Probleme bei installation von Openmediavault

[6equj5]

Bist du sicher, dass die Fritz!Boxen jeglichen IPv6 Traffic einfach hereinlassen?

Nein, das hoffe ich natürlich auch nicht. Aber da geht's ja schon los mit der Diskutiererei.
Und eben, was ist mit Chinaware?

Hatte letztens Probleme mit DNS Sinkhole. Webseiten hatten immer wieder Unmengen Werbung. Mein Verdacht ... ipv6.

Ich hab jetzt mal in meinem Fritz alles abgedreht, wo ipv6 dransteht. Mal sehen, ob es für irgendwas wichtig ist.

 

[TErxleben]

Bist du sicher, dass die Fritz!Boxen jeglichen IPv6 Traffic einfach hereinlassen? Also ohne explizite Konfiguration, meine ich. Das würde mich tatsächlich sehr überraschen.

Hör doch auf. Auf Fritzboxen et. al. gibt es keinen Menüpunkt, der auch nur im entferntesten an Firewall denken lässt.

Meine Erwartung an eine Fritz!Box ist, dass ich eingehenden Traffic erlauben kann. Möglicherweise mit identischem Aufwand für v4 + v6. Nur NAT fällt weg. Und alleine das ist ein riesengroßer Vorteil - NAT ist (aus meiner SIcht) die Hölle, sowohl ein- als auch ausgehend.

95% aller leisten genau das NICHT für IPv6. Wo siehst du eine "Hölle"? Was hindert dich daran, hinter einem NAT-GW eine FW zu betreiben? Womöglich der Verwaltungsaufwand?

Im übrigen ist deine Formulierung "falsch herum". Ich brauche keine Firewall, die unerwünschten Traffic unterbindet. Ich brauche eine Firwall, die erwünschten Traffic erlaubt. Dieser "kleine", aber fundamentale, Unterschied in den Policies hat dramatische Effekte...

Der Gedankengang ist ja genau richtig. Die Realität ist ein anderes Paar Schuhe. Ein schnödes NAT bietet im übrigen genau das. Kein Zugriff von außen, solange keine Weiterletung vorhanden ist.

 

[ThoSo]

Witz?
Kuh hab ich keine daheim. Könnte sie auch schlecht transportieren in meinem Smart. Milchkartons schon. Sogar auf dem E-Bike.

Also ... zu was bräucht ich nun ipv6?

Also mal ernsthaft - in diesem Thread ging es um ein Problem mit OMV auf einigen wenigen Systemen bei der Bereitstellung von DHCPv6 während der Installation. Den Thread hatte ich für AlexanderB hier nochmals verlinkt, weil er auf das Problem gestoßen ist und hier steht wie es gelöst werden kann. Er hatte sich hier dafür nur bedankt.

Dann hat der Herr @6equj5 hier nicht besseres zu bieten, als darüber zu lamentieren was "nix taug" - erst ist es OMV, dann IPv6 und dann kommt auch gleich noch Chinaware hinterher! Das ganze ohne eine vernünftige Begründung - einfach mal so in den Raum posaunt!
Übrigens hast noch Russland vergessen.

Hatte letztens Probleme mit DNS Sinkhole. Webseiten hatten immer wieder Unmengen Werbung. Mein Verdacht ... ipv6.
Ich hab jetzt mal in meinem Fritz alles abgedreht, wo ipv6 dransteht. Mal sehen, ob es für irgendwas wichtig ist.

Dreh am besten auch noch in deinem Webbrowser (Edge, Chrome und Co) die Benachrichtigungsfunktion ab - da kommt ziemlich viel gefährliche Werbung im Internet rüber. da braucht es kein DNS, IPv6 für!

Wenn Dir der Aufwand für die Einstellung IPv6 zu viel ist, oder du dir intern kein eigenes IPv6 privates Netzwerk erstellen willst, kein Problem - lass es einfach und schalte es ab. Du verpasst ja nix.
Aber verschone uns bitte - Danke!

@TErxleben

Mich deucht, du warst überhaupt noch nie IPv6-only im Internet. 70% ist dann nicht mehr erreichbar.

Könnte auch daran liegen, das 30% bisher nur reines IPv6 (oder dual Stack) anbieten/können und der Rest noch bei reinem IPv4 ist. Aber das wird sich irgendwann auch mal ändern

Einige Web Hoster sehen noch nicht die Notwenigkeit ein, IP4 und IP6 zu fahren - leider auch meiner.

 

[Johannes S]

Mich deucht, du warst überhaupt noch nie IPv6-only im Internet. 70% ist dann nicht mehr erreichbar.

Das mag für das digitale Entwicklungsland Deutschland zutreffen, mittlerweile werden aber die meisten Neuzugänge zum Internet IPv6-only verteilt. China, Indien etc. hatten halt nie den Ansatz einer Chance so verschwenderisch mit IPv4-Space umzugehen wie hierzulande.

