Wie langjährige Leser meines Blogs oder Zuschauer meines YouTube Kanals wissen, nutze ich primär Traefik als Reverse Proxy unter Docker. Über die letzten Jahre hat sich entsprechend etwas an Know how angesammelt. Durch einenBeitrag (externer Link) auf Mastodon vonThomas Leister (externer Link) bin ich darauf gekommen auch mal http3 zu aktivieren. Was du entsprechend tun musst, um das bei dir ebenfalls einzurichten habe ich hier aufgeschrieben.

Vorteile von http3

HTTP/3 (externer Link) ist die neueste Version des Hypertext Transfer Protocols (HTTP) und bringt mehrere Vorteile gegenüber seinen Vorgängerversionen, insbesondere HTTP/1.1 und HTTP/2, mit sich. Hier sind einige der wichtigsten Vorteile von HTTP/3:

1. Schnellerer Verbindungsaufbau: HTTP/3 verwendet dasQUIC (externer Link) -Protokoll (Quick UDP Internet Connections), das auf UDP (User Datagram Protocol) basiert. Im Vergleich zu TCP (Transmission Control Protocol), das in vorherigen HTTP-Versionen verwendet wurde, ermöglicht QUIC einen schnelleren Verbindungsaufbau. Es beseitigt die Latenz, die durch den sogenannten “Handshake” in TCP verursacht wird.

2. Multiplexing ohne Head-of-Line-Blocking: HTTP/3 unterstützt effizientes Multiplexing von Anfragen und Antworten. Im Gegensatz zu HTTP/1.1, bei dem eine Verbindung nur eine Anfrage gleichzeitig behandeln kann (Head-of-Line-Blocking), können bei HTTP/3 mehrere Anfragen und Antworten gleichzeitig übertragen werden. Dies verbessert die Effizienz und verkürzt die Ladezeiten von Webseiten.

3. Bessere Leistung bei Netzwerkproblemen: HTTP/3 wurde entwickelt, um besser mit Netzwerkproblemen umzugehen. Das QUIC-Protokoll ermöglicht es, Verbindungen beizubehalten, auch wenn sich die Netzwerkbedingungen ändern. Dies trägt dazu bei, dass die Leistung aufrechterhalten wird, selbst wenn es zu Paketverlusten oder Netzwerkwechseln kommt.

4. Adaptivität: HTTP/3 wurde entwickelt, um sich besser an verschiedene Netzwerkbedingungen anzupassen. Es kann sich automatisch an veränderte Latenzen und Bandbreiten anpassen, um eine optimale Leistung zu gewährleisten.

5. Verbesserte Sicherheit: HTTP/3 unterstützt standardmäßig Verschlüsselung durch Transport Layer Security (TLS). Die Integration von TLS in den Kern des Protokolls trägt zur Sicherheit der Datenübertragung bei.

6. Flexibilität: HTTP/3 ist so konzipiert, dass es besser mit den Anforderungen moderner Webanwendungen und Dienste umgehen kann. Durch die kontinuierliche Entwicklung des Protokolls können zukünftige Anforderungen besser erfüllt werden.

Es ist wichtig zu beachten, dass die Einführung von HTTP/3 nicht nur von den Vorteilen, sondern auch von der Unterstützung auf Server- und Clientseite abhängt. Nicht alle Webserver und Browser unterstützen möglicherweise bereits HTTP/3, aber die Akzeptanz nimmt stetig zu.

