RDP werkt niet meer na IP switch naar IPv6

[blatenja]

Hallo Tweakers,

vannacht heeft KPN haar IP bij ons omgezet van IPv4 naar IPv6. Voorheen op IPv4 kon ik gewoon connecten met een internet IP naar mijn remote desktop, maar sindsdien kan dit niet meer als ik het IPv6-adres gebruik. Ik heb al diverse sites gegoogled maar echt concreet antwoorden zie ik niet hoe je dit kunt fixen. De situatie voorheen:

Lokaal IP van RDP-PC: 192.168.0.5
Lokale IP range: 192.168.0.X
Router: ZTE-modem (standaard KPN-modem)

Ik heb geprobeerd om op mijn PC en zowel de RDP-PC op een IPv6-range te zetten, maar dit werkt alleen maar lokaal. Nieuwe situatie dus:

Lokaal IP van RDP-PC: 192.168.0.5 (IPv4), 2001::300 (IPv6)
Lokaal IP van client: 192.168.0.105 (IPv4), 2001::3002 (IPv6)

Geprobeerd te connecten met: [IPv6] en [IPv6]:poortnummer
Geen succes helaas.

In de router heb ik ook al Poort forwarding - IPv6 in proberen te stellen op poort 3389 maar zonder resultaat. Ik weet ook niet wat nu de IPv6 gateway is voor de RPD-machine (Windows 2012 server). Iemand enig idee wat ik mis? En is het ook wel daadwerkelijk nodig dat ik lokaal mijn IP's setup naar IPv6 om van buitenaf te kunnen verbinden met de RDP-machine?

[ Voor 4% gewijzigd door blatenja op 09-09-2021 11:03 ]

[Brahiewahiewa]

blatenja schreef op donderdag 9 september 2021 @ 10:57:
... En is het ook wel daadwerkelijk nodig dat ik lokaal mijn IP's setup naar IPv6 om van buitenaf te kunnen verbinden met de RDP-machine?

Probeer FF te achterhalen of je dual stack (ip4 + ipv6) hebt of CGN
In het eerste geval zou het moeten werken met port forwards. In het geval van CGN werkt het alleen nog maar op ipv6 en zal je de ipv6 firewall rules moeten wijzigen om verbindingen van buiten naar binnen toe te staan.
Overigens is dan het adres 2001::300 incorrect: dat adres is niet van jou

[ewoutw]

Als ik het goed dit begrijp probeer je binnen je LAN van 1 PC naar een andere PC te gaan met RDP.
KPN heeft IPv6 aangezet. Dit zou eigenlijk geen invloed op je LAN moeten hebben.

Als je een ipconfig (op beide machines) rund krijg je dan nog IPv4 adres? en is dit ook het adres dat je verwacht?
Als dat zo is zou je nog steeds op IPv4 basis moeten kunnen connecten.

[ Voor 17% gewijzigd door ewoutw op 09-09-2021 11:36 . Reden: extra info + typo's ]

[blatenja]

Ik zie in de router inmiddels ook dat er een IPv4 internetadres vrijgegeven wordt dus het lijkt op dual stack. Daarmee werkt het wel weer als vanouds. Maar goed, om me wel voor te bereiden op IPv6 wil ik op zich het ook wel via die manier gaan voorbereiden indien mogelijk.

Lokaal via de LAN werkt het allemaal prima, maar via internet krijg ik het maar niet aan de praat over IPv6. Als ik ipconfig run op beide machines, krijg ik zowel het lokale IPv4 192-adres, als het IPv6-adres dat ik ingesteld heb. Echt heel logisch vind ik het instellen van IPv6 tot dusver nog niet moet ik eerlijk zeggen. Je zou toch ook zeggen dat je lokaal gewoon kunt blijven werken met IPv4 en dan internet gewoon gebruikt via IPv6 zonder lokaal ook hiermee aan de gang te moeten...?

