Eigener Relay-Server a la quickconnect als Lösung des DS-Lite-Problems?

[Senten]

Hallo liebe Community,

ich bin bereits seit Oktober auf der Suche nach einer Lösung für mein IPv6-DS-Lite-Problem.
Um meine DiskStation von außerhalb (aus einem IPv4--Netz) erreichen zu können, bin ich zur Zeit auf Synology's Relay Service "quickconnect" angewiesen. Dieser ist allerdings wahnsinnig langsam (vermutlich weil die Server irgendwo in Taiwan stehen oder so). Einer meiner bisherigen Versuche war die Nutzung eines Portmappers (feste-ip.net). Dies funktioniert, beschränkt mich aber in soweit, dass keine UDP-Verbindungen möglich sind und meine Video Station und Audio Station von extern nicht nutzbar sind - Da ist quickconnect immernoch besser.

Nun frage ich mich: Was wäre denn, wenn ich meinen eigenen Relay-Server in Deutschland hätte? Ein virtueller Server sollte nicht allzu teuer sein (jedenfalls günstiger als ein blöder Business-Anschluss meines ISPs ...). Nur wie? Wer bietet sowas an? Oder brauche ich einen vServer (zB Strato) und kann mir so einen Dienst selber einrichten?

Eine weitere Möglichkeit wäre eventuell ein 4in6-Tunnel, aber da bin ich noch nicht zu 100% durchgestiegen. Außerdem bräuchte ich für den Tunnel ohnehin eine IPv4-Adresse, richtig?

Ich würde mich sehr freuen, sollte jemand eine Lösung anbieten können.

Vielen Dank!

=======================================================================

Update 13:38

Also ich habe nun zumindest schonmal einen vServer gefunden mit 1Gbit/s-Anbindung und statischer IPv4- sowie IPv6-Adresse für den Preis von 1,29€/Mon: http://comsitec.de/cloudhosting.php
Reicht die Hardware?? Ich habe keine Ahnung wieviel Ram oder CPU-Leistung für einen einzelnen 4in6-Tunnel benötigt wird.

Des weiteren habe ich in einem alten Foren-Beitrag von 2009 folgende Anleitung gefunden:

------------------------------------------------
Also hab ich mir wieder einen vServer mit garantierten 100 Mbits und natürlich ner Traffic Flat geholt. CPU hab ich 2 vCores und RAM waren 2 GB. Natürlich waren ne statische v4 und ne v6 auch dabei. Also praktisch nen mini Setup

Das OS war dann ein Ubuntu Server.

Die benötigten Pakete sind screen und socat.

Dann einfach via nem Editor die /etc/rc.local öffnen und vor der Zeile mit exit 0 folgendes erstellen

Zitat:
screen -dmS socat1 socat TCP4-LISTEN:80,fork,su=nobody TCP6:[IPv6-Ziel-Adresse]:80

Die IPv6-Ziel-Adresse natürlich mit passender Adresse von zuhause ergänzen.
Screen hat den vorteil, dass im nachhinein auch einfach ein Tunnel beendet werden kann.
Die beiden Ports dürfen btw abweichen, also kann etwas von außen auf Port 80 angesprochen werden und intern kann ein anderer Port verwendet werden, wie mans gebrauchen kann.

Nachdem der Eintrag erstell wurde entweder das gleiche einmal in den Kommandozeile hauen, dann läuft der Tunnel direkt oder einfach neustarten.
Der/die Tunnel werden automatisch bei jedem start geöffnet.

Quelle: http://www.tweakpc.de/forum/linux-bzw-non-ms-and-programme/100028-4in6-tunnel.html
------------------------------------------------

Ob das nun die Lösung meines Problems sein kann, weiß ich noch nicht. Überträgt ein solcher Tunnel jeglichen Traffic? UDP wie TCP?

 

[heavygale]

Ich nutze hierfür einen ganz kleinen vServer, der mich im Jahr nicht einmal 5€ kostet (das war ein kurzzeitiges Angebot bei meinem Hoster, für den kleinsten vServer wären aktuell min. 2€ mtl. fällig). Von der Leistung ist der natürlich sehr eingeschränkt, aber um IPv4 Anfragen über IPv6 an meine DS weiter zu reichen genügt er allemal.
TCP-Anfragen leite ich mit socat weiter, theoretisch sollte das auch für UDP möglich sein. Mit UDP habe ich mich noch nicht eingehender beschäftigt, da ich auch mit TCP alleine das DSM inkl. Audio Station problemlos nutzen kann.
Inwieweit sich das von dem unterscheidet, was feste-ip.net anbietet kann ich nicht sagen, da ich mir deren Dienst bisher nicht angesehen habe.

