Posts by p_s

Vielen Vielen Dank an Euch alle! Vor allem an H6G und perryflynn!

Danke Paul, im NGINX Docker hatte ich den "listen [::]" schon gesetzt.

Es lag wirklich an den ip6tables:

-A FORWARD -s 2a01:4f8:xx:xx::/64 -o eth0 -j ACCEPT
-A FORWARD -d 2a01:4f8:xx:xx:4::/80 -j ACCEPT

Das sind die hilfreichen Zeilen gewesen. Denn Docker legt nur iptables an, aber keine ip6tables. Daher musste ich diese separat setzen.

Die Umsetzung mit NDP läuft bei mir gut. Leider ist es jedoch so, dass immer die ersten PING-Pakete nicht durchkommen. Der NDP-Proxy braucht irgendwie immer eine Weile, es fehlen immer so 2-4 Pakete am Start, wenn lange keine Verbindung zum Server bestand.

Meine ndppd.conf:

proxy eth0 {
    rule 2001:db8:a::/80 {
        auto
    }
}

Ich binde mit "auto" nicht direkt an ein Interface, er soll selbst in der Routing-Tabelle schauen, wer zuständig (ROUTER SOLICITATIONS) ist.
Kann meine "Wartezeit" genau damit zusammenhängen?

Ernstgemeinte Frage, denn normalerweise, so habe ich es verstanden, ruft der NDPProxy regelmäßig raus und fragt, welche Router verfügbar sind und meldet sein Netz an, dass er eben für "2001:db8:a::/80" zuständig ist. Der Router packt das Netz in seine Routing-Tabelle. Ruft einer bei "2001:db8:a::1" an, so weiß der Router wo er hinsenden muss. Hat er nichts in der Routing-Tabelle stehen, fragt er im Netz nach, ob sich jemand dafür zuständig fühlt und wartet auf Antwort. Ist das soweit korrekt? Vor allem der letzte Satz?

Genau dieser Vorgang ruft dann eben meine 2-4 ICMPv6-Paketloss hervor. Korrekt soweit?
Wenn ja, wie kann ich das, außer ab und an mal manuell ping6 zu benutzen, verbessern?

Note: Dadurch habe ich eben oft das Problem, dass der Browser einen "Fallback" zu IPv4 vornimmt.

Sooo, habe nun in /etc/default/docker einfach die Startoption mit --ipv6 versehen und mein docker-compose.yml aufgebaut.

Nun hat NGINX auch eine IPv6 kann angepingt werden und auch vom NGINX-Container aus kann ich rauspingen mit "ping6 google.com".

Lediglich auf port 80 und 443 antwortet NGINX nicht und auch aus dem Container komme ich mit curl auf keine Webseite. Ich denke, dass liegt noch an den ip6tables, welche hier blocken. Ich nutze ufw, habe es schon mit:

ufw allow to 2001:db8:a:42:ac11:2 port 80

versucht, brachte aber nichts. Was muss ich konfigurieren, sodass ausschließlich Port 80 und Port 443 offen sind?

Geht das überhaupt mit ufw?

Okay, H6G, ich habe das mal so ausprobiert. Dabei stoße ich auf das Problem, dass ich das Default-Gateway leider so nicht anlegen kann, da dockerd immer gleich sagt, dass "2001:db8:a::1" schon benutzt wird. Schaue ich mit "ip -6 addr show" nach, hat die IP-Adresse noch niemand. Also löschte ausschließlich in der daemon.json mal das IPv6 Gateway raus und der dockerd startet und weißt docker0 direkt die "2001:db8:a::1" zu. Dann lud ich via

docker run -itd -p 80:80 nginx

Daraufhin erhält der Container auch eine IP aus dem "2001:db8:a::/80" nämlich die "2001:db8:a:42:ac11:2" und ist pingbar! Das ist super, aber dennoch komme ich nicht via "curl [2001:db8:a:42:ac11:2] 80" oder Firefox auf die Webseite. In ufw habe ich aber Port 80(v6) auf ALLOW gestellt.

Was fehlt mir noch? ip6tables sollten ja durch ufw übernommen und komplett konfiguriert sein.

