Thomas.will@claude: IPv6 für Medien: TURN, mediasoup, Firewall-Alias

2026-10-30T10:54:19Z

IPv6 für Medien: TURN, mediasoup, Firewall-Alias

@@ Zeile 127: / Zeile 127: @@
 =IPv4 und IPv6=
-*Die '''Weboberfläche''', Greenlight und die Schnittstelle sind über '''IPv4 und IPv6''' erreichbar (wenn A- und AAAA-Eintrag sowie die ufw-Regeln für beide da sind).
+Die Weboberfläche, Greenlight und die Schnittstelle sind mit A- und AAAA-Eintrag sowie den ufw-Regeln für beide Protokolle sofort über '''IPv4 und IPv6''' erreichbar. Für die '''Medien''' (Audio, Video) sind in der Voreinstellung der eingebaute TURN-Server und mediasoup nur an die IPv4-Adresse gebunden. LiveKit, die Standardschiene in BigBlueButton 4.0, sammelt die Adressen aller Netzwerkkarten ein und braucht keine Änderung.
-*Die '''Medien''' (Audio, Video) und der eingebaute TURN-Server sind in der Voreinstellung '''nur an die IPv4-Adresse''' gebunden: <code>listening-ip</code> in <code>/etc/turnserver.conf</code>, <code>announcedIp</code> bei Mediasoup und LiveKit. Ein Teilnehmer nur mit IPv6 kommt damit ins Webinterface, aber nicht in die Medienströme. Die üblichen Rechner mit beiden Adressen nutzen für die Medien IPv4 und merken nichts davon.
 =Zertifikat und Updates=

Thomas.will@claude: Neue Anleitung

2026-10-30T10:25:48Z

Neue Anleitung

Neue Seite

Diese Anleitung baut einen eigenen '''BigBlueButton'''-Server (Version 4.0) mit der Raumverwaltung '''Greenlight''' auf einem frischen Ubuntu 24.04 auf. Alle Namen und Adressen sind Beispiele und müssen durch die eigenen ersetzt werden.

{| class="wikitable"
! Beispielwert !! Bedeutung
|-
| <code>bbb.example.org</code> || Name des Servers (FQDN)
|-
| <code>203.0.113.10</code> || öffentliche IPv4-Adresse
|-
| <code>2001:db8:100::10</code> || öffentliche IPv6-Adresse
|-
| <code>admin@example.org</code> || Mailadresse für Let's Encrypt
|}

=Voraussetzungen=
*Ein '''frischer, dedizierter''' Server mit '''Ubuntu 24.04''' (64 Bit). Eine Aktualisierung von einer älteren BigBlueButton-Version ist nicht vorgesehen.
*'''8 CPU-Kerne''' und '''16 GB RAM''' (mit Swap). Für Tests genügen weniger (4 Kerne, 8 GB).
*'''Platte:''' Mit Aufzeichnungen sind 500 GB empfohlen, ohne Aufzeichnungen reichen 50 GB. Für die Aufzeichnungen am besten ein eigenes Volume.
*Eine öffentliche '''IPv4-Adresse''' und, wenn gewünscht, eine '''IPv6-Adresse'''. Dazu etwa 250 Mbit/s symmetrisch bei vielen Teilnehmern.
*Ein '''Name''' (FQDN) mit DNS-Eintrag, denn Kamera, Mikrofon und Bildschirmfreigabe funktionieren im Browser nur über HTTPS.
*Port 80 und 443 dürfen von keinem anderen Webserver belegt sein.

=DNS=
Der Name muss auf den Server zeigen, bevor die Installation startet, sonst bekommt Let's Encrypt kein Zertifikat.
<pre>
bbb.example.org. IN A 203.0.113.10
bbb.example.org. IN AAAA 2001:db8:100::10
</pre>
Prüfen (von einem anderen Rechner):
<pre>
dig +short A bbb.example.org @8.8.8.8
dig +short AAAA bbb.example.org @8.8.8.8
</pre>
Wichtig: Wenn ein AAAA-Eintrag existiert, versucht Let's Encrypt auch über IPv6 zu prüfen. Der Server muss dann auf Port 80 über IPv6 erreichbar sein, sonst scheitert das Zertifikat. Wer kein IPv6 anbietet, trägt keinen AAAA-Eintrag ein.

=Vorbereitung=
<pre>
hostname -f # muss bbb.example.org ausgeben
timedatectl # System clock synchronized: yes
locale -a | grep en_US # en_US.utf8 muss vorhanden sein
sudo apt update && sudo apt full-upgrade
</pre>

=Firewall=
Das Installationsskript richtet mit der Voreinstellung die Firewall <code>ufw</code> ein. Das setzt voraus, dass SSH auf '''Port 22''' läuft, sonst bricht es ab. Zusätzlich muss eine Firewall vor dem Server (Hoster, Router) die Ports durchlassen.
{| class="wikitable"
! Port !! Protokoll !! wofür
|-
| 22 || TCP || SSH
|-
| 80 || TCP || HTTP, Zertifikat von Let's Encrypt
|-
| 443 || TCP || HTTPS, Weboberfläche
|-
| 3478 || TCP und UDP || eingebauter TURN-Server
|-
| 16384–32768 || UDP || Audio, Video, Bildschirm
|}

==Eigener SSH-Port==
Läuft SSH auf einem anderen Port (hier als Beispiel 2222), startet man das Skript mit dem Schalter <code>-W</code> und richtet <code>ufw</code> vorher selbst ein. Den SSH-Port '''zuerst''' freigeben, sonst sperrt man sich aus:
<pre>
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp comment "SSH"
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow 3478/tcp
sudo ufw allow 3478/udp
sudo ufw allow 16384:32768/udp
sudo ufw enable
sudo ufw status numbered
</pre>
In <code>/etc/default/ufw</code> muss <code>IPV6=yes</code> stehen, damit die Regeln auch für IPv6 gelten (das ist bei Ubuntu die Voreinstellung). Danach in einem '''zweiten''' Terminal prüfen, ob eine neue SSH-Verbindung klappt, bevor man das erste schließt.

