Hallo zusammen,
das Ganze basiert auf einem Artikel in einer c't im Herbst 2024.
Dort wird beschrieben, wie man in einer DS mit einer VM eine DMZ für IPv4 einrichten kann.
Das habe ich gelesen und gedacht: prima - das will ich für unsere Familien-NextCloud auch haben.
Ich habe das also für unseren NextCloudPi-Server eingerichtet und es lief seitdem einwandfrei.
Dann gab es ein Problem mit unserem Vodafone-Kabel-Anschluss.
VF hat bei uns wohl zu viele Kunden an den Knoten gehängt.
Das hat dazu geführt, dass regelmäßig abends der Upload massiv eingebrochen ist.
Am Ende mussten wir VF dann mit Hilfe des Amtsgerichts davon überzeugen, dass die Zahlung von Schadenersatz doch angemessen ist.
Das wiederum hat Bewegung in die Sache gebracht und uns in höhere Ebenen des Kundensupports befördert.
Dort ging dann plötzlich alles Mögliche, z.B. die Vertragsfortführung zu Neukundenkonditionen bis zur Behebung des Problems.
Im Zuge dieser Vertragsumstellung ist dann FullStack geschaltet worden - vorher hatten wir IPv4-only.
Und damit kommen wir langsam zum Problem.
NC hat natürlich ein LetsEncrypt-Zertifikat, dass ja alle 3 Monate erneuert werden muss.
Dazu muss der LE-Server über Port 80 Kontakt aufnehmen können.
Also fragt er nach der IP-Adresse von myfritz.xyz.de, unter der unsere NC erreichbar ist.
Das ist ein CNAME, der mit xyz.myfritz.net verknüpft ist.
Darüber bekommt LE die IP-Adresse von unserer FritzBox, und zwar wegen FullStack zuerst die IPv6.
Damit versucht LE dann die Kontaktaufnahme und scheitert, weil die Firewall in dem Soft-Router nur IPv4 durchlässt.
Leider gibt LE dann sofort auf, ohne es auch mit der IPv4 zu versuchen.
Meine Umgehung ist zur Zeit deshalb, alle 3 Monate zur Erneuerung des LE-Zertifikats in der Fritte das externe IPv6 kurz abzuschalten.
Das ist ja aber auf Dauer keine wirkliche Lösung.
Frage deshalb: Hat hier jemand die DMZ aus dem c't-Artikel unter IPv6 am Start und die passenden Zeilen für die /etc/nftables.conf für mich?
IPv6 ist für mich immer noch Neuland, aber das wäre ein angemessener Anlass, mich einmal mit dem Thema zu beschäftigen.
Ansonsten brauchen wir weiter auch IPv4, weil wir hier in der FeWo, in der wir gerade sind, nur IPv4 haben.
Aber das ist ein anderes Thema.
Gruß
Claus
das Ganze basiert auf einem Artikel in einer c't im Herbst 2024.
Dort wird beschrieben, wie man in einer DS mit einer VM eine DMZ für IPv4 einrichten kann.
Das habe ich gelesen und gedacht: prima - das will ich für unsere Familien-NextCloud auch haben.
Ich habe das also für unseren NextCloudPi-Server eingerichtet und es lief seitdem einwandfrei.
Dann gab es ein Problem mit unserem Vodafone-Kabel-Anschluss.
VF hat bei uns wohl zu viele Kunden an den Knoten gehängt.
Das hat dazu geführt, dass regelmäßig abends der Upload massiv eingebrochen ist.
Am Ende mussten wir VF dann mit Hilfe des Amtsgerichts davon überzeugen, dass die Zahlung von Schadenersatz doch angemessen ist.
Das wiederum hat Bewegung in die Sache gebracht und uns in höhere Ebenen des Kundensupports befördert.
Dort ging dann plötzlich alles Mögliche, z.B. die Vertragsfortführung zu Neukundenkonditionen bis zur Behebung des Problems.
Im Zuge dieser Vertragsumstellung ist dann FullStack geschaltet worden - vorher hatten wir IPv4-only.
Und damit kommen wir langsam zum Problem.
NC hat natürlich ein LetsEncrypt-Zertifikat, dass ja alle 3 Monate erneuert werden muss.
Dazu muss der LE-Server über Port 80 Kontakt aufnehmen können.
Also fragt er nach der IP-Adresse von myfritz.xyz.de, unter der unsere NC erreichbar ist.
Das ist ein CNAME, der mit xyz.myfritz.net verknüpft ist.
Darüber bekommt LE die IP-Adresse von unserer FritzBox, und zwar wegen FullStack zuerst die IPv6.
Damit versucht LE dann die Kontaktaufnahme und scheitert, weil die Firewall in dem Soft-Router nur IPv4 durchlässt.
Leider gibt LE dann sofort auf, ohne es auch mit der IPv4 zu versuchen.
Meine Umgehung ist zur Zeit deshalb, alle 3 Monate zur Erneuerung des LE-Zertifikats in der Fritte das externe IPv6 kurz abzuschalten.
Das ist ja aber auf Dauer keine wirkliche Lösung.
Frage deshalb: Hat hier jemand die DMZ aus dem c't-Artikel unter IPv6 am Start und die passenden Zeilen für die /etc/nftables.conf für mich?
IPv6 ist für mich immer noch Neuland, aber das wäre ein angemessener Anlass, mich einmal mit dem Thema zu beschäftigen.
Ansonsten brauchen wir weiter auch IPv4, weil wir hier in der FeWo, in der wir gerade sind, nur IPv4 haben.
Aber das ist ein anderes Thema.
Gruß
Claus