EDIT: Huch, du hast deinen Beitrag ergänzt. Also mein vServer hat deutlich weniger Leistung (1 vCore, 300MB RAM) und auch nur 10mbit/s Anbindung. Damit kann er aber die 6mbit/s die ich zuhause im Upload habe problemlos durchschaufeln. Mit dem Code-Beispiel oben würdest du nur TCP weiterleiten, socat kann aber auch UDP (womit ich mich mangels Bedarf wie gesagt noch nicht beschäftigt habe).

 

[Senten]

@heavygale Vielen Dank schonmal für deine Antwort, dann scheine ich ja schonmal auf dem richtigen Weg zu sein
Darf ich fragen bei welchem Anbieter du deinen Server hast? Bei Comsitec gibt es den oben genannten vServer mit 1x3GHz und 128MB RAM. Der RAM kommt mir etwas klein vor (reicht der überhaupt fürs OS? xD) Außerdem sind bei Comsitec die AGBs nicht einsehbar und ich sehe nirgends etwas von einer Mindestvertragslaufzeit oder automatischen Verlängerung, sprich ich traue dem Braten nicht so richtig ^^'

 

[heavygale]

128MB RAM genügen um ein Linux in minimaler Form laufen zu lassen ja, nur viele Anwendungen kannst du da dann natürlich nicht nebenbei betreiben. Für einen Proxy, den vmtl. auch nur wenige Nutzer parallel ansprechen genügt das aber vermutlich.

Ich bin seit eh und je Kunde bei netcup, eine Ubersicht der vServer-Angebote findest du hier, der günstigste Preis gilt nur bei längerer Laufzeit. Ich habe dort aktuell 5 verschiedene (v)Server gemietet, einer davon mit dedizierten CPUs alle anderen mit vCores - Preis, Leistung und Support waren immer erstklassig.
Ich kann dir auch zum Test eine TCP-Weiterleitung auf deine IPv6-Adresse einrichten, wenn du prüfen möchtest, ob damit für dich das meiste wie gewünscht funktionieren würde. Dazu einfach mal auf "Browser-Chat" in meiner Signatur klicken.

PS: Wenn du dich für netcup entscheidest kann ich dir einen 5€ Neukundengutschein anbieten mit dem ich zudem eine Werber-Provision erhalte.

 

[Senten]

Also der VPS 100 G7SEa1 12M gefällt mir ganz gut und mit 12 Monaten Laufzeit kann ich mich auch anfreunden. Gibt es eine Kündigungsfrist oder müsste ich den manuell verlängern? Du kannst mir gerne deinen Referral-Code oder -Link zukommen lassen ;-)

 

[heavygale]

Kündigen kannst du mit einer Frist von einem Monat zum Monatsende direkt im Kundenpanel (CCP), dort wird auch immer der Termin angezeigt, zu dem die Kündigung wirksam wird wenn man jetzt klicken würde. Je nach Auswahl auf der Produktseite variiert die Laufzeit. Verlängern tut sich der Vertrag automatisch, bis gekündigt wird. Mindestvertragslaufzeit bedeutet wie lange der Vertrag immer läuft, also alle wie viel Monate man kündigen kann. Abrechnungsperiode bedeutet wie oft du eine Rechnung über wie viele Monate auf einmal bekommst. Bist du unzufrieden kannst du innerhalb von 30 Tagen die Zufriedenheitsgarantie nutzen und bekommst dein Geld zurück.
Beachte, dass du bei einem vServer das Betriebssystem selbst verwalten, absichern und aktualisieren musst (wird dir die Kiste beispielsweise gehackt und zum Teil eines Botnetzes, so bist du für evtl. entstehende Schäden haftbar). Im Verwaltungspanel (SCP) kannst du unter Medien -> Images ein vorgefertigtes OS installieren lassen (z.b. Debian Jessy -> Minimal) und alle nicht erforderlichen Dienste deinstallieren - vorinstalliert wird meist nämlich Debian Jessy mit Froxlor (also inkl. MySQL, Apache, Mailserver und Co) was man nicht zwingend benötigt. Fragen dazu beantworte ich auch gerne im Chat.
5€ Rabatt auf die erste Rechnung bekommst du mit diesem Gutscheincode: 36nc14849191240 - einzulösen im Warenkorb.
Weitere Codes, wenn der obige bereits eingelöst sein sollte: 36nc14762801080 / 36nc14745799524 / 36nc14544203670 / 36nc14291245198

 

[Senten]

Server ist bestellt. Ich werde berichten, sobald alles läuft ODER ich auf Probleme stoße ;-) Vielen Dank schonmal bis hierher.