Anpassen der traefik Konfiguration

Ich verwendet primär dietraefik.yml Datei um alles zu konfigurieren. Nutzt du mehr Labels, musst du das natürlich umbauen. Mit traefik 2.11 und 3 muss noch die experimentelle Funktion aktiviert werden. Dies kann zu einem späterern Zeitpunkt nicht mehr notwendig sein.

experimental:http3:true

Nun sind noch die Entrypoints anzupassen. meiner heißtwebsecure für die Verbindung von https. Entsprechend brauchen wir hier nur

http3:advertisedPort:'443'

hinzuzufügen. Der vollständigkeit halber sieht mein kompletter Block so aus:

entryPoints:ping:address:':88'web:address:':80'http:redirections:entryPoint:to:websecurescheme:httpswebsecure:address:':443'http:http3:advertisedPort:'443'proxyProtocol:trustedIPs:-10.0.0.0/8-172.16.0.0/12-192.168.0.0/16forwardedHeaders:trustedIPs:-10.0.0.0/8-172.16.0.0/12-192.168.0.0/16

Natürlich reicht das nicht ganz aus. Wie ihr seht, veröffentliche ich Port443 um http3 auszuliefern. Da http3 aber via QUIC über UPD kommuniziert, muss auch diedocker-compose.yaml Datei angepasst werden.

Die Portkonfiguration sieht dann entsprechen so aus:

ports:-target:80published:80protocol:tcpmode:host-target:443published:443protocol:tcpmode:host-target:443published:443protocol:udpmode:host

Der letztetarget Block ist der wichtige. Hier wird Port 443 auf udp ausgeliefert. Abschließend noch den Container neu starten

docker compose rm -sf&& docker compose up -d

Solltest du mehr als nur Traefik in der Datei haben, werden diese Services entsprechend auch neu gestartet. Ich empfehle zukünftig traefik zu separieren.

Kunden bei Vodafone Kabel bekommen immer ein IPv6 Netz zugewiesen. In meinem Fall ist das ein /63 Netz. Da ich allerdings ein Doppel-NAT betreibe bekommen meine Clients keine IPv6 Adresse aus diesem Netz.

Warum überhaupt IPv6?

IPv6 fördert die End-to-End-Konnektivität. Dies ist wichtig, um eine direkte Kommunikation zwischen den Endgeräten im Internet zu ermöglichen, ohne dass komplexe Netzwerkadressübersetzung (NAT) eingesetzt werden muss, wie dies häufig bei IPv4 der Fall ist. Zudem hat IPv6 einige Verbesserungen gegenüber IPv4 in Bezug auf die Netzwerkeffizienz und Leistung. Dies umfasst eine optimierte Header-Struktur, die die Router-Verarbeitung erleichtert, sowie die Unterstützung für Multicasting, was dazu beiträgt, den Datenverkehr effizienter zu gestalten. IPv6 wurde mit Sicherheitsverbesserungen konzipiert. IPsec (Internet Protocol Security) ist in IPv6 integriert und bietet eine standardmäßige Verschlüsselung und Authentifizierung des Datenverkehrs. Angesichts der begrenzten Verfügbarkeit von IPv4-Adressen ist IPv6 die Zukunft des Internetprotokolls. Die Umstellung auf IPv6 stellt sicher, dass Netzwerke auch in den kommenden Jahren und Jahrzehnten in der Lage sind, mit dem ständig wachsenden Bedarf an IP-Adressen Schritt zu halten.

Einstellungen an der Fritzbox

Zuerst stellen wir alles bei der Fritzbox ein. Wir navigieren zuHeimnetzwerk ->Netzwerk ->Netzwerkeinstellungen ->IPv6-Einstellungen.

Router Advertisment im LAN aktiv

Die Einstellung ganz oben schalten wir ein. Dann möchten wir, dass die Unique Local Addresses (ULA) immer zugewiesen werden. Den ULA Prefix können wir uns quasi selbst ausdenken.

DNSv6 Server im Heimnetz

Ich habe den nicht aktiv. Ich versuche erst mal mein Pi-Hole im Netzwerk zu verwenden. Bisher habe ich noch keine Nachteile dadurch entdeckt.

DHCP-v6 Server im Heimnetz

Hier wird es spannend, weil hier die Zuweisung an die Endgeräte gemacht wird. Entsprechend aktivieren wir die erste OptionDHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren. Dann möchten wirDNS-Server und IPv6-Präfix (IA_PD) zuweisen. Den Rest lassen wir auf Standardeinstellung.

