IPSec über IPv6

[stigger]

Hallo.

Ich habe einen Hitron Router mit DS-Lite. Ich brauche um IPSec über IPv6 zu konfigurieren, so muss ich ESP (proto 50) zu ermöglichen. Benutzerhandbuch (Seite 100) erwähnt ESP, aber auf meinem Router Host-Port Einstellungen erlauben nur TCP/UDP Protokolle.

Was kann ich machen? Bitte Bridge-Modus nicht vorschlagen, denn auf Hitron es hat kein IPv6, und ich möchte nicht für Homebox bezahlen.

[reneromann]

Du brauchst bei IPv6 keine Port-Forwardings! Dein Rechner hat eine öffentliche IPv6-Adresse!
Daher kannst du dort auch keine Port-Regeln einstellen (zumindest nicht, wenn du DS-Lite benutzt)!

Wenn du ausgehend IPSec über IPv6 benutzen willst, muss dies auch die Gegenstelle unterstützen!
Mit einer Gegenstelle auf IPv4-Basis wird dein Vorhaben scheitern.

[stigger]

Ja, ich weiß das. Aber es scheint, dass dieser Hitron etwa wie ein Firewall hat. Der Router sendet Paketen weiter nicht, solange das in Host-Port Einstellungen nicht erlaubt ist.

Z.B., ich konnte von Außen durch SSH nicht einloggen, bis ich entsprechende Regel hinzugefügte. Außerdem kann man in diesen Einstellungen ICMP nicht erlauben. Deshalb kann man nicht öffentliche Adressen der Rechnern von Außen pingen!

[Thyrael]

Wenn du von außen eine VPN zu deinem Zugang der mit DS-Lite läuft aufbauen willst, musst du von außen auch mit IPv6 kommen. Die Firewall des Hitron Routers ist aber auch nicht gerade großzügig was Einstellungsmöglichkeiten angeht. Hier wäre vielleicht der Umstieg auf Bridgemodus (der Anschluss fällt auf IPv4 zurück) und Einsatz eines IPv6 Tunnels (tunnelbroker.net oder SiXXs) auf einem eigenen Router erfolgversprechender.

[stigger]

Ja, tunnelbroker.net ist genau was ich derzeit benutze. Aber ich finde das nicht ganz bequem. Der ganze Zweck der IPv6 ist darin besteht, dieses Problem zu vermeiden. Die sinnlosen Einschränkungen des Routers sind nicht zulässig und sollen beheben werden.

[reneromann]

Dann wechsele auf eine Fritzbox - die gibt dir die Möglichkeiten in der Firewall für IPv6 auch entsprechende Freigaben vorzunehmen...

Außerdem hast du ein Problem, wenn von dem Standort, von dem du die Verbindung aufbauen willst, kein IPv6 möglich ist.

[Thyrael]

Bei einer Fritz Box bekommt man eigentlich auch Dual Stack geschaltet, also IPv4 und IPv6, quasi das "gleiche" Setup wie du jetzt mit dem Tunnel fährst.