Schon mal versucht IPv5 zu tunneln?

Welches ipv5? Zumindestens wireguard vpn per IPV6 klappt super.

Fummelst du dauernd an einer FW?

Nein, wozu? Eingehende Ports sind dicht, öffnen tue ich sie nur bei Bedarf. Das ist bei IPv4 und IPv6 doch in so ziemlich jeder Firewall der gleiche Vorgang.

Wie verbindet sich standardmäßig denn nahezu jedes Gadget dieser Welt? Mit IPv6?

Per DHCP für Ipv4 und DHCPv6 oder SLAAC per IPv6. Ich sehe das Argument nicht und vor allen: Consumer-Geräte und deren Krankheiten interessieren mich nicht, ich dachte wir sind hier in einen IT-Forum und nicht bei der Computer-Bild?

Wenn ich nun noch mit der beschissenen Notation anfange, wird die Liste ellenlang.

Wie will man sonst den deutlich größeren Adressraum abbilden? In normaler Integerzahlung wären die doch sonst schlicht zu umständlich. Und dass man den so großzügig dimensioniert hat, war schon vernünftig, sonst hätte man irgendwann Ipv8 gebraucht.

Konfiguration ist viel mehr Aufwand.

Ich weiß ja nicht, ob ich diese Aussage ernst nehmen soll von jemanden, dem ProxmoxVE Defaults auch zu umständlich sind und deshalb gerne die ganze Security abschalten will.

Es bietet keinerlei Vorteile.

Wenn man alles nur aus der "hauptsache einfach"-Heimanwendersicht sieht, sicher, die ist aber nicht der einzige Maßstab auf der Welt.

 

[UdoB]

Wo siehst du eine "Hölle"?

NAT (und die verbreitete Variante "Masquerading") zerstört Kontext. NAT ersetzt die Quell-/"SRC"-Adresse durch eine andere. Oft, aber nicht immer, durch die des Routers. Ich administriere ein paar (wenige) Router, die jeweils ein Dutzend Netze versorgen. Teilweise mit SRC-Nat, teilweise mit DST-Nat, teilweise mit ausgehender Maskerade. Es ist ätzend. "Alles" kommt von derselben Adresse. Wie soll man da Filterregeln bauen können - oder auch überhaupt nur Verbindungen wiedererkennen können?

Damit überhaupt eine bidirektionale Kommunikation zustande kommt, braucht es zwingend komplizierte (aber "abgehangene" und gut funktionierende) Software: "connection tracking". Dieser eine Aspekt alleine ist schon anstrengend: jegliche Fehlersuche wird drastisch dadurch erschwert, dass man diese Tabelle beobachten und jeweils auswerten muss. Viele der klassischen Dienste wie SIP/VOIP/H.323/usw., die mit mehr als einer einzigen Verbindung arbeiten, brauchten zusätzlich ein aktives Stück Software auf dem Router, damit das ganze Konstrukt überhaupt funktioniert. Heutzutage ist das allerdings entschärft: es geht fast immer alles "gemultiplexed" durch eine http/2/3-Verbindung; und wer betreibt heute noch eine (Voip-) Telefonanlage? (Die Fritz!Box zählt nicht, die sitzt für Voip "außen" am Router.)

Ganze Familien von externen STUN/TURN-Servern existieren nur damit einiges, was NAT kaputt macht, dennoch funktionieren kann.

Es ist die Hölle - oder stammt zumindest von dort... ;-)

/RANT

Nachtrag: 1) NAT ist KEIN Sicherheitsmechanismus und 2) IPv6 eliminiert die übliche Ausrede "es gibt zuwenig Adressen" vollständig.

 

[TErxleben]

Es ist ätzend. "Alles" kommt von derselben Adresse. Wie soll man da Filterregeln bauen können - oder auch überhaupt nur Verbindungen wiedererkennen können?

NAT arbeitet eben portorientiert. Hänge eine FW vor den NAT-Router oder schalte diese parallel. Das geht auch mit IPv4. Oder aktiviere auf dem Router den Bridgemodus. Zwischen unterschiedlichen Netzen nutzt man sonst eine VPN-Verbindung und schon wieder hat man ein absolut transparentes Netz. Von derselben IP kommt auch bei NAT nicht alles, sondern von unterschiedlichen Gateways.

Ein identisches Verhalten von IPv4 und IPv6 lässt sich problemlos herstellen.
Mir ist IPv4 allemal lieber, als die etlichen unterschiedlichen Fußfallen, die bis heute IPv6 mitbringt.