[ Voor 20% gewijzigd door blatenja op 09-09-2021 11:38 ]

[consolefreak]

Heeft je systeem in jouw interne netwerk wel een IPv6 adres? Zo niet, kan de router het waarschijnlijk niet doorsturen.

Los van wat je wil bereiken, het is niet bepaald verstandig om RDP direct aan het internet te hangen. De laatste jaren zijn er veel kwetsbaarheden in het protocol gevonden en in basis is het gewoon een oud protocol. Verstandigste is om een VPN oplossing op te zetten. Vervolgens kan je via die vpn wel bij je systeem komen via RDP.

[Orion84]

ewoutw schreef op donderdag 9 september 2021 @ 11:34:
Als ik dit begrijp probeer je binnen je LAN van 1 PC naar een andere PC te gaan met RDP.
KPN heeft IPv6 aangezet.

als je een ipconfig (op beide machines) rund krijg je dan nog IPv4 adres?
Als dat zo is zou je nog steeds op IPv4 basis moeten kunnen connecten.

Nee, hij probeert van buiten met zijn LAN te verbinden. Voorheen via IPv4 en een portforward, maar dat werkt niet meer sinds KPN zijn aansluiting heeft aangepast naar IPv6.

De vraag is, zoals hierboven ook al genoemd: wat voor IPv4 adres krijg je nu van KPN (want dat krijg je ongetwijfeld nog steeds op je modemrouter). Is dat nog steeds een volwaardig adres (maar enkel een ander adres, waardoor het adres dat je voorheen gebruikte niet meer werkt)? Of is dat een private (CGN) adres?
edit: dual stack dus en ipv4 werkt al weer.

Voor wat betreft IPv6: daar heb je niet te maken met portforwarding. Maar vaak wel met een firewall in je modemrouter die min of meer hetzelfde effect heeft: verbindingen vanaf buiten worden tegengehouden tenzij je specifiek bepaalde poorten openzet.

Het lijkt @blatenja of je nu maar willekeurig handmatig een IPv6 IP hebt ingesteld op beide PCs? Dat werkt natuurlijk niet. De server zou een IPv6 adres moeten kiezen / krijgen op basis van informatie van je router.

En aan de client kant: heb je daar überhaupt IPv6 functionaliteit op je netwerk?

Alternatief: kijk naar iets als teamviewer, dat is niet afhankelijk van portforwards en dergelijke.

[blatenja]

consolefreak schreef op donderdag 9 september 2021 @ 11:38:
Heeft je systeem in jouw interne netwerk wel een IPv6 adres? Zo niet, kan de router het waarschijnlijk niet doorsturen.

Los van wat je wil bereiken, het is niet bepaald verstandig om RDP direct aan het internet te hangen. De laatste jaren zijn er veel kwetsbaarheden in het protocol gevonden en in basis is het gewoon een oud protocol. Verstandigste is om een VPN oplossing op te zetten. Vervolgens kan je via die vpn wel bij je systeem komen via RDP.

Ja, zowel beide IPv4 als IPv6 nu ingesteld staan:

Lokaal IP van RDP-PC: 192.168.0.5 (IPv4), 2001::300 (IPv6)

Voor de duidelijkheid: Inmiddels heb ik in de router ook een IPv4 Internet IP gevonden, daarmee werkt het weer gelukkig Maar voor hoe lang is een beetje de vraag, als KPN ooit besluit om de stekker uit IPv4 te trekken.

[ Voor 14% gewijzigd door blatenja op 09-09-2021 11:42 ]

[Orion84]

Je kan dat niet zomaar handmatig instellen, daar heb je niks aan, zeker niet voor verbindingen over het internet.

Beide netwerken moeten IPv6 connectiviteit hebben en adressen stel je in middels SLAAC / DHCPv6. Handmatig kan vast ook, maar dan moet je alsnog aansluiten bij de prefix die iedere kant gekregen heeft van de betreffende ISP.

[lier]

Mmmm...RDP open stellen via Internet...niet echt verstandig. Verder een interessant topic...ik volg hem even.

