ACL, Port Forwarding oder doch Public IP?

Hallo zusammen,

bin beim Testen von eos auf ein Hindernis zum Thema IPv6 gestoßen, dass sich mir nicht so ganz erschließt.

Aufbau:

• 1 VM (Debian)
  • VM Beispiel IPs: 192.168.178.42, fda9:0ba9:3538::2
• 1 Netzwerk (Default Netzwerk)
  • 2 Public IPs (Die die zu Beginn automatisch generiert werden)
    • 156.156.156.156
    • 2001:db8::2
  • 1 ACL
    • 1 Regel (Allow ANY Procotol, From ANY Source IP, From ANY Source Port, To ANY Destination IP, To ANY Destination Port)
• DNS Einstellungen für acme.example.com
  • A -> 156.156.156.156
  • B -> 2001:db8::2

Kommen wir zum Problem:

Ich habe eine Port-Forward Regel für mein Default Netzwerk definiert, besagte Regel horcht auf 156.156.156.156, der Public IPv4 Adresse des Default Netzwerks, und leitet den Traffic weiter an 192.168.178.42, die interne IPv4 Adresse meiner VM.
Gehe ich auf https://acme.example.com funktioniert der Zugang ohne Probleme, ich sehe die dort gehostete Website.

Jetzt ändere ich die Port-Forward Regel für mein Default Netzwerk jedoch zu IPv6. Also besagte Regel horcht auf 2001:db8::2, der Public IPv6 Adresse des Default Netzwerks, um diesen an fda9:0ba9:3538::2, die Unique Local Adresses meiner VM weiterzuleiten.

-> Zugang funktioniert nicht mehr - Connection Timeout

Das gilt für jede Verbindung. Selbst wenn ich auf der Debian VM einen netcat listener aufmache, kann ich mich nicht damit verbinden.

Die Port-Forward Regel hat ANY/ANY bei Source/Destination Ports, daran kann es nicht liegen.

Übersehe ich da irgendwas oder ist das ein Bug?

Zitat von terence

Port-Forwarding funktioniert hier mit einem gerade erstelltem Netzwerk und einer frischen Debian-VM für IPv4 und IPv6.

Da es mit IPv4 bei Dir geht und Du anscheinend die bestehende Regel änderst, ist die Zuordnung von ACL zum Netzwerk ja gegeben, richtig?

Funktioniert denn IPv6 grundsätzlich auf Deiner VM? Bekommst Du von der VM aus auf z. B. ping6 netcup.de eine Antwort?
Hast Du auf der VM eine lokale Firewall, die IPv6 blockieren könnte?

Antwortet die öffentliche IPv6-Adresse des Netzwerks auf ping von Außen?
Neulich gab es Probleme mit der IPv6-Konnektivität, die aber behoben sein sollten. Wann wurde das Netzwerk erstellt?

Erstmal danke für die Antwort!
Also: Zuordnung von ACL zu Netzwerk ist gegeben.

IPv6 funktioniert grundsätzlich. Ich kann mit curl -6 example.com eine Website über IPv6 ansprechen und ping6 netcup.de funktioniert auch ohne weiteres.
Es ist keine lokale Firewall installiert, einfach das Base Debian Image ohne weitere Anpassungen.

Die öffentliche IPv6 Adresse des Netzwerks antwortet auf Ping von Außen.
Das Netzwerk wurde direkt zu Release von eos erstellt, circa 1-2 Tage nach dem ersten Post im Forum, denkst du daran könnte es liegen? Vielleicht mach ich einfach nochmal ein neues Netzwerk auf.

Zitat von [netcup eos] Thorsten L.

Hallo und vielen Dank für eure Geduld!

Wir haben uns dein Issue noch einmal genauer angesehen. Leider konnten wir das beschriebene Verhalten weder reproduzieren noch andere Auffälligkeiten feststellen.

Da du die Umstellung von IPv4 auf IPv6 vornimmst, sollte zudem sichergestellt werden, dass dein Service entsprechend auch auf IPv6-Verbindungen lauscht.

Auf einem Linux-System kannst du dies beispielsweise mit folgendem Befehl überprüfen:

Code

ss -lntp6

Damit werden die TCP-Listener angezeigt, die auf IPv6-Verbindungen lauschen. Alternativ kannst du mit

Code

ss -lntp | grep ':::'

gezielt nach Services suchen, die auf IPv6-Adressen bzw. allen IPv6-Interfaces lauschen.

Wichtig ist dabei, dass dein Service nicht ausschließlich an eine IPv4-Adresse (z. B. 0.0.0.0) gebunden ist, sondern auch auf einer IPv6-Adresse bzw. auf :: lauscht.

Bitte um kurze Rückmeldung ob das Problem auf Service-Level war.

Viele Grüße
Thorsten

Alles anzeigen

Uff das wäre jetzt wirklich peinlich...

Ich werde das heute Abend nochmal gegen prüfen und dann Bescheid geben!

Case closed, schlichtweg ein Fehler von meiner Seite.

Ich hatte mit netcat getestet, ob die Verbindung über IPv6 mit Port Forwarding funktioniert, dabei aber ganz vergessen, dass netcat das -6 Flag braucht, um auf IPv6 zu horchen.

Sorry für die Aufwände!