 

[TErxleben]

Könnte auch daran liegen, das 30% bisher nur reines IPv6 (oder dual Stack) anbieten/können und der Rest noch bei reinem IPv4 ist. Aber das wird sich irgendwann auch mal ändern

Einige Web Hoster sehen noch nicht die Notwenigkeit ein, IP4 und IP6 zu fahren - leider auch meiner.

Das ist doch mein Reden. IPv6 ist bis heute ein ewiger Problembär. Wer nun dran Schuld ist, interessiert mich nicht. Solange IPv6 nicht die gleiche Stabilität mitbringt wie IPv4 wird das nichts. Irgendwie sind die IPv4-Adressen, anders als seit 2019 beschrieen, immer noch nicht "alle".

 

[proxuser77]

Welche Nachteile denn? Und "nicht durchsetzen" halte ich für ein Gerücht, große Teile der Welt hätten ohne schlicht gar kein Internet. Was korrekt ist: Leute die vorher mit NAT-Gepfusche durchgekommen sind, machen das munter weiter und halten das für "Sicherheit", das spricht aber nicht gegen IPv6, sondern gegen derartige "Admins"

Ich bin so einer. ;-) Ich betreibe sogar einen IPv4-only-Mailserver. Warum? Weil jeder Client und Mailserver weltweit irgendwie auf IPv4-Ressourcen zugreifen kann, umgekehrt aber nicht. Warum sollte ich das also aktivieren und einen Dual-Stack betreiben und damit praktisch zwei Netzwerke managen?

Abgesehen davon habe ich selbst an meinem Heim-Internetanschluss nicht einmal IPv6, weil ich bei meinem Kabel-Provider die Wahl zwischen IPv6 plus CGNAT oder IPv4 mit öffentlicher IP habe. Und nein, ersteres tue ich mir nicht an. ;-)

Denn nochmals: Selbst Leute bei IPv6-ISPs , können meine IPv4 Dienste (nein den Mailserver hoste ich nicht zuhause), dank CGNAT erreichen. IPv4-only Clients könnten aber keine IPv6 only Dienste erreichen. Nicht einmal ich selbst könnte also von von meinem Handy aus auf meine Nextcloud zugreifen (und ja die hoste ich zuhause), weil mein Mobilfunkprovider nach wie vor nur IPv4 anbietet.

Für mich ist IPv6 daher momentan schlicht zusätzlicher Aufwand ohne wirklichen Nutzen. Wenn ich irgendwann einen konkreten Anwendungsfall dafür habe oder mein Provider mir vernünftiges Dual-Stack ohne CGNAT anbietet, sieht das natürlich wieder anders aus. Oder wenn die Welt irgendwann IPv4 abschaltet – aber das wird vermutlich nicht mehr zu unseren Lebzeiten passieren.

 

[Johannes S]

NAT arbeitet eben portorientiert. Hänge eine FW vor den NAT-Router oder schalte diese parallel.

Das nützt dir aber halt nichts für Szenarien wie dass man z.B. nach einer Unternehmensfusion zwei Unternehmensnetze, die intern jeweils das gleiche private Subnetz nutzen (besonders schön bei 10.0.0.0 weil das ja so schön einfach ist) miteinander verheiraten will. Oder beim in Fritzboxen eingebauten Wireguard und anderen vpns , wo beide Endpunkte dann 192.168.178.0er Adressen haben. Man kann natürlich auch in solchen Szenarien dann weiter naten, nur das wird dann halt a) frickelig und b) noch komplizierter.

Weil jeder Client und Mailserver weltweit irgendwie auf IPv4-Ressourcen zugreifen kann, umgekehrt aber nicht

Das halte ich für ein Gerücht, sobald alle Leute außerhalb Europas und Nordamerikas ins Internet wollen, wird ein relevanter Teil das nur per IPv6 tun können.

 

[TErxleben]

Das nützt dir aber halt nichts für Szenarien wie dass man z.B. nach einer Unternehmensfusion zwei Unternehmensnetze, die intern jeweils das gleiche private Subnetz nutzen (besonders schön bei 10.0.0.0 weil das ja so schön einfach ist) miteinander verheiraten will. Oder beim in Fritzboxen eingebauten Wireguard und anderen vpns , wo beide Endpunkte dann 192.168.178.0er Adressen haben. Man kann natürlich auch in solchen Szenarien dann weiter naten, nur das wird dann halt a) frickelig und b) noch komplizierter.

In so eine Fusion lauern schon Fallen. Ohne riesen Aufriss sind sie aber allemal lösbar.

 

[UdoB]

Irgendwie sind die IPv4-Adressen, anders als seit 2019 beschrieen, immer noch nicht "alle".

Na, komm! Diese Aussage ist unangebracht. Versuch mal für zuhause ein /28 zu bekommen :-(

NAT kaschiert den Adressmangel. Und es tut dies vielleicht real hinreichend. Aber nur weil wir Schmerzen gewohnt sind.

