[GELÖST] Möglichkeit, einzelne Verbindungen auf IPv4 zu zwingen ?

[Tuxtom007]

Hallo,

gibt es die Möglichkeint, einzelne Ziele auf IPv4 zu zwingen ?

Ich habe gerade das Problem, das einige meine Systeme keine Verbindung zu Repository von github.com bekommen, weil die IPv6 nutzen, was auch in Ordnung ist, aber in dem Fall nicht funktioniert.

schon beim wget bekomme ich Timeouts, http/https geht problemlos

[Patrick M. Hausen]

github.com hat keinen AAAA-Record. Wie sollen die Systeme auf die Idee kommen, IPv6 zu nutzen?

Hast du einen NAT64-Gateway? Nutzt du den DNS-Server deines Providers als Upstream und hat der vielleicht ein NAT64-Gateway?

[Tuxtom007]

Nein, ich hab kein NAT64 Gateway und Dual-Stack-Anschluss

Warum bekommt nslookup dann v6 Adressen ?

Non-authoritative answer:
Name:   objects.githubusercontent.com
Address: 185.199.111.133
Name:   objects.githubusercontent.com
Address: 185.199.108.133
Name:   objects.githubusercontent.com
Address: 185.199.110.133
Name:   objects.githubusercontent.com
Address: 185.199.109.133
Name:   objects.githubusercontent.com
Address: 64:ff9b::b9c7:6c85
Name:   objects.githubusercontent.com
Address: 64:ff9b::b9c7:6e85
Name:   objects.githubusercontent.com
Address: 64:ff9b::b9c7:6d85
Name:   objects.githubusercontent.com
Address: 64:ff9b::b9c7:6f85

oder

Non-authoritative answer:
Name:   github.com
Address: 140.82.121.4
Name:   github.com
Address: 64:ff9b::8c52:7903


wget auf einen Download:

Resolving github.com (github.com)... 64:ff9b::8c52:7903, 140.82.121.4
Connecting to github.com (github.com)|64:ff9b::8c52:7903|:443...

[Patrick M. Hausen]

Das SIND ALLES NAT64 Adressen 

Rechne die untersten zwei Worte mal in dezimale Bytes um ...

Das "Umlügen" der Adressen macht der verwendete Nameserver.

Edit, falls es vielleicht nicht ganz klar ist. Der Nameserver antwortet, wenn er für Einträge, für die es nur A-Records gibt, nach einem AAAA-Record gefragt wird, mit der entsprechenden NAT64-Adresse. Diese beginnen mit 64:ff9b:: und in den untersten 4 Bytes steckt die IPv4-Adresse.

Wenn dann aber kein NAT64-Gateway vorhanden ist, läuft die Verbindung natürlich ins Leere. DNS64 und NAT64 müssen beide vorhanden oder eben abwesend sein.

[Tuxtom007]

Danke für die Info.

War mir so nicht bewußt.

Das Problem ist erst seit einigen Tagen, vermutlich seit dem letzten Update der OPNSense, aber kann ich nicht genau sagen, sonst hab ich keine Änderungen gemacht.
Evtl. nur noch ein Linux-Update, obwohl das Verhalten auf diversen Linux-Container das selbe ist.

Das ist mir nur per Zufall aufgefallen, weil meine Smart-Home-Software keine Modul-Updates mehr anzeigt und die aus diversen Github-Repos kommen. Wenn ich das manuell starten, läuft im Kreis und bricht irgendwann ab.

[Patrick M. Hausen]

Von welchem DNS-Server kommen denn diese DNS64-Antworten?

[Tuxtom007]

von OPNSense

Spass beseite, ich nutze AdGuard mit Unbound auf der OPNsense, also am Ende von einem root-server, den unbound nutzt.

Ich werde heute abend mal testweise dem Server einen anderen DNS zu geben und schauen, ob das Änderungen bringt.

[Patrick M. Hausen]

Sicher, dass du das hier deaktiviert hast?

[Tuxtom007]

No, war aktiviert.

Ich habs ausgeschaltet und geht nun
nslookup ist nun ohne diese NAT64 Adressen, auch meine Smarthome-Software-Update laufen direkt durch.


root@iobroker:~# nslookup objects.githubusercontent.com
Server:      10.0.10.1
Address:   10.0.10.1#53

Non-authoritative answer:
Name:   objects.githubusercontent.com
Address: 185.199.109.133
Name:   objects.githubusercontent.com
Address: 185.199.110.133
Name:   objects.githubusercontent.com
Address: 185.199.111.133
Name:   objects.githubusercontent.com
Address: 185.199.108.133

Bin mir garnicht bewusst, da mal aktiviert zu haben, wie schon geschrieben, hab ausser paar Firewall-Regeln schon länger nichts mehr an der OPNSense konfiguriert und Adguard/Unbound überhaupt nicht mehr angefasst, seit der problemlos lief.

Cool - Danke für den Hinweis !

[Patrick M. Hausen]

Dann pack doch bitte noch ein [GELÖST] in den Titel vom ersten Beitrag. Schön, dass wir den Fehler gefunden haben.