Beiträge von PandaMurph

    Ich habe mir nun die Mühe gemacht und IPv6 auch innerhalb der Container zu aktivieren (das ist ja furchtbar!).

    Mit IPv4 bekomme ich das alte Zertifikat, nur IPv6 bekommt das richtige:

    IPv4:

    Code
    / # openssl s_client -4 -showcerts -connect www.netcup-sonderangebote.de:443 2>/dev/null | openssl x509 -noout -dates
    notBefore=Jul  1 10:43:02 2019 GMT
    notAfter=Sep 29 10:43:02 2019 GMT

    IPv6:

    Code
    / # openssl s_client -6 -showcerts -connect www.netcup-sonderangebote.de:443 2>/dev/null | openssl x509 -noout -dates
    notBefore=Jan 12 23:38:31 2021 GMT
    notAfter=Apr 12 23:38:31 2021 GMT  

    Alles innerhalb des Containers (IPv6 habe ich für Docker nicht eingerichtet)

    Code
    # dig +short A www.netcup-sonderangebote.de
    netcup-sonderangebote.de.
    46.38.232.32
    Code
    # dig +short AAAA www.netcup-sonderangebote.de 
    netcup-sonderangebote.de.
    2a03:4000:2:1d::e820
    Code
    # openssl s_client -showcerts -connect 46.38.232.32:443 2>/dev/null | openssl x509 -noout -dates
    notBefore=Jul  1 10:43:02 2019 GMT
    notAfter=Sep 29 10:43:02 2019 GMT

    Das ist ja das was mich so verwirrt. Lokal und auf dem Host habe ich die selbe Ausgabe, nur innerhalb der Container (z.B. alpine:3.13)

    Code
    / # openssl s_client -showcerts -connect www.netcup-sonderangebote.de:443 2>/dev/null | openssl x509 -noout -dates
    notBefore=Jul  1 10:43:02 2019 GMT
    notAfter=Sep 29 10:43:02 2019 GMT

    Ich habe einen Rootserver mit Debian und Docker. Meinem RSS-Collector (TTRSS) wollte ich den RSS-Feed unter https://www.netcup-sonderangebote.de/feed/ hinzufügen. Leider schlägt das fehl, da das TLS-Zertifikat nicht gültig sei (Certificate expired.) Alle anderen Feeds, auch mit Let's Encrypt, funktionieren, es ist nur diese eine Domain die nicht möchte.

    curl innerhalb Docker, egal ob alpine, ubuntu, oder fedora schlägt immer mit abgelaufenem Zertifikat fehl. Auf dem Host, kann ich erfolgreich verbinden. Innerhalb der genannten Container funktionieren andere Let's Encrypt Domänen einwandfrei.

    Wenn ich lokal einen z.B. Ubuntu-Container starte, funktioniert es ebenfalls.


    Innerhalb eines Containers: openssl s_client -connect http://www.netcup-sonderangebote.de:443 zeigt auch an, dass das Zertifikat am 29.09.2019 abgelaufen ist. Selbstverständlich ist es dann nicht mehr gültig. Aber warum bietet mir der Server dieses alte Zertifikat an?


    Wenn ich curl sage, es soll den Fehler ignorieren (curl --insecure), wird die Verbindung zwar hergestellt und ich bekomme den Feed, aber die neueste Meldung darin ist ein Angebot ebenfalls von 2019. Ich bekomme also innerhalb von Docker-Containern auf meinem Host nur von dieser Domäne den Zustand von 2019 ausgeliefert.


    Ich bin mit meinem Latein am Ende.

    Ich konnte das Problem jetzt lösen.
    Zum Ersten habe ich es nochmal im Rescue-Modus versucht, dort hat es funktioniert. Ich habe manuell die Adresse zugewiesen, die Route und einen DNS, dann konnte ich heise.de anping6en.


    Testweise und nur, weil mir sonst nichts mehr einfiel, hab ich zusätzlich zur xxx::1/64 noch die xxx::2/64 hinzugefügt. Danach hat das Ping6en und curl -6 funktioniert. Ich habe keine Erklärung dafür, vielleicht ja sonst jemand. Es klappt nun.


    Hier noch meine /etc/systemd/network/wired.network zur Vollständigkeit:


    Die Reihenfolge der Address-Blöcke ist wichtig! Die xxx::2/64 muss als erstes dran stehen.

    Das finde ich auch seltsam, weil auch eingehende Verbindungen von außen funktionieren.
    Route:

    Code
    # ip -6 route
    <MY_IP6_SUBNET>/64 dev eth0  proto kernel  metric 256
    fe80::/64 dev eth0  proto kernel  metric 256
    default via fe80::1 dev eth0  metric 1024


    Code
    # traceroute6 heise.de
    traceroute to heise.de (2a02:2e0:3fe:1001:302::), 30 hops max, 80 byte packets
     1  2a03:4000:0:2::3 (2a03:4000:0:2::3)  0.583 ms  0.923 ms  0.508 ms
     2  * * *
    ...
    30 * * *

    Ich kann auch keine IPv6-Adressen anpingen. In der /etc/resolv.conf stehen die Netcup-Server drin (z.B. 2a03:4000:8000::fce6), es ändert sich daran nichts wenn ich Google-DNS eintrage.
    Mit dig -6 google.com @"2001:4860:4860::8844" bekomme ich gar keine Antwort. Es gehen also ausgehende Verbindungen nicht.
    Ich bekomme eine Antwort, wenn ich den Netcup-Server frage (dig -6 google.com @"2a03:4000:8000::fce6").

    Eingehender IPv6-Verkehr funktioniert nun, Nginx, Exim4 und SSH sind darüber erreichbar.