Klar ist IPv6 mit 10^18 Adressen pro Subnetz etwas übertrieben, aber...

 

[TErxleben]

Na, komm! Diese Aussage ist unangebracht. Versuch mal für zuhause ein /28 zu bekommen :-(

NAT kaschiert den Adressmangel. Und es tut dies vielleicht real hinreichend. Aber nur weil wir Schmerzen gewohnt sind.

Klar ist IPv6 mit 10^18 Adressen pro Subnetz etwas übertrieben, aber...

Vielleicht wäre es schlauer, irgendwelchen Buden, wie dem US-Militär mal ein paar der 200mio von 4.3mrd Adressen zu entziehen?
Daneben gibt es jede Menge andere Buden, die auf ähnlich großen Pools sitzen.
Das eine Fantastilliarde IPs irgendwie mächtig nach Elfenbeinturm riecht, steht außer Frage.
Lieber ein paar Schmerzen durch Tricksereien, als eine latent instabile Verbindung.
Warum steigen die Klotzköpfe, die die achso alte Technik einsetzen, nicht einfach um?
Ich soll in Muckelbuden aber in die Vorreiterrolle preschen?

 

[proxuser77]

Das halte ich für ein Gerücht, sobald alle Leute außerhalb Europas und Nordamerikas ins Internet wollen, wird ein relevanter Teil das nur per IPv6 tun können.

Mit denen habe ich aber keinen Mailverkehr, und ich wage mal zu behaupten, dass grössere ISPs oder Mailprovider auch dort irgendweinen Weg finden, mit IPv4 only Mailservern zu kommunzieren. Mein Spam-Folder und meine Logs suggerieren das zumindest.

 

[proxuser77]

Das nützt dir aber halt nichts für Szenarien wie dass man z.B. nach einer Unternehmensfusion zwei Unternehmensnetze, die intern jeweils das gleiche private Subnetz nutzen (besonders schön bei 10.0.0.0 weil das ja so schön einfach ist) miteinander verheiraten will. Oder beim in Fritzboxen eingebauten Wireguard und anderen vpns , wo beide Endpunkte dann 192.168.178.0er Adressen haben. Man kann natürlich auch in solchen Szenarien dann weiter naten, nur das wird dann halt a) frickelig und b) noch komplizierter.

Ja, wenn man zwei Unternehmensnetze miteinander verbinden will, ist RFC1918 durchaus eine Challenge. Allerdings gibt es dort mehr als genug Adressen, um k.A. ein mittelgroßes Land mit Internet zu versorgen. Die eigentliche Herausforderung ist daher eher, dass die Wahrscheinlichkeit ziemlich hoch ist, dass auf beiden Seiten dieselben privaten IP-Ranges verwendet werden.

Aber diese Challenge verschwindet ja nicht einfach mit IPv6, weil IPv6-only in der Praxis nach wie vor keine wirklich realistische Option ist. Oder anders gesagt: Wenn du IPv6 einführst, machst du faktisch erst einmal Dual-Stack und wirst deinen Clients wahrscheinlich weiterhin IPv4-Adressen geben.

Du hast dann also nicht ein Netzwerk weniger zu managen, sondern im Grunde zwei Adressierungs- und Netzwerkstacks. ;-)

 

[Johannes S]

Vielleicht wäre es schlauer, irgendwelchen Buden, wie dem US-Militär mal ein paar der 200mio von 4.3mrd Adressen zu entziehen?

Abgesehen davon, ob das geopolitisch realistisch ist, wäre das auch nur ein Tropfen auf den heißen Stein und ein weiteres Aufschieben mit allen damit verbundenen Schmerzen. Alleine in China gibt es über 800 Millionen User von IPv6 laut der Wikipedia. Im gleichen Artikel steht auch, dass laut Google immerhin 45-50% ihres Traffics IPv6 sind (je nach Wochentag und Herkunftsland). So kommen aus Frankreich, Deutschland und Indien mittlerweile deutlich mehr als 50% über IPv6 zu Google: https://en.wikipedia.org/wiki/IPv6_deployment

Das ist von "Hat sich nicht durchsetzen können" weit entfernt, selbst in unseren digitalen Entwicklungsland sind wir immerhin bei einer Adoptionsrate von 68% angekommen, auch wenn das in manchen Unternehmen oder Behörden (wie leider auch meinen Arbeitgeber) noch nicht angekommen ist, weil Leute, die ihre Ausbildung mal vor 20 Jahren gemacht haben glauben, dass NAT und IPv4 zusammen "sicherer" sind als IPv6 und nichts neues lernen wollen. Das kann nun wirklich nicht der Maßstab sein, Homelabs auch nicht.