Fernzugriff über reine ipv6

Allgemein
1

Hallo zusammen,

Nach der Umstellung von Telekom auf deutsche Glasfaser (FRITZ!Box 5590) kann ich wohl meine Nginx/duckdns Kombination nicht mehr nutzen, da die DGF ja im IPV4 Raum nur CGNAT unterstützt.

Soweit ich es verstehe habe ich eine IPV6 Adresse für meine HA Instanz, die ich auf der FRITZ!Box nach außen freigeben muss. Das habe ich getan, auf der FRITZ!Box habe ich den Port 8123 freigegeben. nginx habe ich deaktiviert

Auf duckdns.org hab ich meine Homeassistant IPV6 manuell eingetragen. Ebenso in der duckdns Config des Homeassistants.

Von außen komme ich auch auf komme ich auch an die HA Instanz ran, rufe ich *****.duckdns.org:8123 auf kommt das homeassistant logo, und der drehende Kreis „loading data“ danach kommt es aber leider zum timeout.

Helft mir mal, wo liegt mein denkfehler?

2

Leitest Du den externen Port 8123 auch intern so weiter oder geht es von extern 443 auf intern 8123?

3

Die Fritzbox kann kein portmapping bei ipv6. Der Port 8123 ist nach außen hin freigegeben. (Sonst käme ich ja gar nicht auf die HA Instanz). Der 443 ist nur noch historisch aus ipv4 Zeit freigegeben …

4

also eigentlich müsstest du, wenn du mit ipv4 die 443 genutzt hast auch die 443 mit ipv6 nutzen, das 2. Problem ist wenn Duckdns keine IPv6 Anbindung hat, kann diese auch keine IPv6 Verbindung aufbauen (wir lassen jetzt mal komplizierte Tunnelings aussen vor), kanns leider nicht testen da wir noch kein FTTH machen, kommt erst im Herbst.

Studiere mal das, vielleicht hilft das:
Youtube IPV64 - 1
Youtube IPV64 - 2 (GCNAT?)

2 „Gefällt mir“
5

Ich bekomme ja Verbindung mit duckdns über IPv6 sonst würde ich ja das Homeassostant Logo nicht sehen…

6

Hmmm…ich bin da auch noch am Lernen was IPv6 angeht weil ich mein Netz daheim schon darauf vorbereite.
Das neue beim IPv6 das dein Endgerät auch 10IPs haben kann, eine selbst erfundene, eine die vom heimischen Router kommt, eine vom IP-Provider weil NAT etc ist nicht mehr „gewünscht“ (wobei ich das mit NAT66 probiere, ich will keine identifizierbare IP vom Provider auf meinen Devices), da kann es schon möglich sein das da HA entweder ein Problemchen hat oder ähnliches. kannst du denn intern dein HA über die IPv6 Adresse erreichen und bedienen?

7

Ich bin einen Schritt weiter. Ich habe jetzt über ipv64.net einen DNS Eintrag erstellt und DuckDNS (account und addon) gelöscht.

Status jetzt: Ich kann über
http://meinesubdomain.meinedomain.ipv64.net:8123
auf meine Homeassistant Instanz zugreifen. Jetzt hätte ich das ganze aber gerne über https. Nginx könnte ich auf 443 lauschen lassen, aber wie kriege ich dann die Weiterleitung auf homeassistant hin? (die Fritzbox kann kein Portforwarding im ipv6)

8

Wieso stellst Du Home Assistant nicht einfach auf Port 443 um? Unverschlüsselt geht die Verbindung so ohnehin nicht mehr.

9

Ich würde gerne im Heimnetz unverschlüsselt arbeiten (können). vor allem wegen der notwendigen Zertifikate für unterschiedliche Clients…

10

kann man nicht nginx die Weiterleitung zu HA machen lassen? Also nginx auf einer ipv6 host Adresse mit Port 443 und 80 und von dort dann die Weiterleitung zur HA ipv6 Adresse? Mir steht das Thema nächstes Jahr leider auch an

11

Mir ist neu, dass der Client und nicht der Server die Zertifikate bereitstellt. :face_with_raised_eyebrow:

Kann man, wie es bei IPv4 ja auch geht. Mir wäre nicht bewusst, dass es da Einschränkungen gibt. Habe aber auf diesen Umwegen noch nicht gearbeitet.

13

Aber wie? Im Nginx Addon kann ich das nirgends einstellen…

Missverständlich formuliert. HTTPS im heimnetzwerk heißt ich muss bei jedem Client die Sicherheitswarnung bestätigen. Das geht nur bei interaktiven Clients…

:crayon:by HarryP: Zusammenführung Doppelpost (bitte “bearbeiten” Funktion nutzen)

14

Ich hab ein „Nicht-LetsEncrypt“-Zerti auf meinem HA im Nginx und komme von aussen über 443 dran und innen über 8123 unverschlüsselt oder 443, geht beides.
In meiner Config sind meine Netze „Trusted“
Ich paste vom NB mal die Config gleich noch ran.

Edit:

Unter der Massgabe das Nginx bei dir als Addon läuft, hab ich das in meiner configuration.yaml

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 127.0.0.1
    - 192.168.166.0/23
    - 172.30.33.0/24

das 172.30.x ist das interne Netz der ganzen Docker etc, 192.xx mein Netz daheim, das müsstest du bei dir anpassen und den IpV6 Prefix dazu packen. (glaube ich)

1 „Gefällt mir“
15

Du könntest es mal so probieren:

https://www.reddit.com/r/nginx/comments/hkdyza/can_nginx_be_used_for_ipv4_to_ipv6_reverse_proxy/

Nur anders herum

1 „Gefällt mir“
16

Probier ich morgen mal aus

17

Oder ein korrektes Zertifikat verwenden…