Einstellungen an der opnSense

Nun können wir mit der Konfiguration der opnSense fortfahren. Grundlegend sollten die Einstellungen auch sehr nah zur pfSense sein. Die Screenshots passen dann natürlich nicht mehr.

Einstellungen am WAN Interface

Wir starten mit den Einstellungen am WAN Interface. Also der Port mit dem sich die opnSense zur Fritzbox verbindet. Als erstes stellen wir denIPv6 Konfigurationstyp aufDHCPv6. In derDHCPv6 Clientkonfiguration fordern wir das IPv6 Prefix an und stellen diePräfixdelegationsgröße auf 63 (also ein bit kleiner als unser Netzwerk groß ist). Zudem senden wir den IPv6 Präfixhinweis.

Einstellungen des LAN Interface

Wir können auf Grund der Zuweisung des Netzes bis zu zwei Client Netzwerke mit IPv6 Adressen ausstatten. Wenn nur nur ein internes Netzwerk hast, sollte das natürlich kein Problem sein. Ich habe aber mein Normales Netzwerk für Server etc vom Client-Netzwerk getrennt und vergebe hier pro Netz IPv6 Adressen. Netzwerke wie für IoT Geräte oder Gastnetze können per IPv4 weiterhin verbleiben.

UnterSchnittstellen ->LAN möchten wir denIPv6 Konfigurationstyp ändern. Den müssen wir aufSchnittstelle aufzeichnen stellen. Ganz unten erscheint dann eine weitere Einstellungsgruppe mit dem NamenIPv6-Schnittstelle aufzeichnen. Die Schnittstelle setzen wir dann aufWAN, weil hier ja unsere IPv6 Pakete her kommen. Die Präfix-ID setzen wir auf0. Solltest du ein weiteres Netz konfigurieren, stellst du die ID dann im anderen Netz auf1. Wichtig ist unten noch das Häkchen beiErmöglichen Sie die manuelle Anpassung von DHCPv6- und Router-Ankündigungen* zu setzen!

Hier das ganze noch mal als Screenshot:

Router Advertisement

Als nächstes müssen wir das Router Advertisement einstellen. Dazu aufDienste ->Router Advertisement ->LAN klicken. Sollte der Punkt noch nicht vorhanden sein, kontrolliere mal ob du überall die Einstellungen auch korrekt gespeichert hast. Gegebenenfalls auch mal den Browser neu laden. Viel müssen wir hier nicht einstellen. Lediglich dasRouter Advertisement aufNichtVerwaltet.

Firewall Einstellungen überprüfen (optional)

Ich hatte noch das Problem, dass ich nur mit IPv4 Paketen ins Internet kam, allerdings nicht per IPv6. Entsprechend musste ich noch eine Firewall Regel anpassen. UnterFirewall ->Regeln ->LAN. Dort bearbeiten wir dieausgehende Regel und klicken hinten auf den Stift. Im sich öffnenden Fenster stellen wir dieTCP/IP Version vonIPv4 aufIPv4+IPv6 um. Anschließend auf speichern.

Testen der IPv6 Verbindung

Als erstes sollten wir gucken ob alle Interfaces auf der opnSense auch eine IPv6 Adresse bekommen haben. Dazu bitte unterSchnitstellen ->Überblick deine WAN Schnittstelle aufklappen. Du solltest unter IPv6-Adresse nun zwei Adressen haben. Einmal aus dem Vodafone Netz und eine die mitfd beginnt. Das ist die Adresse aus dem Bereich das wir bei der Fritzbox unterULA Prefix eingestellt haben. Unter deinen LAN Interfaces solltest du auch jeweils zwei Adressen haben. Wenn dem nicht so ist, kontrolliere nochmals alle Einstellungen.

Wenn bis dahin alles korrekt eingestellt wurde, öffnen wir die Seiteipv6-test.com (externer Link) . Diese kontrolliert nun ob ihr mit einer IPv4 und einer IPv6 Adresse ankommt. Entsprechend sollte es ähnlich zu meiner Anzeige sein.

