Immer mehr Internet-Zugänge basieren auf dem neuen IPv6-Standard. Was sich nach Neuerung anhört, kann im Zusammenspiel mit VPN zu einem Problem werden – besonders, wenn "DS-Lite" zum Einsatz kommt. [...]
Dass die IPv4-Adressen so langsam zur Neige gehen, hat sich rumgesprochen und seit Jahren wird in den Medien über die Umstellung auf den IPv6-Adressraum berichtet. Faktisch alle modernen netzwerkfähigen Geräte sind dann aktuell auch für den Datenaustausch über das modernere Protokoll vorbereitet. Die gängigen Windows-, OS-X- und Linux-Betriebssysteme arbeiten allesamt ebenfalls mit IPv6 zusammen. So weit so gut – jedoch ausgerechnet im VPN-Umfeld kommt es zu einer unangenehmen Nebenwirkung: Der Fernzugriff von unterwegs in das Firmen- oder Heimnetzwerk funktioniert nicht mehr.
WAS IST DS-LITE?
Trotz der namentlichen Ähnlichkeit sind die bisher weit verbreitete Version 4 des TCP/IP-Protokolls und IPv6 nicht miteinander kompatibel. Ist der Internet-Zugang als „Dual Stack“ ausgelegt, so bietet der Provider beide Versionen gleichzeitig an. Ist jedoch der Internet-Zugang als „DS-Lite“ ausgebaut, so handelt es sich um einen abgespeckten „Protocol Stack“, bei dem ausschließlich IPv6 zum Einsatz kommt.
Bei einem solchen DS-Lite-Zugang kann der Anwender nach wie vor aus dem eigenen Netzwerk heraus über beide IP-Protokolle Verbindungen aufbauen und somit IPv4- und IPv6-Webdienste nutzen. Alle ausgehenden IPv4-Verbindungen setzt der Provider durch einen DS-Lite-Tunnel um, der die IPv4-Pakete in IPv6-Pakete packt. Auf diesem Weg gelangen alle Datenpakete zum IPv6-/IPv4-Gateway des Dienstanbieters. Dort wird die IPv6-Hülle entfernt und das Paket wird über IPv4 zum Ziel weitergeroutet. Für Verbindungen „nach draußen“ unterscheidet sich DS-Lite durch den „4in6-Tunnel“ somit nicht wirklich von einem vollwertigen Dual-Stack-Anschluss.
In der anderen Richtung, beim Zugriff von außen auf ein dediziertes Gerät im lokalen Netzwerk, kommt es jedoch zu einem Verbindungsproblem: Der DS-Lite-Anschluss verfügt lediglich über eine öffentliche IPv6-Adresse und ist für Systeme mit herkömmlichen IPv4-Zugängen, und das ist nach wie vor die große Mehrheit, nicht zu erreichen.
DS-LITE PROBLEME UMGEHEN
Bevor wir softwaretechnische Möglichkeiten zur Umgehung solcher Probleme beim VPN-Zugriffe in IPv6-Netzen anschauen, wollen wir zunächst die Möglichkeiten betrachten, die den Dual-Stack-Lite-Kunden zur Verfügung stehen, um einen problemlosen, direkten Zugriff auf interne Geräte auch aus dem Mobilfunknetzwerk einzurichten.
- Die Handynetze werden auf IPv6 umgestellt. Warten bis Telekom, Vodafone und O2/E-Plus die Umstellung abschließen. Das kann aber noch eine Weile dauern.
- Der Provider etabliert eine zusätzliche Software-Lösung, die trotz Dual Stack Lite Anfragen per IPv4 an das lokale Netzwerk weiterleitet.
- Der Kunde überzeugt seinen Internet-Provider, dass wieder ein vollwertiger IPv4-Anschluss zu schalten ist. Da es sich um eine aussterbende Technik handelt, sind die Erfolgschancen jedoch eher gering.
- Provider-Wechsel mit einem klassischen Vertrag und fester IPv4-Adresse. Ist jedoch eine teure Lösung.
- Verwendung eines Dienstes (in der Regel eines Software), der zwischen den beiden IP-Welten vermittelt.
VERMITTLUNG ZWISCHEN DEN BEIDEN IP-WELTEN
Während die ersten vier Lösungsvorschläge Aktivitäten von Seiten des Anbieters voraussetzen, hat der Anwender bei der Verwendung einer eigenen Software (Punkt 5) selbst das sprichwörtliche Zepter in der Hand. Eine solche Software ist beispielsweise der „ionas Server„.
Kern des Servers ist ein VPN Tunnel, der von einem mobilen Client, Smartphone oder Laptop zum ionas-Server im eigenen Netzwerk führt. Da ein direkter Aufruf nicht funktioniert, wird ein weiterer Dienst, beispielsweise von feste-ip.net benötigt, der als Übersetzer zwischen der bisher gebräuchlichen IPv4-Welt und dem neuen IPv6-Adressraum fungiert.
Diese Mischung aus IP-Service und dem lokal zu installierenden Server ermöglicht einen sicheren und ortsunabhängigen Zugriff auf das Netzwerk, trotz DS-Lite-Anschluss. Auf der Webseite des Anbieters findet der interessierte Leser weitere grundsätzliche Anleitungen und Szenarien der Anbindung, beispielsweise für den äußerst populären Raspberry Pi-Kleinrechner als Gateway. Praktischerweise hilft ein Software-Assistent bei der Einrichtung des ionas-Servers.
Be the first to comment