Naja, wie gesagt habe ich an meiner VM nichts geändert (und auch nicht Netcup).
Die Änderung, die Netcup vorgenommen hat, kann aus meiner Sicht entweder am Host (auf dem meine VM läuft) oder in der Infrastruktur gelegen haben.
Die Frage ist also, ob du das Verhalten im Rescue-System auch bei dir nachvollziehen kannst. Wenn ja würde ich den Netcup Support mit den entsprechenden Infos kontaktieren.
Ich weiß nicht genau was gemacht worden ist. Das Rettungssystem ist verwendet worden um den Sachverhalt auf 'neutralen Boden' nachzuvollziehen, also um auszuschließen dass das Problem nur innerhalb meiner VM ist.
Du kannst das einfach bei dir nachvollziehen in dem du auch das Rescue System verwendest und folgende Schritte ausführst:
1.) Check no IPv6 configured
rescue:~# ip a
2.) Ping via IPv6 should not work as not configured
rescue:~# ping6 -c3 google.de
connect: Network is unreachable
3.) Add your IPv6 Address
rescue:~# ip -6 addr add <YOUR_IPv6_ADDRESS>/64 dev eth0
4.) Check IPv6 Address added
rescue:~# ip a
5.) Add default route
rescue:~# ip -6 route add default via fe80::1 dev eth0
6.) Ping default gateway should work
rescue:~# ping6 -c3 -I eth0 fe80::1
7.) Ping Google via IPv6 address should work
rescue:~# ping6 -c3 -I eth0 2a00:1450:400a:804::1017
8.) Traceroute to Google via IPv6 address should work
rescue:~# traceroute6 2a00:1450:400a:804::1017
9.) Traceroute to Goolge via DNS should also work
rescue:~# traceroute6 google.deMein konkretes Problem war, dass in Schritt 7 - 9 nicht funktionierten. In Schritt 8/9 ist mir aber aufgefallen, dass der erste Hop erfolgreich war jedoch dann der Paketfluss endete:
rescue:~# traceroute6 2a00:1450:400a:804::1017
traceroute to 2a00:1450:400a:804::1017 (2a00:1450:400a:804::1017), 30 hops max, 80 byte packets
1 2a03:4000:6:7000::3 (2a03:4000:6:7000::3) 0.181 ms 28.370 ms 28.385 ms
2 * * *
3 * * *
...
30 * * *
Ich hoffe das hilft dir weiter.
Dank des Netcup Supports ist das Problem nun gelöst.
Diese konnten das Problem vom Rescue-System aus nachvollziehen und haben daraufhin etwas angepasst.
Seitdem funktioniert IPv6 auch bei mir.
Vielen Dank für die Unterstützung!
Bei deaktivierter ufw wird iptables auf ACCEPT umgeschaltet:
~# ip6tables-save
# Generated by ip6tables-save v1.4.21 on Fri Jan 29 23:24:18 2016
*filter
:INPUT ACCEPT [1:351]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1:92]
:ufw6-after-forward - [0:0]
:ufw6-after-input - [0:0]
:ufw6-after-logging-forward - [0:0]
:ufw6-after-logging-input - [0:0]
:ufw6-after-logging-output - [0:0]
:ufw6-after-output - [0:0]
:ufw6-before-forward - [0:0]
:ufw6-before-input - [0:0]
:ufw6-before-logging-forward - [0:0]
:ufw6-before-logging-input - [0:0]
:ufw6-before-logging-output - [0:0]
:ufw6-before-output - [0:0]
:ufw6-reject-forward - [0:0]
:ufw6-reject-input - [0:0]
:ufw6-reject-output - [0:0]
:ufw6-track-forward - [0:0]
:ufw6-track-input - [0:0]
:ufw6-track-output - [0:0]
-A INPUT -j ufw6-before-logging-input
-A INPUT -j ufw6-before-input
-A INPUT -j ufw6-after-input
-A INPUT -j ufw6-after-logging-input
-A INPUT -j ufw6-reject-input
-A INPUT -j ufw6-track-input
-A FORWARD -j ufw6-before-logging-forward
-A FORWARD -j ufw6-before-forward
-A FORWARD -j ufw6-after-forward
-A FORWARD -j ufw6-after-logging-forward
-A FORWARD -j ufw6-reject-forward
-A FORWARD -j ufw6-track-forward
-A OUTPUT -j ufw6-before-logging-output
-A OUTPUT -j ufw6-before-output
-A OUTPUT -j ufw6-after-output
-A OUTPUT -j ufw6-after-logging-output
-A OUTPUT -j ufw6-reject-output
-A OUTPUT -j ufw6-track-output
COMMIT
# Completed on Fri Jan 29 23:24:18 2016
Ich denke auch wirklich nicht, dass es an der Firewall liegt. Ein Ping nach außen funktioniert auch nicht. Hierbei fällt beim traceroute nach ipv6.l.google.com zwar die Namensauflösung klappt und auch der Request nach außen geht, dort jedoch irgendwo bei Netcup hängen bleibt.