 

[heavygale]

Top, viel Erfolg und Spass damit
Bezüglich DNS-Einträge (wenn du denn mit einer Domain arbeitest) würde ich empfehlen den A-Record auf den vServer zu setzen und den AAAA-Record direkt auf die DS. Dann müssen Anfragen die per IPv6 kommen nicht den Umweg über den Proxy gehen, sondern landet direkt am NAS. Dann muss man nur beachten, dass man im Proxy die Ports unverändert weiterleitet und nicht ändert, weil man sonst per v4 mit anderen Ports anfragen muss als mit v6 und dann wird es hässlich.

 

[Senten]

Ok ich habe zum testen mal folgendes command abgesetzt:

screen -dmS socat1 socat TCP4-LISTEN:443,fork,su=nobody TCP6:ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff:5001

die IPv6 adresse ist natürlich grob anonymisiert xD

Wenn ich jetzt meinen Browser zu https://[IP des vServers] navigiere, passiert nix. ^^

 

[Thonav]

Bei https://ipdesservers:5001 auch nicht?

 

[Senten]

also mit socat running bekomme ich folgende meldung:

[IP des vServers] hat die Verbindung unerwartet geschlossen. (ERR_CONNECTION_CLOSED)

Schalte ich socat ab erhalte ich eine andere:

Die Webseite unter [IP des vServers] ist möglicherweise vorübergehend nicht verfügbar oder wurde dauerhaft an eine neue Webadresse verschoben. (ERR_TUNNEL_CONNECTION_FAILED)


Muss ich irgendetwas beachten? Ich habe auf dem frisch installierten server nichts anderes gemacht als nen user einzurichten, ssh für root zu deaktivieren und eben dieses command oben abzufeuern.

 

[Senten]

OK jetzt habe ich die IPv6-Adresse in eckige Klammern gesetzt, jetzt lädt er wenigstens irgendwas, bekommt allerdings nen Time-Out.

Wie hast du denn zB die Weiterleitung für DSM mit socat realisiert?

 

[heavygale]

Mein Kommando sieht so aus:

socat TCP4-LISTEN:443,fork,su=nobody TCP6:[2a02:8071:328d:XXXXX:XXXX:XXXX:XXXX:XXXX]:443

Hast du zuhause im Router eine IPv6-Port-Weiterleitung eingerichtet?
Sprich, ist die DS von extern überhaupt über diese IPv6-Adresse erreichbar?

EDIT: Bzw. funktioniert die IPv6-Anbindung deines Servers? Evtl. muss das erst noch eingerichtet werden. (ping6 ipv6.google.com zum testen)

 

[Senten]

Es besteht eine Freigabe über myFritz, die im Falle von IPv6 auch sofort auf die IPv6-Adresse zielt... mhm

 

[heavygale]

Kannst du die DS-Seite mit wget abrufen?
wget https://[2a02:8071:328d:XXXXX:XXXX:XXXX:XXXX:XXXX]:5001

Bei mir erzeugt das folgende Ausgabe:

--2017-01-20 16:53:31-- https://[2a02:8071:328d:XXXXX:XXXX:XXXX:XXXX:XXXX]/
Verbindungsaufbau zu [2a02:8071:328d:XXXXX:XXXX:XXXX:XXXX:XXXX]:5001... verbunden.
Der Zertifikat-Eigentümer paßt nicht zum Hostname »»2a02:8071:328d:XXXXX:XXXX:XXXX:XXXX:XXXX««.

Sprich er kann sich verbinden, aber ruft die Seite nicht ab, da ich ein SSL-Zertifikat habe, das auf die Domain und nicht auf die IP-Adresse ausgstellt ist.
Kann er sich bei dir auch verbinden? Hat der ping6 ipv6.google.com ebenfalls geklappt?

