DS-Lite-Problematik lösen

IPv6 macht VPNs Probleme

24.08.2016
Von  und
Thomas Bär, der seit Ende der neunziger Jahre in der IT tätig ist, bringt weit reichende Erfahrungen bei der Einführung und Umsetzung von IT-Prozessen im Gesundheitswesen mit. Dieses in der Praxis gewonnene Wissen hat er seit Anfang 2000 in zahlreichen Publikationen als Fachjournalist in einer großen Zahl von Artikeln umgesetzt. Er lebt und arbeitet in Günzburg.
Frank-Michael Schlede arbeitet seit den achtziger Jahren in der IT und ist seit 1990 als Trainer und Fachjournalist tätig. Nach unterschiedlichen Tätigkeiten als Redakteur und Chefredakteur in verschiedenen Verlagen arbeitet er seit Ende 2009 als freier IT-Journalist für verschiedene Online- und Print-Publikationen. Er lebt und arbeitet in Pfaffenhofen an der Ilm.
Immer mehr Internet-Zugänge basieren auf dem neuen IPv6-Standard. Was sich nach Neuerung anhört, kann im Zusammenspiel mit VPN zu einem Problem werden.
Ausgerechnet im VPN-Umfeld kann IPv6 Probleme bereiten.
Ausgerechnet im VPN-Umfeld kann IPv6 Probleme bereiten.
Foto: PixBox - Fotolia.com

Dass die IPv4-Adressen so langsam zur Neige gehen, hat sich rumgesprochen und seit Jahren wird in den Medien über die Umstellung auf den IPv6-Adressraum berichtet. Faktisch alle modernen netzwerkfähigen Geräte sind dann aktuell auch für den Datenaustausch über das modernere Protokoll vorbereitet. Die gängigen Windows-, OS-X- und Linux-Betriebssysteme arbeiten allesamt ebenfalls mit IPv6 zusammen. So weit so gut - jedoch ausgerechnet im VPN-Umfeld kommt es zu einer unangenehmen Nebenwirkung: Der Fernzugriff von unterwegs in das Firmen- oder Heimnetzwerk funktioniert möglicherweise nicht mehr.

Was ist DS-Lite?

Der IPv6-Dual-Stack in der Lite-Ausprägung: Er verhindert leider einen Zugriff auf lokale Ressourcen per VPN-Verbindung.
Der IPv6-Dual-Stack in der Lite-Ausprägung: Er verhindert leider einen Zugriff auf lokale Ressourcen per VPN-Verbindung.
Foto: ionas OHG

Trotz der namentlichen Ähnlichkeit sind die bisher weit verbreitete Version 4 des TCP/IP-Protokolls und IPv6 nicht miteinander kompatibel. Ist der Internet-Zugang als "Dual Stack" ausgelegt, so bietet der Provider beide Versionen gleichzeitig an. Ist jedoch der Internet-Zugang als "DS-Lite" ausgebaut, so handelt es sich um einen abgespeckten "Protocol Stack", bei dem ausschließlich IPv6 zum Einsatz kommt.

Bei einem solchen DS-Lite-Zugang kann der Anwender nach wie vor aus dem eigenen Netzwerk heraus über beide IP-Protokolle Verbindungen aufbauen und somit IPv4- und IPv6-Webdienste nutzen. Alle ausgehenden IPv4-Verbindungen setzt der Provider durch einen DS-Lite-Tunnel um, der die IPv4-Pakete in IPv6-Pakete packt. Auf diesem Weg gelangen alle Datenpakete zum IPv6-/IPv4-Gateway des Dienstanbieters. Dort wird die IPv6-Hülle entfernt und das Paket wird über IPv4 zum Ziel weitergeroutet. Für Verbindungen "nach draußen" unterscheidet sich DS-Lite durch den "4in6-Tunnel" somit nicht wirklich von einem vollwertigen Dual-Stack-Anschluss.