# traceroute6 ipv6.google.com
traceroute to ipv6.l.google.com (2a00:1450:4001:80c::1007) from <MY_IP>, 30 hops max, 24 byte packets
1 2a03:4000:6:7000::3 (2a03:4000:6:7000::3) 0.323 ms 0.208 ms 0.179 ms
2 * * *
3 * * *
4 * * *
5 * * *
…
30 * * *
Netcup untersucht versucht nun das Verhalten über das Rettungssystem nachzuvollziehen. Ich hoffe das bringt mich weiter.
Ich verwende UFW. Zuerst die UFW Regeln:
#ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip
To Action From
-- ------ ----
22 ALLOW IN Anywhere
1194/udp ALLOW IN Anywhere
65535 on tun0 ALLOW IN 1 (log-all)
22 (v6) ALLOW IN Anywhere (v6)
1194/udp (v6) ALLOW IN Anywhere (v6)
65535 (v6) on tun0 ALLOW IN 1 (v6) (log-all)Und hier nun die resultierenden ip6tables regeln:
# ip6tables-save
# Generated by ip6tables-save v1.4.21 on Fri Jan 29 20:50:03 2016
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [9:704]
:ufw6-after-forward - [0:0]
:ufw6-after-input - [0:0]
:ufw6-after-logging-forward - [0:0]
:ufw6-after-logging-input - [0:0]
:ufw6-after-logging-output - [0:0]
:ufw6-after-output - [0:0]
:ufw6-before-forward - [0:0]
:ufw6-before-input - [0:0]
:ufw6-before-logging-forward - [0:0]
:ufw6-before-logging-input - [0:0]
:ufw6-before-logging-output - [0:0]
:ufw6-before-output - [0:0]
:ufw6-logging-allow - [0:0]
:ufw6-logging-deny - [0:0]
:ufw6-reject-forward - [0:0]
:ufw6-reject-input - [0:0]
:ufw6-reject-output - [0:0]
:ufw6-skip-to-policy-forward - [0:0]
:ufw6-skip-to-policy-input - [0:0]
:ufw6-skip-to-policy-output - [0:0]
:ufw6-track-forward - [0:0]
:ufw6-track-input - [0:0]
:ufw6-track-output - [0:0]
:ufw6-user-forward - [0:0]
:ufw6-user-input - [0:0]
:ufw6-user-limit - [0:0]
:ufw6-user-limit-accept - [0:0]
:ufw6-user-logging-forward - [0:0]
:ufw6-user-logging-input - [0:0]
:ufw6-user-logging-output - [0:0]
:ufw6-user-output - [0:0]
-A INPUT -j ufw6-before-logging-input
-A INPUT -j ufw6-before-input
-A INPUT -j ufw6-after-input
-A INPUT -j ufw6-after-logging-input
-A INPUT -j ufw6-reject-input
-A INPUT -j ufw6-track-input
-A FORWARD -j ufw6-before-logging-forward
-A FORWARD -j ufw6-before-forward
-A FORWARD -j ufw6-after-forward
-A FORWARD -j ufw6-after-logging-forward
-A FORWARD -j ufw6-reject-forward
-A FORWARD -j ufw6-track-forward
-A OUTPUT -j ufw6-before-logging-output
-A OUTPUT -j ufw6-before-output
-A OUTPUT -j ufw6-after-output
-A OUTPUT -j ufw6-after-logging-output
-A OUTPUT -j ufw6-reject-output
-A OUTPUT -j ufw6-track-output
-A ufw6-after-input -p udp -m udp --dport 137 -j ufw6-skip-to-policy-input
-A ufw6-after-input -p udp -m udp --dport 138 -j ufw6-skip-to-policy-input
-A ufw6-after-input -p tcp -m tcp --dport 139 -j ufw6-skip-to-policy-input
-A ufw6-after-input -p tcp -m tcp --dport 445 -j ufw6-skip-to-policy-input
-A ufw6-after-input -p udp -m udp --dport 546 -j ufw6-skip-to-policy-input
-A ufw6-after-input -p udp -m udp --dport 547 -j ufw6-skip-to-policy-input
