{"id":277,"date":"2023-11-20T21:30:04","date_gmt":"2023-11-20T20:30:04","guid":{"rendered":"https:\/\/www.richard-becker.net\/blog\/?p=277"},"modified":"2023-11-20T21:49:02","modified_gmt":"2023-11-20T20:49:02","slug":"glasfaser-und-cgnat-der-weg-ins-heimnetz-ist-gar-nicht-so-leicht","status":"publish","type":"post","link":"https:\/\/www.richard-becker.net\/blog\/2023\/11\/20\/glasfaser-und-cgnat-der-weg-ins-heimnetz-ist-gar-nicht-so-leicht\/","title":{"rendered":"Glasfaser und CGNAT – Der Weg ins Heimnetz ist gar nicht so leicht…"},"content":{"rendered":"\n

Endlich liegt die Glasfaser-Leitung, das Heimnetz ist mit einer richtig guten Geschwindigkeit ans Internet angebunden. Doch, Moment… was ist denn da los?! Wenn es dir so geht, wie mir, bist du vielleicht \u00fcberrascht, dass pl\u00f6tzlich deine VPN-Verbindung von anderen Netzwerken nach Hause in dein Heimnetz nicht mehr klappt.<\/p>\n\n\n\n

Was bittesch\u00f6n ist denn nun CGNAT?!<\/h2>\n\n\n\n

Tja, gerade eben hast du dich noch \u00fcber deine hohe Geschwindigkeit gefreut und jetzt musst du feststellen: Du teilst dir deine „\u00f6ffentliche“ IPv4<\/a>-Adresse mit anderen Kund:innen deines Providers. <\/p>\n\n\n\n

Das bedeutet: Zwischen deinem Heimnetz und dem \u00f6ffentlichen Internet steckt nicht nur dein eigener Router, sondern noch weitere Ger\u00e4te deines Providers. Und durch die kommst du nicht hindurch (Stichwort: Portfreigabe), denn du kannst zwar Ger\u00e4te hinter deinem Router so freigeben, dass sie von au\u00dferhalb deines Routers erkannt werden k\u00f6nnen, aber au\u00dferhalb deines Routers befindet sich leider nicht das \u00f6ffentliche Internet, sondern weitere Netzwerkschichten deines Providers.<\/p>\n\n\n\n

Und was mache ich jetzt? Kann ich VPN jetzt vergessen?!<\/h2>\n\n\n\n

Die gute Nachricht lautet: Nein, alles wird gut! Voraussichtlich… Denn was mein Anbieter mir zuteilt sind individuelle IPv6-Adressen<\/a>. Und, wenn ich die Idee hinter IPv6 richtig verstanden habe, soll das auch so bleiben. Eine \u00dcbersetzung von Netzwerkadressen (wie bei IPv4 \u00fcblich) soll bei IPv6 im Regelfall nicht stattfinden, sodass wirklich jedes Ger\u00e4t eine eigene IPv6-Adresse bekommt.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Und wenn dein Router einigerma\u00dfen aktuell und auch noch richtig konfiguriert ist, dann kommt er auch schon mit IPv6 klar und ist dar\u00fcber direkt aus dem Internet erreichbar. Aus allen Netzen, die selbst IPv6 unterst\u00fctzen, kann also eine VPN-Verbindung problemlos aufgebaut werden. <\/p>\n\n\n\n

Aber einen Haken gibt’s, oder?!<\/h2>\n\n\n\n

Es gibt wirklich noch einen kleinen Haken, sonst w\u00fcrde sich ja ein Blog-Artikel nicht lohnen! Und der besteht darin, dass dein VPN nur aus Netzen erreichbar ist, die IPv6 unterst\u00fctzen – und das sind eben noch nicht alle. Heimnetze, die noch nicht entsprechend konfiguriert sind, \u00f6ffentliche WLANs in Restaurants oder Hotels und auch einige berufliche Netzwerke unterst\u00fctzen noch keinen Zugang \u00fcber IPv6. Dann klappt nat\u00fcrlich auch die Verbindung nach Hause nicht.<\/p>\n\n\n\n

Die Rettung hei\u00dft hier: VPS. Ein virtueller privater Server. So etwas kannst du dir anmieten – mitsamt eigener IPv4-Adresse. Ich zahle f\u00fcr meinen um die 5 Euro im Monat und hoste mir dort gleich noch eine eigene Nextcloud<\/a> mit 100GB Speicher, \u00fcber die ich viel mehr Kontrolle habe, als \u00fcber vergleichbare Cloud-Dienstleistungen der gro\u00dfen Firmen.<\/p>\n\n\n\n

\u00dcber ein paar einfache Kommandozeilenbefehle kannst du Datenverkehr, der \u00fcber einen bestimmten Port deiner IPv4-Adresse ankommt auf eine IPv6-Adresse weiterleiten. Dieser Mechanismus erm\u00f6glicht, dass du dich – statt gleich mit deinem Router zuhause – aus IPv4-Netzen eben erst mit deinem VPS verbindest, der den Datenverkehr dann \u00fcber IPv4 tunnelt.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Und so geht das dann<\/h2>\n\n\n\n