Btw.:

Wenn ich mit docker-compose arbeiten will, dann habe ich das Problem, dass docker das Netz "2001:db8:a::/80" der "Docker Standard Bridge" zuweist und ich daher via docker-compose immer den Fehler erhalte, dass das Netz ja schon benutzt werde. Eine Verwendung von docker-compose.yml mit 'network external "bridge"' brachte keinen Erfolg. Mein normaler NGINX-Container war dann nicht mehr erreichbar, erhielt irgendwie keinerlei Adresse.

Wie kann ich das "2001:db8:a::/80" Netz verwenden? Soll ich in /etc/default/docker einfach als Startoption "--ipv6" mitgeben und dann via docker-compose mein derzeit einziges IPv6 Netzwerk definieren?

Ich stehe hier noch echt auf dem Schlauch. Ich habe nämlich alles super einfach in einem docker-compose laufen und möchte auch alles darüber verwalten.

Danke für Eure Hilfe!

Oh, danke Dir H6G, habe ich erst jetzt gelesen, war noch am Tippen meines Posts. Probiere ich so aus, dann weiß ich, dass ich NDP Proxy benötige.

Hallo perryflynn,

danke Dir für deine Antwort.

Mit IPv4 Gateway meine ich, das docker IPv4 Gateway, welches meist 172.20.X.X bei mir ist. Das stammt von der Netzwerkschnittstelle docker0.

Okay, also muss ich den NGINX-Container direkt mit einer IPv6 versorgen.

Werde mal diese Anleitung versuchen. Es gab hier im NetCup Forum schon eine Diskussion, ob man einen NDP Proxy benötigt oder nicht.

Ich habe ausschließlich eine IPv6/64 erhalten. Wenn ich das gesamte Netz an die eth0 Netzwerkschnittstelle "hänge" und dann in der daemon.json eine IPV6/80 angebe, dann sollte das doch direkt funktionieren und direkt pingbar sein. Frage stammt daher, weil sich einer extra ein zusätzliches IPv6 Netz kaufte.

Aufbau:

2001:db8::/64 an eth0 // primäre Netzerkschnittstelle

| |

2001:db8:a::/80 an docker0 // automatisch via daemon.json

| |

ip -6 route add 2001:db8:a::/80 dev docker0

| |

via sysctl IPv6 FORWARD aktivieren

| |

fertig --> iptables konfiguriert docker selbst beim dockerd Start.

daemon.json

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8:a::/80"
}

Dann via docker-compose:

networks:
        front:
                driver: bridge
                driver_opts:
                        enable_ipv6: "true"

                ipam:
                        driver: default
                        config:
                                - subnet: 172.20.0.0/24
                                - subnet: "2001:db8:a::/80"
                                  gateway: "2001:db8:a::1"

Ich gehe mal davon aus, dass der Container sich dann doch noch via NDP Proxy bekannt machen muss, dass er eben an docker0 hängt und dort verfügbar ist!? Oder muss er das nicht, weil IPv6 FORWARD aktiv ist und das IPv6/80 direkt an docker0 hängt und daher via "ip -6 route add ***" direkt an ihn weitergeleitet wird!?

Hallo liebe Leute,

ich habe ein Problem mit Docker IPv6 Nginx.

Aufbau (alles im Container):

1x NGINX Webserver

1x MariaDB Server

1x PHP-FPM

1x memcached

1x robbertkl/ipv6nat

Ziel:

Im access.log im Nginx Container die $Remote_IP zu sehen, welche die Webseite anfragt.

Produkt:

1x Netcup Root-Server G8

Stand der Dinge:

Container NGINX ist via IPv6 NAT erreichbar. Ich kann meine Webseite aufrufen. Aus dem Container heraus kann ich auch "ping6 google.com" ausführen und auch mit "curl [IPv6] 80" Webseiten via IPv6 erreichen.

Nur, surfe ich via IPv6 only mit meinem Desktop-Rechner auf meine Webseite, so sehe ich nur mein IPv4 Gateway in den NGINX Containerlogs.

Was muss ich unternehmen um in NGINX im access.log die $Remote_IP sehen zu können?

Besten Dank schon im Voraus für Eure Hilfe

p_s