-A ufw6-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw6-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw6-before-forward -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A ufw6-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw6-before-forward -p ipv6-icmp -m icmp6 --icmpv6-type 1 -j ACCEPT
-A ufw6-before-forward -p ipv6-icmp -m icmp6 --icmpv6-type 2 -j ACCEPT
-A ufw6-before-forward -p ipv6-icmp -m icmp6 --icmpv6-type 3 -j ACCEPT
-A ufw6-before-forward -p ipv6-icmp -m icmp6 --icmpv6-type 4 -j ACCEPT
-A ufw6-before-forward -p ipv6-icmp -m icmp6 --icmpv6-type 128 -j ACCEPT
-A ufw6-before-forward -j ufw6-user-forward
-A ufw6-before-input -i lo -j ACCEPT
-A ufw6-before-input -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 135 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 136 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 133 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 134 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw6-before-input -s fe80::/10 -p ipv6-icmp -m icmp6 --icmpv6-type 129 -j ACCEPT
-A ufw6-before-input -m conntrack --ctstate INVALID -j ufw6-logging-deny
-A ufw6-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 1 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 2 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 3 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 4 -j ACCEPT
-A ufw6-before-input -p ipv6-icmp -m icmp6 --icmpv6-type 128 -j ACCEPT
-A ufw6-before-input -s fe80::/10 -d fe80::/10 -p udp -m udp --sport 547 --dport 546 -j ACCEPT
-A ufw6-before-input -d ff02::fb/128 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw6-before-input -d ff02::f/128 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw6-before-input -j ufw6-user-input
-A ufw6-before-output -o lo -j ACCEPT
-A ufw6-before-output -m rt --rt-type 0 --rt-segsleft 0 -j DROP
-A ufw6-before-output -p ipv6-icmp -m icmp6 --icmpv6-type 135 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-output -p ipv6-icmp -m icmp6 --icmpv6-type 136 -m hl --hl-eq 255 -j ACCEPT
-A ufw6-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw6-before-output -j ufw6-user-output
-A ufw6-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw6-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw6-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw6-skip-to-policy-forward -j DROP
-A ufw6-skip-to-policy-input -j DROP
-A ufw6-skip-to-policy-output -j ACCEPT
-A ufw6-track-output -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw6-track-output -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw6-user-input -p tcp -m tcp --dport 22 -j ACCEPT
-A ufw6-user-input -p udp -m udp --dport 22 -j ACCEPT
-A ufw6-user-input -p udp -m udp --dport 1194 -j ACCEPT
-A ufw6-user-input -i tun0 -p tcp -m tcp --sport 1 --dport 65535 -j ufw6-user-logging-input