]]>fritzboxopnsensenetworkinghttps://www.teqqy.de/unifi-controller-update-wie-geht-es-richtig/Tue, 16 Apr 2019 16:55:17 +0200Tue, 16 Apr 2019 16:55:17 +0200https://www.teqqy.de/unifi-controller-update-wie-geht-es-richtig/Man denkt, dass es einfach nur ein paar Mausklick ist, um ein Unifi (externer Link) Controller update durchzuführen. Grundsätzlich ist es das zwar auch, aber man sollte dennoch ein paar Dinge beachten, damit das Gesamterlebnis Unifi auch erhalten bleibt.<![CDATA[

Man denkt, dass es einfach nur ein paar Mausklick ist, um einUnifi (externer Link) Controller update durchzuführen. Grundsätzlich ist es das zwar auch, aber man sollte dennoch ein paar Dinge beachten, damit dasGesamterlebnis Unifi auch erhalten bleibt.

In diesem Beitrag möchte ich dir drei Dinge aufzeigen die Du vor jedem Update des UNMS durchführen solltest.

Datenbank komprimieren

Ubiquiti (externer Link) setzt für sein software definined network auf eine Datenbank NamensMongoDB (externer Link) . Diese hat viele Vor- als auch viele Nachteile. Zum einen ist sie selbst in größeren Installationen immer noch ziemlich performant und benötigt bei kleinen Installationen kaum Ressourcen. Eine Gute Kombination um die UNMS in vielen Bereichen Einsetzen zu können.
Nachteil ist allerdings, dass MongoDB nicht SQL Konform ist und damit natürlich auch die Wartung der Datenbanken anspruchsvoller ist. Zudem hat sie ein paar interne Routinen die das Pflegen der Datenbank nicht immer so einfach macht.

Genau aus diesen Gründen solltest Du bevor du ein Update durchführst immer die Datenbank im UNMS komprimieren. Dafür gehst du im Controller auf Wartung -> Datenbank komprimieren.

Unifi Controller Update – Dashboard {:.figcaption}

Backup kontrollieren

Falls etwas einmal schief laufen sollte, ist es gut ein Backup seiner Einstellungen zu haben. Ich lade mir vor jedem Unifi Controller update die aktuelle Backup Datei auf meinen Rechner. Nach ca. einer Woche lösche ich diese wieder, wenn ich merke, dass alles mit dem aktualisieren geklappt hat.

Ein Backup könnt ihr euch unter dem Punkt „Automatisches Backup“ herunterladen. Wie ihr seht, speichere ich die Daten aus dem IDS 30 Tag mit im Backup. Sollten diese Werte euch egal sein, könnt ihr für zukünftige Backups dies natürlich auch reduzieren.

Virtuelle Maschine sichern / Snapshot anlegen

Viele werden den Unifi Controller in einer virtuellen Maschine ausführen. Solltest Du allerdings einen Cloud Key besitzen, oder den Unifi Controller auf einemRaspberry Pi (externer Link) installiert haben, entfällt dieser Schritt natürlich.

Bei vielen Unternehmen, so auch bei mir privat, wird der UNMS in einer virtuellen Maschine betrieben. Bei dieser erstelle ich vor dem eigentlichen Update immer ein Snapshot um auf den vorherigen Stand zurück springen zu können. Der Unterschied zum Backup der reinen Konfiguration ist, dass bei einem Snapshot auch der eigentliche Installationsprozess des Updates zurückgedreht werden kann.

Unifi Controller Update durchführen

Zu guter letzt muss das Unifi Controller Update noch durchgeführt werden. Hierzu entweder die neue Installationsdatei herunter laden und ausführen, oder mittels Paketmanager unter Linux installieren. Die Installation mit einem Paketmanager ist übrigens meine Favorisierte Variante, wenn Du Linux einsetzt.