[PD2JK]

Network Profile op Public geschoten omdat Windows een 'nieuw' netwerk gedetecteerd heeft? En dus Windows Firewall op block-all?

[Brahiewahiewa]

blatenja schreef op donderdag 9 september 2021 @ 11:36:
Ik zie in de router inmiddels ook dat er een IPv4 internetadres vrijgegeven wordt dus het lijkt op dual stack. Daarmee werkt het wel weer als vanouds. Maar goed, om me wel voor te bereiden op IPv6 wil ik op zich het ook wel via die manier gaan voorbereiden indien mogelijk.

Lokaal via de LAN werkt het allemaal prima, maar via internet krijg ik het maar niet aan de praat over IPv6. Als ik ipconfig run op beide machines, krijg ik zowel het lokale IPv4 192-adres, als het IPv6-adres dat ik ingesteld heb. Echt heel logisch vind ik het instellen van IPv6 tot dusver nog niet moet ik eerlijk zeggen. Je zou toch ook zeggen dat je lokaal gewoon kunt blijven werken met IPv4 en dan internet gewoon gebruikt via IPv6 zonder lokaal ook hiermee aan de gang te moeten...?

Dat zeg ik: ip4 werkt via NAT port forwarding. Ipv6 heeft gelukkig geen NAT, maar by default wordt alle binnenkomende verkeer in de firewall geblocked en moet je firewall regels toevoegen om een service aan te kunnen bieden

[blatenja]

Brahiewahiewa schreef op donderdag 9 september 2021 @ 11:44:
[...]

Dat zeg ik: ip4 werkt via NAT port forwarding. Ipv6 heeft gelukkig geen NAT, maar by default wordt alle binnenkomende verkeer in de firewall geblocked en moet je firewall regels toevoegen om een service aan te kunnen bieden

In de router kan ik ook port forwardings doen maar die moeten toch ook naar het lokale IPv6 IP dat is ingesteld geforward worden zou ik zeggen?

[Orion84]

blatenja schreef op donderdag 9 september 2021 @ 11:47:
[...]


In de router kan ik ook port forwardings doen maar die moeten toch ook naar het lokale IPv6 IP dat is ingesteld geforward worden zou ik zeggen?

[Afbeelding]

Ah, lekker logisch dat ze dat "port forwarding" noemen, terwijl het eigenlijk waarschijnlijk gewoon firewall openingen zijn. Maar op zich ergens ook wel weer gemakkelijk voor de gemiddelde consument dat die twee dingen (die voor de gebruiker uiteindelijk hetzelfde effect hebben) hetzelfde gepresenteerd worden.

Maar nogmaals: begin eerst eens met aan beide kanten IPv6 daadwerkelijk aan de praat krijgen. Gebruik bijvoorbeeld https://ipv6-test.com om te checken of je daadwerkelijk IPv6 functionaliteit op beide systemen hebt.

[Brahiewahiewa]

blatenja schreef op donderdag 9 september 2021 @ 11:47:
[...]


In de router kan ik ook port forwardings doen maar die moeten toch ook naar het lokale IPv6 IP dat is ingesteld geforward worden zou ik zeggen?

[Afbeelding]

Dat is alleen nog maar de eerste stap. Er is nog een tweede stap benodigd: de firewall die op je RDP server draait moet ook weten dat externe connecties zijn toegestaan

[blatenja]

Brahiewahiewa schreef op donderdag 9 september 2021 @ 11:55:
[...]

Dat is alleen nog maar de eerste stap. Er is nog een tweede stap benodigd: de firewall die op je RDP server draait moet ook weten dat externe connecties zijn toegestaan

Op de RDP-server heb ik dezelfde poorten geopend inderdaad, maar zonder resultaat. Ik ga ervan uit dat dat ook gewoon 3389 moet zijn?

Inmiddels een VPN-connectie gemaakt op de server om te kijken of dat beter bevalt.
Doel is om de PC echt over te nemen, met een VPN moet je alsnog verbinden EN een RDP opzetten naar de PC. Ik vind dat net wat omslachtiger, vandaar de online RDP-constructie.