In der anderen Richtung, beim Zugriff von außen auf ein dediziertes Gerät im lokalen Netzwerk, kommt es jedoch zu einem Verbindungsproblem: Der DS-Lite-Anschluss verfügt lediglich über eine öffentliche IPv6-Adresse und ist für Systeme mit herkömmlichen IPv4-Zugängen, und das ist nach wie vor die große Mehrheit, nicht zu erreichen.

DS-Lite Probleme umgehen

Bevor wir softwaretechnische Möglichkeiten zur Umgehung solcher Probleme beim VPN-Zugriffe in IPv6-Netzen anschauen, wollen wir zunächst die Möglichkeiten betrachten, die den Dual-Stack-Lite-Kunden zur Verfügung stehen, um einen problemlosen, direkten Zugriff auf interne Geräte auch aus dem Mobilfunknetzwerk einzurichten.

  • Die Handynetze werden auf IPv6 umgestellt. Warten bis Telekom, Vodafone und O2/E-Plus die Umstellung abschließen. Das kann aber noch eine Weile dauern.

  • Der Provider etabliert eine zusätzliche Software-Lösung, die trotz Dual Stack Lite Anfragen per IPv4 an das lokale Netzwerk weiterleitet.

  • Der Kunde überzeugt seinen Internet-Provider, dass wieder ein vollwertiger IPv4-Anschluss zu schalten ist. Da es sich um eine aussterbende Technik handelt, sind die Erfolgschancen jedoch eher gering.

  • Provider-Wechsel mit einem klassischen Vertrag und fester IPv4-Adresse. Ist jedoch eine teure Lösung.

  • Verwendung eines Dienstes (in der Regel eines Software), der zwischen den beiden IP-Welten vermittelt.

Vermittlung zwischen den beiden IP-Welten

Dank einer zusätzlichen Software auf dem ionas-Server ist ein Zugriff auch aus IPv4-Netzen heraus möglich. Dabei übernimmt ein Dienst, wie er zum Beispiel von feste-ip.net angeboten wird, die Übersetzung.
Dank einer zusätzlichen Software auf dem ionas-Server ist ein Zugriff auch aus IPv4-Netzen heraus möglich. Dabei übernimmt ein Dienst, wie er zum Beispiel von feste-ip.net angeboten wird, die Übersetzung.
Foto: ionas OHG

Während die ersten vier Lösungsvorschläge Aktivitäten von Seiten des Anbieters voraussetzen, hat der Anwender bei der Verwendung einer eigenen Software (Punkt 5) selbst das sprichwörtliche Zepter in der Hand. Eine solche Software ist beispielsweise der "ionas Server".

Kern des Servers ist ein VPN Tunnel, der von einem mobilen Client, Smartphone oder Laptop zum ionas-Server im eigenen Netzwerk führt. Da ein direkter Aufruf nicht funktioniert, wird ein weiterer Dienst, beispielsweise von feste-ip.net benötigt, der als Übersetzer zwischen der bisher gebräuchlichen IPv4-Welt und dem neuen IPv6-Adressraum fungiert.

Viele moderne Router erlauben bereits eine IP-Filterung auf IPv6-Basis. So lässt sich dann beispielsweise auch der eingehende IPv6-Datenverkehr limitieren, wenn er über DS-Lite ankommt.
Viele moderne Router erlauben bereits eine IP-Filterung auf IPv6-Basis. So lässt sich dann beispielsweise auch der eingehende IPv6-Datenverkehr limitieren, wenn er über DS-Lite ankommt.

Diese Mischung aus IP-Service und dem lokal zu installierenden Server ermöglicht einen sicheren und ortsunabhängigen Zugriff auf das Netzwerk, trotz DS-Lite-Anschluss. Auf der Webseite des Anbieters findet der interessierte Leser weitere grundsätzliche Anleitungen und Szenarien der Anbindung, beispielsweise für den äußerst populären Raspberry Pi-Kleinrechner als Gateway. Praktischerweise hilft ein Software-Assistent bei der Einrichtung des ionas-Servers.