Anschließend noch den Dienst oder Service bei deiner Installation neu starten und schon hast Du die aktuelle Version des Unifi Controllers im Einsatz.

Alternative Unifi Cloud Controller

Diese Schritte musst du nicht alle durchführen wenn du auf den Unifi Cloud Controller setzt. Dieser ist als eigenständige Hardware erhältlich. Vorteil ist, dass du dich auch nicht um Backups und ähnliche Dinge kümmern musst. Leider benötigst du natürlich dafür eine Verbindung ins Internet, was auch nicht jeden gefallen sollte. Möchtest du dein Netzwerk schlank halten, wäre dieser allerdings sehr zu empfehlen.

In derUbiquiti (externer Link) UNMS findet sich an der linken Seite ein Icon mit der man eineUnifi (externer Link) Map erstellen und verwalten kann. Wofür soll das aber gut sein?

Mit dieserUnifi Map Funktionalität ist es möglich die Abdeckung des WLANs zu visualisieren. Das kann entweder für WLAN Signale innerhalb von Räumen oder für Mesh-Netzwerke über ein Freigelände hinweg gemacht werden.

Um diese Unifi Map erstellen zu können, sind ein paar Schritte notwendig. Ich habe im ersten Schritt mir eine Karte mitInkScape (externer Link) erstellt. InkScape ist ein freies Programm das CAD ähnliche Funktionen bereitstellt. Da die Software etwas mächtig ist, ist der Einsteig nicht immer ganz leicht. Allerdings sind hier gute maßstabsgetreue Zeichnungen möglich.
Alternativ lässt sich natürlich auch ein gut eingescannter, oder vielleicht sogar schon digital vorliegender, Grundriss hochladen.

Hat man die Karte hoch geladen, muss im nächsten Schritt die Skalierung der Karte festgelegt werden. Hierfür zieht man zwischen zwei bekannten Punkten einen Pfeil und gibt anschließend die Distanz an. Im Grundriss sind die entsprechenden Werte direkt vorhanden, alternativ müsstest du nachmessen.

Die UNMS weiß nun wie groß deine Wohnung ist. Aber um die WLAN Abdeckung korrekt bewerten zu können, muss die Software natürlich wissen was für Wände du hast und wie dick diese sind. Du solltest also diese korrekt einzeichnen. Fenster habe ich immer mit dem Material Glas eingearbeitet.
Leider ist es nicht möglich verschiedene Höhen zu bewerten, heißt der UNMS nimmt immer die Standarddeckenhöhe von 2,4 m. Wenn du es korrekt machen möchtest, darfst du also nur die Wände als Glas kennzeichnen die auch eine überwiegende Höhe in Glas haben, z. B. Terrassentüren.

Unifi Map erstellen als Video

Im letzten Schritt müssen noch deine Accesspoints positioniert werden. Beachte hierbei, dassUbiquiti (externer Link) immer davon ausgeht, dass die Accesspoints wie z. B. der UAP-AC-Pro immer horizontal unter der Decke befestigt werden. Sollte dein Accesspoint vertikal an der Wand befestigt sein, stimmt die Karte natürlich nicht mehr zu 100 Prozent.

Zudem sollest du den Dämpfungswiederstand anpassen. Standardmäßig steht der auf -74 dBm. Korrekterweise solltest du es mit einem Client ausmessen und den Wert angeben. Im Unifi Forum wird häufig -90 dBm angegeben. Bei mir entspricht dieser Wert auch ca. meiner reell gemessenen Erfahrung.

Wer möchte kann anschließend noch weitere Accesspoints hinzufügen um zu sehen welche WLAN Abdeckung mit zusätzlichen UAP-AC-Pro oder UAP-AC-Lite möglich sind.

Vor kurzem bin ich auf das Problem gestoßen, dass ich meinenDebian (externer Link) Systemen einen anderen NTP Server beibringen wollte. Der Debian NTP Client sollten nicht mehr die Poolserver im Internet abfragen, sondern die Firewall. Diese konfiguriere ich, sofern es diese zulässt, immer als zentralen NTP Server für dasNetzwerk . Diese soll dann die Abfragen an die öffentlichen Adressen durchführen.