-A ufw6-user-input -i tun0 -p tcp -m tcp --sport 1 --dport 65535 -j ACCEPT
-A ufw6-user-input -i tun0 -p udp -m udp --sport 1 --dport 65535 -j ufw6-user-logging-input
-A ufw6-user-input -i tun0 -p udp -m udp --sport 1 --dport 65535 -j ACCEPT
-A ufw6-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw6-user-limit -j REJECT --reject-with icmp6-port-unreachable
-A ufw6-user-limit-accept -j ACCEPT
-A ufw6-user-logging-input -i tun0 -p tcp -m tcp --sport 1 --dport 65535 -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw6-user-logging-input -i tun0 -p tcp -m tcp --sport 1 --dport 65535 -j RETURN
-A ufw6-user-logging-input -i tun0 -p udp -m udp --sport 1 --dport 65535 -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw6-user-logging-input -i tun0 -p udp -m udp --sport 1 --dport 65535 -j RETURN
COMMIT
# Completed on Fri Jan 29 20:50:03 2016Ich kann nun das Gateway über:
ping6 -I eth0 fe80::1erreichen. Jedoch ist mein Host nach wie vor nicht von außen erreichbar. Der traceroute bleibt gw6-decix.ffm.netcup.net stecken.
traceroute6 <MY_SERVER_IP>
traceroute6 to <MY_SERVER_IP> (2a03:4000:6:714d::1) from <MY_SYSTEM_IP>, 64 hops max, 12 byte packets
1 compalhub.home 2.868 ms 2.902 ms 1.830 ms
2 * * *
3 2a02:8071:ff:36bf::1 16.801 ms 15.122 ms 13.608 ms
4 2a02:8071:20ff:336::1 12.984 ms 16.553 ms 14.709 ms
5 2001:730:2d03:6::1 15.541 ms
de-fra04a-ri1-ae14.fra.unity-media.net 18.738 ms
2001:730:2d03:6::1 29.931 ms
6 2001:730:2d00::5474:8066 16.401 ms 17.554 ms 21.907 ms
7 2001:730:2d00::5474:8065 19.972 ms 21.889 ms 50.080 ms
8 100ge7-2.core1.fra1.he.net 37.125 ms
2001:730:2d00::5474:8001 17.117 ms
100ge7-2.core1.fra1.he.net 16.362 ms
9 100ge7-2.core1.fra1.he.net 17.378 ms *
gw6-decix.ffm.netcup.net 24.169 ms
10 gw6-decix.ffm.netcup.net 2050.053 ms !A * 23.528 ms
11 gw6-decix.ffm.netcup.net 2245.095 ms !A * *
12 *
gw6-decix.ffm.netcup.net 2032.499 ms !A *
13 gw6-decix.ffm.netcup.net 2117.459 ms !A * *
14 *
gw6-decix.ffm.netcup.net 2038.947 ms !ADer Netcup Support war auch nicht besonders hilfreich da diese keine Unterstützung bieten für alles was in der eigenen VM passiert.
Allerdings würde ich erwarten, dass der Ping von außen auf jeden Fall funktionieren sollte. Hier ist ja schließlich das Routing bei Netcup.
Und es funktioniert nie. Also weder mit aktiver noch mit inaktiver Firewall.
Ich habe bei mir exakt das gleiche Problem. Ich habe die Konfiguration vorgenommen wie im WIKI beschrieben (Zusätzliche IP Adresse konfigurieren – netcup Wiki) kann aber werde von außen noch nach außen pingen.
Auch das Gateway kann ich nicht pingen. Im VCP habe ich IPv6 freigeschalten und auch den Server über poweroff, start neugestartet.
Bin aktuell auch absolut blank was ich noch machen kann.
Ich verwende Ubuntu 15.04 und ufw als iptables frontend. Auch mit deaktivierter ufw habe ich das Problem. Deshalb würde ich dies ausschließen.
Gibt es etwas neues oder neue Ideen hierzu?