[ElCondor]

Op zich, gemak dient de mens en je RDP op internet zichtbaar is het toppunt van gemak, maar houdt er rekening mee dat rdp aanvallen niet van de lucht zijn. Je moet een hele goede reden hebben om RDP op een publiek IP adres open te stellen.
Als het gaat om een enkele prive PC danis een VPN aan te raden, voor meerdere computers in een server omgeving zou ik RDP-Web aan raden.
Natuurlijk is een VPN openen omslachtiger, maar je voorkomt er wel mee dat er ongewenste personen binnenkomen...

[Verwijderd]

blatenja schreef op donderdag 9 september 2021 @ 13:34:
[...]


Op de RDP-server heb ik dezelfde poorten geopend inderdaad, maar zonder resultaat. Ik ga ervan uit dat dat ook gewoon 3389 moet zijn?

Inmiddels een VPN-connectie gemaakt op de server om te kijken of dat beter bevalt.
Doel is om de PC echt over te nemen, met een VPN moet je alsnog verbinden EN een RDP opzetten naar de PC. Ik vind dat net wat omslachtiger, vandaar de online RDP-constructie.

3389 en je moet daarin de externe adressen whitelisten waarmee je naar de server wil toe verbinden.

Overigens zou ik om beveiligingsredenen direct kappen met dit hele verhaal als je geen RDGateway hebt + Azure NPS extensie voor MFA beveiliging, maar moet je verder zelf weten.

[Dyckie]

Bij mij staat die RDP ook maar open voor heel internet, maar dan moeten ze eerst mijn email adres en wachtwoord te weten moet komen voor ze kunnen inloggen. Op een dag zijn er zo ongeveer 6000 inlogpogingen om in mijn computer binnen te geraken.

Ps. gebruik enkel mijn windows firewall.

[ Voor 8% gewijzigd door Dyckie op 10-09-2021 16:21 ]

[Orion84]

Dyckie schreef op vrijdag 10 september 2021 @ 16:19:
Bij mij staat die RDP ook maar open voor heel internet, maar dan moeten ze eerst mijn email adres en wachtwoord te weten moet komen voor ze kunnen inloggen. Op een dag zijn er zo ongeveer 6000 inlogpogingen om in mijn computer binnen te geraken.

Tot er weer een keer een kwetsbaarheid bekend wordt die al te misbruiken is vóór authenticatie.

[FreakNL]

Dyckie schreef op vrijdag 10 september 2021 @ 16:19:
Bij mij staat die RDP ook maar open voor heel internet, maar dan moeten ze eerst mijn email adres en wachtwoord te weten moet komen voor ze kunnen inloggen. Op een dag zijn er zo ongeveer 6000 inlogpogingen om in mijn computer binnen te geraken.

Ps. gebruik enkel mijn windows firewall.

Hahaha 6000 inlogpogingen? En in welke wereld vind jij dat ok?

Mensen, stop met die pruts-oplossingen en doe iets met RD-Gateway of VPN.....,

[Dyckie]

Zie foto, ze komen allemaal van hetzelfde ip adres.

[nelizmastr]

Dyckie schreef op vrijdag 10 september 2021 @ 18:38:
Zie foto, ze komen allemaal van hetzelfde ip adres.

[Afbeelding]

Herhaling van de vraag erboven, wat is daar oke aan? Je presenteert het als een prestatie maar dat is het natuurlijk niet. Omdat je te lui bent om een VPN op te zetten accepteer je maar dat je een halve DDoS naar je PC krijgt de hele dag?

Man, man, man…

[MisteRMeesteR]

nelizmastr schreef op vrijdag 10 september 2021 @ 22:14:
[...]


Herhaling van de vraag erboven, wat is daar oke aan? Je presenteert het als een prestatie maar dat is het natuurlijk niet. Omdat je te lui bent om een VPN op te zetten accepteer je maar dat je een halve DDoS naar je PC krijgt de hele dag?

Man, man, man…

Amen.