AW: Glasfaser IPv6 kein VPN usw.
Gar nix.
Das VPN der Fritz!Box ist geeignet, um zwei LANs miteinander, oder "Road Warrior" (So nennt man die Kopplung einzelner Geräte, z.B. des Smartphones oder eines Laptops) mit dem heimischen LAN zu verbinden.
Erstens endet das VPN damit im LAN (Also nicht durch eine Firewall geschützt) und zweitens greifen Port-Umleitungen nicht, da ja davon ausgegangen wird, daß alle Geräte "direkt" über ihre LAN-IPv4 miteinander kommunizieren.
D.h. Du müßtest die Port-Umleitungen dann bereits auf dem vServer konfigurieren.
Außerdem würde die Fritz!Box bei diesem Aufbau auch noch die IPv6-Konnektivität kaputtmachen.
Mal ganz davon abgesehen, daß die Implementierung des VPN auf der Fritz!Box zwar benutzerfreundlich und einfach ist, aber auf dem vServer z.B. StrongSwan gebraucht würde, vor dem Rotz habe auch ich kapituliert.
Wenn man das vom Prinzip her so machen will (Und das kann man durchaus), dann mit einem OpenWrt-Router oder einem mit pfSense/OPNSense, also z.B. einem Archer C5 oder C7 (Das ist das, was Kossmann einem da verkauft).
Meine Lösung ist individualisiert.
Ich bin auch kein Fan des rückwärtsgewandten Ansatzes von Kossmann, aber es ist auch klar, warum die das so anbieten:
Die verkaufen Dir einen Router unter oder bestenfalls zum EK (Ein Archer C5 kostet ca. 73 EUR, ein Archer C7 ca. 95 EUR, die KBOX als umgelabelter Archer aber nur 60 EUR) und einen Dienst, der Dich dann monatlich 10 EUR kostet.
Da Du damit das eigentliche Problem gar nicht löst, sondern nur die Rahmenbedingungen wieder herstellst für die Du mal eine Lösung hattest, wirst Du diesen Dienst auch nie wieder los.
Nach 2 Jahren hast Du damit 300 EUR bezahlt und wirst auch immer weiter zahlen, denn das wirkliche Problem ist ja weiterhin ungelöst ...
Mein Ansatz löst das Problem:
Der OpenWrt-Router wird als Router bzw. Firewall hinter den Genexis geklemmt, die Serverdienste - u.a. ein OpenVPN-
Server auf dem Archer selber - werden entsprechend per IPv6 erreichbar gemacht (Denn per IPv4 bist Du ja von außen nicht mehr erreichbar).
Für die Sachen, die man sowieso besser nicht direkt ins Internet freigibt (Willst Du, daß jemand Deine Heizung im Sommer auf 25 Grad hochdreht?), ist man mit dem VPN praktisch fertig:
Über das VPN kommst Du (oder auch Familienmitglieder) problemlos und
sicher von unterwegs ins Heimnetz und damit an alles, was dort erreichbar ist.
Es ist auch kein Problem, neben dem VPN diverse andere Server - z.B. oscam - ebenfalls direkt per IPv6 erreichbar zu machen.
Dieser Lösungsansatz kostet - außer dem Kaufpreis des Archer - erst einmal gar nix und ist zukunftssicher, Du bist dann mit der Migration auf IPv6 fertig, während die KBOX sie nur vertagt.
Es verbleibt natürlich erst einmal ein anderes Problem:
Andere Anschlüsse sind teilweise noch gar nicht IPv6-tauglich, d.h. Du kannst aus einem IPv4-only-Netz (z.B. im Hotel-WLAN, Internet-Cafe) u.U. Deine IPv6-Server noch nicht erreichen.
Immerhin ist das aber ein Problem, das sich mit der Zeit von selber lösen wird.
Für den Moment gibt es zwei Workarounds:
Bei Bekannten/Verwandten etc. kannst Du u.U. dafür sorgen, daß sie IPv6 kriegen, bei einem 1&1-DSL-Anschluß fehlt z.B. meist nur der Haken bei "IPv6 aktiv" in der Fritz!Box. Ansonsten gibt es die Möglichkeit, Fritz!Boxen und andere Router über eine Tunnelanbindung auf Dual Stack (Also IPv4+IPv6) aufzurüsten.
Wenn Dir das zuviel Aufwand ist und/oder Du auch Client-Netze hast, auf die Du so keinen Einfluß hast (Mobilfunk, Arbeitsplatz, ...), kann man das Problem durch einen Port-Mapper umgehen.
Ein Port-Mapper ist einfach ein Server im Internet, der per IPv4 erreichbar ist und aus IPv4-only-Netzen als scheinbarer Server fungiert, dann aber alle per IPv4 bei ihm eingehenden Anfragen einfach 1:1 per IPv6 an Deinen eigentlichen Server weiterreicht.
Dieser Spaß kostet Dich dann zwar auch etwas, aber nur läppische 5 EUR ... im Jahr und es ist ein Ende in Sicht, denn zwangsläufig wird man früher oder später (fast) überall auch IPv6 zur Verfügung haben.
Was so nicht bzw. nicht gut geht sind Server auf Standardports:
Da ein Portmapper 12 Ports einer IP beinhaltet, deren andere Ports andere Nutzer erhalten, sind die Standardports schon weg.
Einen FTP-Server auf Port 21, einen Web-Server auf Port 80, usw. kriegt man damit also nicht hin.
Wenn Du das brauchst, müßtest Du notgedrungen entweder eine komplett eigene IPv4 mitbuchen (30 EUR im Jahr zzgl. der 5 für den Portmapper), auf der hast Du dann freie Auswahl bei den zu verwendenden Ports, oder tatsächlich ein VPN nutzen, wie es bei der KBOX passiert.
