Vielleicht ein IPv4/IPv6 Problem.
Beiträge von frank_m
-
-
Naja, was du tun musst, steht da ja. Das Interface bei Netcup ist ja intuitiv bedienbar. Wenn nicht, sind die relevanten Passagen im Wiki beschrieben.
-
Es ist natürlich unglaublich clever, uns nach der Korrektheit der Einstellungen zu fragen, und dann die relevanten Bereiche zu schwärzen, aber die sensiblen Bereiche stehen zu lassen. Wie stellst du dir das vor? Gedankenübertragung? DNS Einträge sind dafür da, abgerufen zu werden, das nur am Rande.
Ob der A Eintrag korrekt ist, kann man nicht erkennen, und der www Eintrag fehlt komplett. Da kannst du zumindest schon mal dran gehen.
-
Die Einstellungen sehen auf den ersten Blick gut aus. Jetzt müsstest du halt erst mal prüfen, ob sich auch alles so eingestellt, wie du es erwartest.
Konkret heißt das:
- ist die Zieladresse für das Subnetz aus deinem mitgelieferten aus dem CCP auch auf eth0 eingestellt?
- kommen die Pakete aus dem neuen Subnetz beim Server an (bzw. wie weit kommen sie?) Tests mit traceroute und tcpdump wären sinnvoll.
- ist die Adresse auf dem Bridge-Devices des Hosts gesetzt?
- können die Container vom Host aus gepingt werden?
-
Ich sollte aber dennoch das neue Subnetz in Linux selber noch statisch einrichten oder?
Naja, was heißt "das Subnetz statisch einrichten"?
Du brauchst auf dem Host eine IP aus dem neuen Subnetz, als Default-Gateway für die Container. Bei mir liegt die IP auf dem Bridge-Interface der lxc Container. Du könntest sie auf dem Bridge-Interface von Docker unterbringen. Bei mir ist das die "<IPv6-Prefix>::1/64". Die einzelnen Container bekommen einfach zufällige Adressen.
-
Das ist relativ einfach. Das Subnetz wird auf die "Standard" IPv6 Adresse deines VPS geroutet. Auf deinem VPS kannst du die Adressen dann einfach verteilen, z.B. für Container oder für VPN Clients oder was auch immer. Mehr muss man eigentlich nicht machen. Default-Gateway für den Host ändert sich nicht, Default-Gateway für die Container wird die Host-Adresse aus dem neuen Subnetz (bei mir statisch die ::1).
-
Ich würde einfach einen tcpdump mit dem Filter "icmp6" starten. Dann den Ping von außen auf deine Gateway Adresse starten. Dabei müsste man die Pings von außen sehr zuverlässig identifizieren können.
NDP Pakete sind ebenfalls icmp6 Pakete. Also auch den NDP Check kannst du damit machen. Übrigens: Pings auf deine Container müssen ja auch "durch die Host Maschine", wenn ich das mal so salopp ausdrücken darf. Die könntest du also auch in so einem tcpdump sehen.
-
Deutlich einfacher wäre es mit einem zusätzlichen IPv6 Netzwerk, dass auf deinen VPS geroutet wird. Das spart das ganze ndppd Geraffel.
Ich hab ein ähnliches Szenario, wie du jetzt vorhast, mit lxc Containern betrieben, bin aber inzwischen auf das zusätzliche IPv6 Netzwerk gewechselt. Ich habs mit dem mitgelieferten IPv6 Netz und ndppd nicht stabil hinbekommen. Ping Spikes und Paketverluste waren die immer mal wieder Folge. Ich hatte zusätzlich sogar noch ein Script laufen, dass alle 180 Sekunden Pings aus dem Containern nach außen absetzte, um die MAC Tabellen in den netcup Switches aktuell zu halten.
- ndppd eingerichtet( nach: https://forum.netcup.de/administration…ocker-and-ipv6/) .
Und das läuft sauber? ndp arbeitet, das hast du mit tcpdump etc. nachvollzogen? Du musst nachsehen, ob die ndp Requests, die deinen Host erreichen, auch beantwortet werden.
- Rechner von außen pingt IPv6 Gateway vom erstellten Netzwerk an (fehlgeschlagen)
Hast du mit tcpdump nachgesehen, ob die Pings die Hostmaschine erreichen?
Was passiert, wenn du IPv6-Ziele aus den Containern heraus pingen willst?
-
Du legst den TXT Record natürlich im DNS an. Da kannst du auch die Subdomains einrichten. Hast du dich mit dem DNS Setup schon mal befasst? Dann wird es relativ schnell offensichtlich. Ansonsten gibt es zum DNS auch viel Stoff im Wiki.
-
Aber den A Eintrag einfach auf irgendeine Shopify IP umzubiegen, ist auch gefährlich. Die haben mehr als eine davon. Es gibt schon einen Grund dafür, dass sie CNAMEs fordern.
Der CNAME für @ geht grundsätzlich nicht, auch bei anderen Anbietern nicht. Den CNAME für * solltest du wieder rausnehmen.