Vorausgesetzt, auf deinem VPS l\u00e4uft Linux, kannst du dann mit dem Befehl „socat“ verschiedene Tunnel \u00f6ffnen:<\/p>\n\n\n\n

socat UDP4-LISTEN:PORT,fork,reuseaddr,su=nobody UDP6:IP-HOSTNAME:PORT<\/code><\/pre>\n\n\n\n
Beispiel:<\/p>\n\n\n\n
socat UDP4-LISTEN:80,fork,reuseaddr,su=nobody UDP6:12345.myfritz.net:80<\/code><\/pre>\n\n\n\n
So w\u00e4re der Port 80<\/code> des eigenen Servers weitergeleitet an die Adresse 12345.myfritz.net<\/code> (ebenfalls an Port 80<\/code>). Anstatt UDP-Ports weiterzuleiten (UDP4-LISTEN<\/code>) sind auch andere Protokolle (TCP4-LISTEN<\/code>) m\u00f6glich. Eine genaue \u00dcbersicht gibt es hier<\/a>.<\/p>\n\n\n\n
Script erstellen und als Service starten<\/h2>\n\n\n\n
Damit das Ganze dann auch immer funktioniert – also zum Beispiel auch nach einem Neustart deines VPS – legst du dir idealerweise noch ein Shell-Script an und l\u00e4sst es beim Systemstart als Service starten.<\/p>\n\n\n\n
Shell-Script anlegen und bearbeiten:<\/p>\n\n\n\n
sudo nano \/etc\/vpstunnel.sh<\/code><\/pre>\n\n\n\n
Das Shell-Script kann beispielsweise so aussehen:<\/p>\n\n\n\n
#!\/bin\/bash \n# Da das Skript direkt nach dem (Re)Boot ausgefuehrt wird,\n# erst einen Moment warten\nsleep 10s\n# Ggf. vorhandene socat-Instanzen beenden\nkillall socat &\n# Neue socat-Instanz(en) starten\n\/usr\/bin\/socat UDP4-LISTEN:12345,fork,reuseaddr,su=nobody UDP6:123abc456def789ghi.myfritz.net:12345<\/code><\/pre>\n\n\n\n
Script ausf\u00fchrbar machen:<\/p>\n\n\n\n
chmod +x \/etc\/vpstunnel.sh<\/code><\/pre>\n\n\n\n
Service zum Script erstellen:<\/p>\n\n\n\n
sudo nano \/lib\/systemd\/system\/vpstunnel.service<\/code><\/pre>\n\n\n\n
Der Service kann beispielsweise so aussehen:<\/p>\n\n\n\n
[Unit]\nDescription=Tunnel ins Heimnetzwerk\n[Service]\nExecStart=\/etc\/vpstunnel.sh\n[Install]\nWantedBy=multi-user.target<\/code><\/pre>\n\n\n\n
Service starten und aktivieren:<\/p>\n\n\n\n
sudo systemctl daemon-reload\nsudo systemctl enable vpstunnel.service\nsudo systemctl start vpstunnel.service<\/code><\/pre>\n\n\n\n
Fertig! Jetzt startet dein VPS immer automatisch auch deinen eben erstellten Service, der dir einen Tunnel aus einem reinen IPv4-Netzwerk auf die IPv6-Adresse deines Heimnetz-Routers erstellt.<\/p>\n\n\n\n
Noch ein kleiner Hinweis zum Schluss\u2026<\/h2>\n\n\n\n
Wenn es so noch nicht klappt, ist vermutlich eine Firewall auf deinem VPS aktiv. Und das ist auch gut so! Die blockt erst einmal allen Datenverkehr, der nicht bekannt ist. <\/p>\n\n\n\n
Du musst also deiner Firewall noch sagen, dass sie deine Ports \u00f6ffnen soll. Wie genau das geht, liest du am besten in der Dokumentation deiner Linux-Distribution nach.<\/p>\n\n\n\n
Bei Ubuntu nennt sich die Firewall beispielsweise \u201eufw\u201c – mehr dazu gibt es hier<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"
Endlich liegt die Glasfaser-Leitung, das Heimnetz ist mit einer richtig guten Geschwindigkeit ans Internet angebunden.… [Weiterlesen]<\/a><\/p>\n","protected":false},"author":2,"featured_media":278,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[24,11,36,39,37,38,8,7,40,26],"class_list":["post-277","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-heimnetzwerk","tag-homeserver","tag-internet","tag-internet-protocol","tag-ipv4","tag-ipv6","tag-selfhosting","tag-technologie","tag-tunnel","tag-vpn"],"_links":{"self":[{"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/posts\/277","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/comments?post=277"}],"version-history":[{"count":4,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/posts\/277\/revisions"}],"predecessor-version":[{"id":283,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/posts\/277\/revisions\/283"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/media\/278"}],"wp:attachment":[{"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/media?parent=277"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/categories?post=277"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.richard-becker.net\/blog\/wp-json\/wp\/v2\/tags?post=277"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}