FritzBox IPv6 und Windows-Domain-Netzwerk

[Fritzfummler]

Moin zusammen!

Ich hätte da gern mal ein Problem. ;-) Und zwar vermutlich in erster Linie ein Verständnis-Problem und hoffe, dass ihr mir gedanklich auf die Sprünge helfen könnt.

Gegeben ist ein kleines Netzwerk (2 Client-PCs), das aber einen Windows-Server incl. Active Directory + DNS + DHCP-Server enthält. Soll so sein, wegen speziellem E-Mail-System und Wawi.

Da das Netz so klein und schnuckelig ist, gibt es keine große Firewall o. ä., sondern eine Fritz!Box 7590AX.

Der Provider stellt öffentliche IPv4 und IPv6 zur Verfügung. Ich habe mich mehrfach durch die IPv6-Grundlagen gekämpft und bin halbwegs fit, was diese angeht - habe inzwischen auch (mit einigen Mühen) hoffentlich viel der alten IPv4-Denke erfolgreich über Bord geworfen. Der Schritt zu "was ist im Zusammenhang mit einer Windows-Domäne sinnvoll" hakt aber wie gesagt noch ein bisschen. Bitte seid so gut, die folgenden Sachen mal gegenzulesen, die ich spontan und manchmal per Bauchgefühl eingerichtet habe:

• Der Server hat als Domain Controller eine feste lokale IPv6-Adresse erhalten. Dazu wurde ein privater Range ausgewürfelt (z. B. fdf4:67b5:142a:0aef::/64) und der DC erhielt die ::1 am Ende.
• DNS auf dem Server ist für IPv4 und IPv6 eingerichtet und funktioniert.
• im DHCP auf dem Server habe ich einen Bereich für IPv4 und IPv6 eingerichtet. Mir ist bewusst, dass das bei IPv6 nicht nötig ist, aber ich wollte mich da gerne an gewohnten Strukturen entlang hangeln. Außerdem finde ich es angenehm, wenn die Client eine IPv6 haben, die nicht vom sich ändernden Präfix des Providers abhängig ist. Sollte kein Problem sein, oder? v6-Adressen dürfen Client ja sowieso mehrere haben, wenn ich es richtig weiß. Und es ist (finde ich) praktisch, in der Übersicht des DHCP-Servers gleich sehen zu können, welcher Client sich wann welche Adresse gezogen hat.

Nun wenden wir uns der Fritz!Box zu. Da habe ich:

• Unter IPv4 den DHCP-Server deaktiviert. Klappt, funktioniert, die Clients holen sich brav ihre v4-Adressen vom DHCP-Server auf dem Windows-Server, incl. DNS (Windows-Server) und Standardgateway (Fritz!Box).
• Schwieriger wird's bei IPv6. Beim Router-Advertisement bin ich schon unsicher: Das würde ich aktiviert lassen, damit Clients den IPv6-Weg ins Internet finden, oder? Aber sollte man dort auf "keine ULA zweisen" gehen? Oder ULA parallel zum Windows-DHCP auch von der Fritz!Box zuweisen lassen?
• "Auch IPv6-Präfixe zulassen, die andere IPv6-Router im Heimnetz bekanntgeben" lasse ich angehakt. Gibt zwar keine anderen Router, aber schadet ja nix.
• "Diese FRITZ!Box stellt den Standard-Internetzugang zur Verfügung" bleibt angehakt, Priorität "Mittel".
• Dann kommt der DNS. "DNSv6-Server auch über Router Advertisement bekanntgeben" habe ich aktiv gelassen und unten als lokalen DNS die Adresse des Domain Controllers eingetragen, also im Beispiel fdf4:67b5:142a:0aef::1
• DHCP-Server ist wieder spannend. Wenn ich das auf "DHCPv6-Server in der FRITZ!Box deaktivieren" setze, wozu ich eigentlich tendiere, funktioniert dann trotzdem das Router Advertising durch die Fritz!Box korrekt? Wieder aus dem Bauch heraus habe ich dort "Das M- und das O-Flag in den Router Advertisement-Nachrichten der FRITZ!Box aktivieren (SLAAC möglich)" gewählt. Einen "anderen im Heimnetz vorhandenen DHCPv6-Server" gibt es ja. Gleichzeitig soll der Client von anderen Geräten Informationen erhalten können.

