IPv6 macht VPNs Probleme

Immer mehr Internet-Zugänge basieren auf dem neuen IPv6-Standard. Was sich nach Neuerung anhört, kann im Zusammenspiel mit VPN zu einem Problem werden – besonders, wenn "DS-Lite" zum Einsatz kommt. [...]

Dass die IPv4-Adressen so langsam zur Neige gehen, hat sich rumgesprochen und seit Jahren wird in den Medien über die Umstellung auf den IPv6-Adressraum berichtet. Faktisch alle modernen netzwerkfähigen Geräte sind dann aktuell auch für den Datenaustausch über das modernere Protokoll vorbereitet. Die gängigen Windows-, OS-X- und Linux-Betriebssysteme arbeiten allesamt ebenfalls mit IPv6 zusammen. So weit so gut – jedoch ausgerechnet im VPN-Umfeld kommt es zu einer unangenehmen Nebenwirkung: Der Fernzugriff von unterwegs in das Firmen- oder Heimnetzwerk funktioniert nicht mehr.

WAS IST DS-LITE?

Der IPv6-Dual-Stack in der Lite-Ausprägung: Er verhindert leider einen Zugriff auf lokale Ressourcen per VPN-Verbindung. (c) ionas OHG

Trotz der namentlichen Ähnlichkeit sind die bisher weit verbreitete Version 4 des TCP/IP-Protokolls und IPv6 nicht miteinander kompatibel. Ist der Internet-Zugang als „Dual Stack“ ausgelegt, so bietet der Provider beide Versionen gleichzeitig an. Ist jedoch der Internet-Zugang als „DS-Lite“ ausgebaut, so handelt es sich um einen abgespeckten „Protocol Stack“, bei dem ausschließlich IPv6 zum Einsatz kommt.

Bei einem solchen DS-Lite-Zugang kann der Anwender nach wie vor aus dem eigenen Netzwerk heraus über beide IP-Protokolle Verbindungen aufbauen und somit IPv4- und IPv6-Webdienste nutzen. Alle ausgehenden IPv4-Verbindungen setzt der Provider durch einen DS-Lite-Tunnel um, der die IPv4-Pakete in IPv6-Pakete packt. Auf diesem Weg gelangen alle Datenpakete zum IPv6-/IPv4-Gateway des Dienstanbieters. Dort wird die IPv6-Hülle entfernt und das Paket wird über IPv4 zum Ziel weitergeroutet. Für Verbindungen „nach draußen“ unterscheidet sich DS-Lite durch den „4in6-Tunnel“ somit nicht wirklich von einem vollwertigen Dual-Stack-Anschluss.

In der anderen Richtung, beim Zugriff von außen auf ein dediziertes Gerät im lokalen Netzwerk, kommt es jedoch zu einem Verbindungsproblem: Der DS-Lite-Anschluss verfügt lediglich über eine öffentliche IPv6-Adresse und ist für Systeme mit herkömmlichen IPv4-Zugängen, und das ist nach wie vor die große Mehrheit, nicht zu erreichen.

DS-LITE PROBLEME UMGEHEN
Bevor wir softwaretechnische Möglichkeiten zur Umgehung solcher Probleme beim VPN-Zugriffe in IPv6-Netzen anschauen, wollen wir zunächst die Möglichkeiten betrachten, die den Dual-Stack-Lite-Kunden zur Verfügung stehen, um einen problemlosen, direkten Zugriff auf interne Geräte auch aus dem Mobilfunknetzwerk einzurichten.

  • Die Handynetze werden auf IPv6 umgestellt. Warten bis Telekom, Vodafone und O2/E-Plus die Umstellung abschließen. Das kann aber noch eine Weile dauern.
  • Der Provider etabliert eine zusätzliche Software-Lösung, die trotz Dual Stack Lite Anfragen per IPv4 an das lokale Netzwerk weiterleitet.
  • Der Kunde überzeugt seinen Internet-Provider, dass wieder ein vollwertiger IPv4-Anschluss zu schalten ist. Da es sich um eine aussterbende Technik handelt, sind die Erfolgschancen jedoch eher gering.
  • Provider-Wechsel mit einem klassischen Vertrag und fester IPv4-Adresse. Ist jedoch eine teure Lösung.
  • Verwendung eines Dienstes (in der Regel eines Software), der zwischen den beiden IP-Welten vermittelt.

VERMITTLUNG ZWISCHEN DEN BEIDEN IP-WELTEN

Dank einer zusätzlichen Software auf dem ionas-Server ist ein Zugriff auch aus IPv4-Netzen heraus möglich. Dabei übernimmt ein Dienst, wie er zum Beispiel von feste-ip.net angeboten wird, die Übersetzung. (c) ionas OHG

Während die ersten vier Lösungsvorschläge Aktivitäten von Seiten des Anbieters voraussetzen, hat der Anwender bei der Verwendung einer eigenen Software (Punkt 5) selbst das sprichwörtliche Zepter in der Hand. Eine solche Software ist beispielsweise der „ionas Server„.

Kern des Servers ist ein VPN Tunnel, der von einem mobilen Client, Smartphone oder Laptop zum ionas-Server im eigenen Netzwerk führt. Da ein direkter Aufruf nicht funktioniert, wird ein weiterer Dienst, beispielsweise von feste-ip.net benötigt, der als Übersetzer zwischen der bisher gebräuchlichen IPv4-Welt und dem neuen IPv6-Adressraum fungiert.

Viele moderne Router erlauben bereits eine IP-Filterung auf IPv6-Basis. So lässt sich dann beispielsweise auch der eingehende IPv6-Datenverkehr limitieren, wenn er über DS-Lite ankommt. (c) Schlede und Bär

Diese Mischung aus IP-Service und dem lokal zu installierenden Server ermöglicht einen sicheren und ortsunabhängigen Zugriff auf das Netzwerk, trotz DS-Lite-Anschluss. Auf der Webseite des Anbieters findet der interessierte Leser weitere grundsätzliche Anleitungen und Szenarien der Anbindung, beispielsweise für den äußerst populären Raspberry Pi-Kleinrechner als Gateway. Praktischerweise hilft ein Software-Assistent bei der Einrichtung des ionas-Servers.


Mehr Artikel

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

News

Jahrelanges Katz-und-Maus-Spiel zwischen Hackern und Verteidigern

Sophos hat den umfangreichen Forschungsbericht „Pacific Rim“ veröffentlicht, der detailliert ein jahrelanges Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit mehreren staatlich unterstützten Cybercrime-Gruppierungen aus China beschreibt. Im Lauf der Auseinandersetzung entdeckte Sophos ein riesiges, gegnerisches Cybercrime-Ökosystem. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*