    ABER vom Server aus kann ich keine IPv6-Verbindung aufbauen. Das ist schlecht, da aptitude jetzt Updates über IPv6 laden möchte und die Verbindung nicht zustande kommt.


    Eingehende ping6 werden beantwortet, wenn ich aber vom Server aus einen IPv6-Host mit ping6 anpingen möchte, bleibt auch das stecken. Klingt für mich zwar nach Firewall, ip6tables zeigt aber alle chains auf ACCEPT.

    Ich habe dem Support geschrieben. Wenn mir soweit bekannt, werde ich die Lösung (hoffentlich) hier schreiben.


    Edit: Der Support hat am Rescue-System etwas geändert. Ich kann allerdings nicht sagen was, das wurde mir nicht mitgeteilt.


    Anschließend habe ich systemd-networkd deaktiviert, damit hat es einfach nicht funktioniert und wieder networking.service benutzt.
    Die /etc/network/interfaces unterscheidet sich nicht von den vorhergehenden. Allerdings funktioniert es jetzt (wieder).


    Der Vollständigkeit halber hier trotzdem die


    Die Zeile pre-up ist von Webmin hinzugefügt worden.

    Leider nicht, das beschreibt ja nur das Problem und nicht die Lösung. Spannend zu wissen wäre was der Support geändert hat. Es kann ja nur an der Software liegen.


    Ich hänge bereits an Schritt 6. Ich kann das Gateway nicht anpingen.

    Ich habe im Moment keine Muse mich mit dem Käse auseinander zu setzen. Ich habe den AAAA Eintrag im DNS entfernt und IPv6 deaktiviert. Kommt Zeit, kommt Rat.


    Wenn jemand eine Lösung findet, wäre ich dafür allerdings sehr dankbar.

    Ich wünschte das würde so bei mir auch funktionieren.
    Mein Interface heißt eth0, das habe ich im Match-Block angepasst. Die IPs (4 und 6) werden auch korrekt gesetzt, nur kommt trotzdem jedesmal beim herauspingen "Address unreachable" und beim anpingen an der Server bleibt das Paket irgendwo bei netcup hängen und läuft in einen Timeout.

    Code
    # /etc/resolv.conf
    domain yourvserver.net
    search yourvserver.net
    nameserver 46.38.225.230
    nameserver 46.38.252.230
    nameserver 2a03:4000:0:1::e1e6
    nameserver 2a03:4000:8000::fce6
    Code
    # ip -6 route
    <MY_IP6>::/64 dev eth0  proto kernel  metric 256
    fe80::/64 dev eth0  proto kernel  metric 256
    default via fe80::1 dev eth0  metric 1024


    Das sollte also passen.


    Ich kann das Gateway auch nicht anpingen:

    Code
    # ping6 fe80::1%eth0
    PING fe80::1%eth0(fe80::1) 56 data bytes
    From fe80::5054:aff:fe15:53de icmp_seq=1 Destination unreachable: Address unreachable

    Ich habe es auch mal wieder über die /etc/network/interfaces-Methode versucht:


    Natürlich habe ich systemd-networkd (und -resolved) wieder gestoppt, deaktiviert und benutze stattdessen networking.service. Poweroff wurde oft genug durchgeführt.
    Die Ausgabe von "ip a", "ifconfig" unterscheiden sich nicht, IPv4 funktioniert einwandfrei, aber IPv6 will nicht.


    Hier noch die Ausgabe von networking.service wenn VERBOSE=true in der /etc/default/networking gesetzt ist:

    Danke für die Antwort, ich weiß allerdings nicht ob/wie/wann ich die Netzwerkkonfiguration geändert habe. Es ist mir erst diese Woche aufgefallen, es kann aber sein, dass es IPv6 schon mehrere Monate tot ist.


    Die Einträge stimmen so mit Gateway und IPs? Die Einträge hier im Forum sind teilweise mehrere Jahre alt, da kann sich was geändert haben in der Zwischenzeit.

    Hi,


    ich habe einen "Root-Server M v2" seit über einem Jahr und habe dort selber Debian 8.2 (jessie) installiert. Es laufen wunderbar nginx, apache, postgresql und sonstige Sachen. Ich habe systemd zur Verwaltung eingerichtet, es sind aber noch init.d-Scripts vorhanden, da ich ein Upgrade auf systemd gemacht habe.


    Ich weiß, dass man das nicht sagt, aber ich weiß nicht was ich geändert habe. Mir ist erst seit kurzem aufgefallen, dass ich keine IPv6-Verbindungen mehr zu meinem Server aufbauen kann (auch kein ping6).


    Code
    # ping6 <MY_HOSTNAME>
    PING <MY_HOSTNAME>(<MY_IP6>) 56 data bytes
    From gw6-cb30.nbg.netcup.net icmp_seq=1 Destination unreachable: Address unreachable
    ...


    Ich benutze systemd-networkd zur Verwaltung mit folgender Konfigurationsdatei:


    Den Inhalt hab ich mir hier aus dem Forum, aus verschiedenen Wikis und sonstiges Suchmaschinenergebnissen zusammen gesucht. Die IPs sind aus dem VCP kopiert.


    Nach einem poweroff im VCP, funktioniert es ebenfalls nicht. Wenn ich vom Server aus ein ping6 mache, steht wieder "Destination unreachable" dran.


    Ich hab noch ein paar Outputs, vielleicht hilft das etwas:




    IP6Tables ist auf ACCEPT bei allen chains, iptables ist aktiv, sollte aber bei IPv6 keinen Einfluss haben, oder?