:10::1/64 DNS = 91.99.154.175, 2a01:4f8:c010:8c35::175 [Peer] PublicKey = pubkey= Endpoint = 12.34.56.78:51820 AllowedIPs = 0.0.0.0/0, ::0/0 PersistentKeepalive = 25Ja gut, dann habe ich das aber so wie von euch beschrieben. Hatte nur die conf für den Peer nicht geposted.
-
Code: smartphone.conf
[Interface] PrivateKey = prvkey= Address = 10.0.1.1/24, fd10:10:10::1/64 DNS = 91.99.154.175, 2a01:4f8:c010:8c35::175 [Peer] PublicKey = pubkey= Endpoint = 12.34.56.78:51820 AllowedIPs = 0.0.0.0/0, ::0/0 PersistentKeepalive = 25Ja gut, dann habe ich das aber so wie von euch beschrieben. Hatte nur die conf für den Peer nicht geposted.
Du hast hier aber beiden Peers die selbe IP-Adresse gegeben.