-
* als CNAME halte ich für gefährlich. Shopify mag das toll finden, aber ich bin nicht davon überzeugt, dsss du das wirklich willst. Bist du dir darüber klar, was das macht?
Um die Domain auch ohne www nutzen zu können, müsste man einen CNAME für @ einrichten, aber das ist nicht erlaubt, wenn ich mich recht erinnere.
-
Das hab ich direkt am Anfang der Diskussion auch bereits gesagt. Die entscheidende Frage war von Anfang an: Gibt es alternative Wege, sich die Information zu beschaffen? Die Antwort ist ja nun klar: Es gibt sowohl offizielle Wege, als auch einen Schwarzmarkt für diese Informationen. Damit dürfte es schwer bis unmöglich werden, die Vorwürfe zu beweisen. Entsprechend vorsichtig sollte man sich mit den Anschuldigungen bewegen, ansonsten gibt es in so einem Fall am Ende nur einen Schuldigen, nämlich den Verleumder.
-
Das zusätzliche /64 wird dir per Nexthop auf die Link-Local des Servers geroutet.
Das ist bei mir anders. Das zusätzliche Subnetz wird auf die öffentliche IP mit der EUI-64 Host-ID aus dem mitgelieferten /64 geroutet, aber nicht auf die linklokale Adresse. D.h., man muss die Adresse auch zwangsläufig setzen auf seinem Interface.
radvd auf einem VLAN Interface oder intern für VMs sehe ich unkritisch. Ich setze das Subnetz sowohl für lxd Container als auch für VPN Clients ein. Da gibt es zwar keinen radvd, aber ich sehe da kein Problem, solange die Advertisements nicht nach draußen gelassen werden.
Nun sollten die Windows VM's auch IPv6 können.
Wie realisierst du die VMs? Weil nested Virtualization gibt es ja nicht.
-
Verbindung bewusst per IPv6 herstellen mache ich wie?
Bei sowas wie SFTP oder FTP ist es einfach, da gibst du einfach die IP als Ziel ein. Natürlich müssen Server und Firewall für IPv6 vorbereitet sein. Bei http wird ggf. schwieriger, wenn die DNS Auflösung beide Adressen zurückliefert. Da könnte ein DNS Eintrag spezifisch für IPv6 helfen. Aber der Webserver muss dann natürlich auch für den vhost eingerichtet sein.
Das könnte allerdings irgendwie an meinem Internetanschluss liegen...
Ja, wenn du kein IPv6 eingerichtet hast.
Wie genau sollte ich weiter vorgehen um das Problem herauszufinden/einzugrenzen?
Das hatte ich doch schon geschrieben.
Insgesamt machen deine Fragen den Eindruck, dass du recht wenig Kenntnis von der Materie hast. Auch die angefragten Diagnose-Informationen fehlen vollständig.
Die Einrichtung eines Servers ist nicht trivial, vor allem die Absicherung gegen Angreifer. netcup hilft dir da in keinster Weise durch eine Firewall auf System-Ebene, das musst du komplett selber machen. Siehe die zahlreichen Klagen über Abuse Meldungen von IP Netzen hier im Forum. Das sind all die Fälle, wo ein Netcup Server eines unerfahrenen Nutzers gehackt wurde. Deshalb die Frage: Bist du dir absolut sicher, einen RS so konfigurieren zu können, dass er sicher betrieben werden kann?
-
Meine Vermutung war, dass es am CGNat von VF liegt.
Eigentlich sollte das nicht passieren. Theoretisch ist es möglich, dass sich bei DS-Lite oder CGNAT die Abgangs-IP im Router ändert. Das sollte aber bestehende Verbindungen nicht betreffen. Wie gesagt - sollte. Aber das müsste man im tcpdump auf Server-Seite sehr gut sehen können, wenn die Verbindung aufgrund eines IP-Wechsels abbricht.
-
Um das noch mal klarzustellen: Du lädst auf deinem Rechner zu Hause Dateien von deinem Server bei Netcup herunter? Und dabei gibt es diese Abbrüche? Normal ist das nicht.
Erfolgt der Transfer per IPv4 oder IPv6? Teste auf jeden Fall beides. Dann könntest du mit Wireshark oder tcpdump schauen, ob es Paketverluste gibt.
-
Kann es sein, dass die großen DNS Betreiber alles ohne DNSSEC nicht mehr akzeptieren?
Nein, aber dein Client kann natürlich so eingestellt sein, dass er es nicht akzeptiert.
-
Aber weshalb sollte er dann von sich aus seine Verwunderung über den Erhalt der Adresse ausgedrückt haben?
Ich dachte, du wolltest keine Spekulationen hier? Denn plausible Antworten auf die Frage gibt es ja wohl zur Genüge.
-
Also gäbe es prinzipiell eine andere Quelle für die Information. Ich halte das nur der Vollständigkeit halber fest, ohne Bewertung.
-
Bei whois sind die Daten ja seit einiger Zeit anonymisiert. Da gibt es auch keine alten Caches oder so, in die man noch reinschauen kann?