Debian NTP Client konfigurieren

Im Internet gibt es diverse Anleitungen die einem sagen, man möge doch einfach das Paket NTP installieren und dann die Server umtragen. Funktioniert leider nicht! Debian arbeitet via systemd mit dem Paket „systemd-timesyncd“. Dieses übernimmmt die entsprechende Funktion um korrekten einstellen der Uhrzeit am System.

Um jetzt einen individuellen Zeitserver einzutragen editiert man die Datei

/etc/systemd/timesyncd.conf

Diese ist per default kaum konfiguriert. Entsprechend trägt man die Server so ein, dass die Datei im Anschluss ca. so aussehen könnte:

[Time]
NTP={IP des NTP Servers}

Anschließend startet man noch den Dienst neu

systemctl restart systemd-timesyncd

Und schon fragt der Debian NTP Client den korrektenNTP Server (externer Link) ab. Kontrollieren kannst du das natürlich im syslog.

Alternative: Chrony

Chrony ist eine Software, die zur Zeitsynchronisation auf Computern und Netzwerken verwendet wird. Sie ist eine der modernen Alternativen zu NTP (Network Time Protocol)-Diensten und eignet sich besonders gut für Systeme, die nicht immer eine permanente Netzwerkverbindung haben, wie Laptops oder Server mit gelegentlicher Internetverbindung.

Installiert wird chrony ganz regulär mittels

apt install chrony

Anschließend sollte noch die Konfigurationsdatei geändert werden. Zumindest wenn du einen eigenen NTP-Server verwenden möchtest.

vim /etc/chrony/chrony.conf

Direkt bei Server kannst du die Zeilen raus löschen und gegen deinen Server austauschen. Wie immer muss der Dienst anschließend neu gestartet werden

systemctl restart chronyd

Einige Benutzer derUbiquiti (externer Link)UniFi (externer Link) Serie haben/hatten das Problem, dass sie kein IPSec VPN mit einer Fritzbox im doppel NAT erstellen konnten. Ein Zuschauer von meinemYouTube Kanal (externer Link) hatte mich dazu befragt, ob ich mir das ganze Problem einmal anschauen könnte und eventuell sogar ein Video zur Einrichtung erstellen würde.

Angeschaut habe ich es mir recht zügig, denn das Thema VPN hatte ich eh noch auf meiner persönlichen ToDo Liste stehen. Mein iPhone und evtl. das iPad sollten bei Bedarf sich mit dem heimischen Netz verbinden können.

Die Anleitung dazu war auch recht schnell erstellt. Man muss beim Setup nur ein paar grundsätzliche Dinge beachten. Gerade dieFritzbox (externer Link) ist hier beim doppelten NAT gern die Spaßbremse. Es ist wichtig alle möglichen Komponenten zu deaktivieren die dieFritzbox (externer Link) dazu verleitet eine VPN Verbindung anzunehmen. Sobald man diese Schritte bedacht hat, ist der Rest ein Kinderspiel.

Elementare Dinge sind nämlich das löschen aller MyFritz Verbindungen sowie die per Default eingerichtete VPN Verbindung. Zudem ist es wesentlich leichter wenn man, so wie ich, dieUniFi (externer Link)USG (externer Link) per Exposed Host eingetragen hat. So spart man sich das lästige heraussuchen von Ports mit den dazugehörigen Protokollen. Zumindest wenn dieUSG (externer Link) das neue default gateway im Netzwerk wird.

Der ganze Prozess ist natürlich von mir auch in einem Video festgehalten worden. Damit könnt ihr Schritt für Schritt die VPN Verbindung mit mir einrichten. Zum Schluss zeige ich euch auch noch, wie ihr diese L2TP VPN Verbindung mit einem iOS Device einrichten könnt.