=Installation=
Das offizielle Skript <code>bbb-install.sh</code> erledigt alles: Pakete, Docker, nginx, Zertifikat, TURN-Server und Greenlight. Erst herunterladen und ansehen, dann starten:
<pre>
sudo -i
wget -O bbb-install.sh https://raw.githubusercontent.com/bigbluebutton/bbb-install/v4.0.x-release/bbb-install.sh
chmod 700 bbb-install.sh
./bbb-install.sh -h # alle Schalter anzeigen
</pre>
Aufruf mit der eigenen Firewall (<code>-W</code>) und Greenlight (<code>-g</code>):
<pre>
nohup ./bbb-install.sh -v noble-400 -s bbb.example.org -e admin@example.org -g -W > bbb-install.log 2>&1 &
tail -f bbb-install.log
</pre>
Wer SSH auf Port 22 hat und die Firewall vom Skript einrichten lässt, lässt <code>-W</code> weg.
{| class="wikitable"
! Schalter !! Bedeutung
|-
| <code>-v noble-400</code> || BigBlueButton 4.0 auf Ubuntu 24.04
|-
| <code>-s</code> || Name des Servers
|-
| <code>-e</code> || Mailadresse für Let's Encrypt
|-
| <code>-g</code> || Greenlight (Weboberfläche für Räume) installieren
|-
| <code>-W</code> || keine <code>ufw</code>-Einrichtung durch das Skript
|-
| <code>-m /pfad</code> || <code>/var/bigbluebutton</code> auf ein eigenes Volume legen (Aufzeichnungen)
|}
Die Installation dauert einige Minuten. Das Log enthält am Ende die Datenbank-Zugangsdaten von Greenlight und gehört deshalb nach der Installation gelöscht oder in ein sicheres Verzeichnis verschoben.

=Prüfen=
<pre>
sudo bbb-conf --status # alle Dienste müssen active sein
sudo bbb-conf --check # Hinweise zur Konfiguration
sudo certbot certificates # Zertifikat und Ablaufdatum
sudo docker ps # greenlight-v3, postgres, redis
</pre>
Von einem anderen Rechner:
<pre>
curl -4 https://bbb.example.org/bigbluebutton/api # returncode SUCCESS
curl -6 https://bbb.example.org/bigbluebutton/api
</pre>
Ein <code>502</code> direkt nach dem Start ist normal, solange Greenlight hochfährt. Nach einer halben Minute sollte <code>https://bbb.example.org/b</code> antworten.

=Greenlight-Administrator=
Zu Beginn gibt es noch kein Benutzerkonto. Das Administratorkonto legt man im Container an:
<pre>
sudo docker exec -it greenlight-v3 bundle exec rake admin:create["Name","admin@example.org","EIN-LANGES-PASSWORT"]
</pre>
Das Passwort steht dann in der Shell-Historie. Besser direkt danach in Greenlight ändern und die Historie bereinigen. Anmelden unter <code>https://bbb.example.org/b</code>.

=IPv4 und IPv6=
*Die '''Weboberfläche''', Greenlight und die Schnittstelle sind über '''IPv4 und IPv6''' erreichbar (wenn A- und AAAA-Eintrag sowie die ufw-Regeln für beide da sind).
*Die '''Medien''' (Audio, Video) und der eingebaute TURN-Server sind in der Voreinstellung '''nur an die IPv4-Adresse''' gebunden: <code>listening-ip</code> in <code>/etc/turnserver.conf</code>, <code>announcedIp</code> bei Mediasoup und LiveKit. Ein Teilnehmer nur mit IPv6 kommt damit ins Webinterface, aber nicht in die Medienströme. Die üblichen Rechner mit beiden Adressen nutzen für die Medien IPv4 und merken nichts davon.

=Zertifikat und Updates=
*Das Zertifikat erneuert <code>certbot</code> automatisch (Timer <code>certbot.timer</code>). Test: <code>sudo certbot renew --dry-run</code>
*Aktualisieren innerhalb der Version: dasselbe Skript noch einmal mit denselben Schaltern aufrufen.
*Von einer anderen Hauptversion oder anderem Ubuntu aus wird nicht aktualisiert, sondern auf einem neuen Server neu aufgebaut.

=Hinweise aus der Praxis=
*Im Log erscheinen Fehler von <code>update-alternatives</code> für Java-Werkzeuge. Sie sind harmlos.
*Ein Fehler von <code>freeswitch.service</code> beim ersten Start wird vom Skript durch einen Neustart behoben. Kontrolle: <code>sudo bbb-conf --status</code>.
*Die Meldung, eine Greenlight-Datei für nginx fehle, kommt beim ersten Lauf, danach wird sie angelegt.
*Skript, Version und Schalter ändern sich. Immer zuerst <code>./bbb-install.sh -h</code> und die Dokumentation lesen.

=Quelle=
*https://docs.bigbluebutton.org/administration/install/
*https://github.com/bigbluebutton/bbb-install
*[[BigBlueButton]]
*[[BigBlueButton hardening]]

BigBlueButton installieren - Versionsgeschichte

Thomas.will@claude: IPv6 für Medien: TURN, mediasoup, Firewall-Alias

Thomas.will@claude: Neue Anleitung