Was sagt ihr dazu? Ich frage so dümmlich, weil ich beim Beitritt der Clients in die Domäne DNS-Probleme bekam ("Domain konnte nicht gefunden werden"). Erst, als ich auf den Clients IPv6 temporär deaktiviert habe, klappte der Beitritt sofort. Irgendwas ist also noch nicht ganz rund.

Defizite habe ich offenbar noch beim Verständnis des Router Advertisements. Ferner ist mir nicht klar, ob die Box öffentliche IPv6-Adressen (also die mit dem Präfix, den der Provider ausgibt) auch dann an die Clients ausgibt, wenn DHCP & Co. in der Fritz!Box deaktiviert sind. Und falls ja frage ich mich, ob und wie ein Client eigentlich erkennt, welchen IPv6-Pfad er für eine Webseite und welchen für z. B. einen PING an den Server verwenden soll. Klappt das automatisch anhand des Präfixes?

Fragen über Fragen. Sorry für den Roman, aber ich fummle da schon eine ganze Weile dran herum und möchte es nun endlich einmal richtig machen und auch richtig verstehen. Falls jemand von euch Profis Lust hat, das zu erklären, wäre ich extrem dankbar.

 

[blurrrr]

Ich frage so dümmlich, weil ich beim Beitritt der Clients in die Domäne DNS-Probleme bekam ("Domain konnte nicht gefunden werden"). Erst, als ich auf den Clients IPv6 temporär deaktiviert habe, klappte der Beitritt sofort. Irgendwas ist also noch nicht ganz rund.

Na, woran kann das wohl liegen, wenn die Domäne nicht gefunden wird? Überleg Dir einfach mal "wer" bzgl. der Domäne gefragt wird (kleiner Tip am Rande: Es sollte logischerweise der DNS-Dienst/-Server sein, der auch die AD-Domäne kennt).

 

[Fritzfummler]

Ja, das ist mir durchaus bewusst. Aber wenn ich mit einem PING den Server vom Client aus anspreche und der per IPv6 antwortet, dann sollte doch die Kommunikation stehen, oder? Das ist gegeben. Auch wenn ich ihn mit vollem Namen dc.meinnetz.local anPINGe.

Bzw. welche Einstellung in meiner obigen Konfiguration könnte die korrekte Kommunikation denn verhindern? Durch die Option "DNSv6-Server auch über Router Advertisement bekanntgeben" sollte der Client doch im Zweifel immer den Weg zum DC finden?

 

[blurrrr]

Aber wenn ich mit einem PING den Server vom Client aus anspreche und der per IPv6 antwortet, dann sollte doch die Kommunikation stehen, oder?

Das eine hat mit dem anderen erstmal so "garnichts" zu tun.

Auch wenn ich ihn mit vollem Namen dc.meinnetz.local anPINGe.

Das schon eher.

Durch die Option "DNSv6-Server auch über Router Advertisement bekanntgeben" sollte der Client doch im Zweifel immer den Weg zum DC finden?

Wurde da als DNS denn überhaupt der DNS (der was vom AD weiss) angegeben? Soweit mir bekannt ist, kann die Fritzbox keine (Domain-)bedingte Weiterleitung (kann mich aber natürlich auch irren).

EDIT: Schau Dir erstmal in Ruhe an, was die Clients an DNS bekommen (das sollte "nur" der DNS sein, welcher auch die AD-Domäne kennt). Wenn das alles gegeben ist und sauber auflöst, kann man sich um ggf. andere vorhandene Baustellen kümmern, aber ohne vernünftige DNS-Auflösung, kannst Du auch die AD-Geschichte knicken.

 

[Barungar]

Es macht keinen Sinn die FritzBox ULAs verteilen zu lassen, wenn schon der DHCPv6 von Deinem Server ULAs verteilt.

Ja, das Router Advertisement auf der FritzBox müsstest Du aktiv lassen, wenn die IPv6 Clients, die FritzBox als "Router" für das Subnetz erkennen sollen.

Und Du kannst der FritzBox, das hast Du ja auch schon gemacht, sagen, dass sie einen anderen DNSv6 Server "verteilt". Dazu musst Du lediglich die IPv6 des bekanntzugebenden DNSv6 Servers angeben. Das sollte dann aber ein vollwertiger DNSv6 sein, der neben Deinen internen auch öffentliche DNS auflösen kann.

Für das Router Advertisement braucht es kein DHCPv6, das kannst Du auf der FritzBox gerne abschalten. Du hast ja schon einen DHCPv6 in Deinem Netz.