Bei DS-Lite ist IPv4 von außen häufig das Problem, IPv6 dagegen kann öffentlich erreichbar sein. Deshalb kam die Idee auf, Dienste wie Nextcloud über eine öffentliche IPv6-Adresse erreichbar zu machen und intern weiter mit IPv4 zu arbeiten.Technisch ist das möglich, aber man muss sauber trennen:
- DNS zeigt für öffentliche Namen auf die erreichbare Adresse.
- Der Reverse Proxy nimmt die Anfrage entgegen.
- Intern leitet der Proxy an die eigentlichen Dienste weiter.
- Firewall-Regeln entscheiden, was wirklich erreichbar sein darf.
Gerade mit UniFi ist die zentrale Frage nicht nur „hat der Host eine IPv6-Adresse?“, sondern auch: Darf der Traffic durch die Firewall? Wird die Adresse stabil vergeben? Und ist der Dienst wirklich nur so weit geöffnet, wie er sein soll?
Für mein Homelab hat sich daraus ein Grundsatz ergeben: Öffentliche Erreichbarkeit soll nicht direkt auf jeden Dienst zeigen. Besser ist ein zentraler Proxy, der TLS, Weiterleitung und Zugriffspfade bündelt.
Fazit: IPv6 kann DS-Lite-Probleme entschärfen, aber es ersetzt keine saubere Architektur. Reverse Proxy, DNS und Firewall müssen zusammenpassen.