 

[Senten]

Der wget bringt bei mir auch einen Time Out.

Innerhalb meines Heimnetzes kann ich die IPv6-Adresse erreichen (2a02:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx). Extern habe ich akut leider keine Möglichkeit das zu testen, Mobilfunk lebt ja leider noch im Jahr 1997 :-/ Ich suche mal nach einer Internetseite mit der ich IPv6-Adressen testen kann (gibts doch sicher).

EDIT: Ok die Adresse ist auch über eine Test-Seite nicht erreichbar.

In meiner Fritzbox ist die Adresse für diverse Ports freigegeben (Internet->Freigabe->IPv6).

Übersehe ich eine Einstellung die in DSM notwendig ist?

 

[Senten]

Ich breche ins essen ... Ich kann die IPv6-Freigabe für meine DiskStation nicht anpassen... Sobald ich in der Fritzbox auf Speichern drücke erhalte ich die Fehlermeldung "Ein Gerät mit dieser Interface-ID wurde bereits angelegt."

Aus Verzweiflung habe ich die Fritzbox auf Werkseinstellungen zurück gesetzt und erhalte... "Ein Gerät mit dieser Interface-ID wurde bereits angelegt."

Also erstelle ich einen Export der Config und finde mit der Interface-ID folgenden Eintrag:

landevices {

ip = 192.168.1.2;

name = "DiskStation";

neighbour_name = "";

mac = xx:xx:xx:xx:xx:xx;

auto_etherwake = no;

ifaceid = ::xxxx:xxxx:xxxx:xxxx;

staticlease = no;

allow_pcp_and_upnp = no;
}

Also: KEINE Freigabe existiert... Was soll das?!

 

[Senten]

Nachdem ich die Systemsprache der Firtzbox auf englisch gestellt habe (!!!), eigentlich weil ich die englische Fehlermeldung zum googlen wissen wollte, konnte ich dann plötzlich die Portfreigaben erstellen ... . Der wget läuft jedoch weiterhin auf einen Time Out. Ich stehe vollkommen auf dem Schlauch.

 

[heavygale]

Ich kann die IPv6-Freigabe für meine DiskStation nicht anpassen... Sobald ich in der Fritzbox auf Speichern drücke erhalte ich die Fehlermeldung "Ein Gerät mit dieser Interface-ID wurde bereits angelegt."

Möglicherweise bist du verwirrt, weil die Freigaben bei v6 etwas anders zu Verwalten sind in der FritzBox als für v4. Bei v4 legst du einzelne Port-Freigaben an (egal für welches Gerät), während man bei v6 eine Freigabe für ein Gerät anlegt und darin dann mehrere Ports freigeben kann. Deine Beschreibung klingt, als hättest du versucht die DS mehrfach anzulegen, anstatt in dem bestehenden Eintrag weitere Portfreigaben hinzuzufügen.

Auf meine Frage ob ping6 ipv6.google.com geht hast du noch nicht geantwortet. Damit wollte ich sicherstellen, dass IPv6 auf deinem vServer funktional ist.

Eine Einstellung im DMS sollte nicht nötig sein, wenn du sie lokal per IPv6 aufrufen kannst. Die IPv6-Portfreigabe in der DS muss halt nur auf die richtige Adresse gehen mit den richtigen Ports. ^^

 

[Senten]

Die IPv6-Freigabe habe ich schon richtig erstellt aber meine Fritzbox scheint irgendeinen Bug zu haben. Nach dem Sprachwechsel (oder wahrscheinlich eher dem daraus resultierenden Neustart der Fritzbox) ging es ja dann.

Auf meine Frage ob ping6 ipv6.google.com geht hast du noch nicht geantwortet. Damit wollte ich sicherstellen, dass IPv6 auf deinem vServer funktional ist.

Entschuldige, das habe ich vergessen ^^

:~$ ping6 ipv6.google.com
PING ipv6.google.com(waw02s08-in-x0e.1e100.net) 56 data bytes
--- ipv6.google.com ping statistics ---
63 packets transmitted, 0 received, 100% packet loss, time 62496ms

Also wohl nein, funktioniert nicht.

In der Zwischenzeit habe ich den vServer mal versucht abzusichern:

- ssh port geändert
- ssh login as root deaktiviert
- ssh key authentication aktiviert
- ssh password authentication deaktiviert

Reicht das?