---
title: VPN- und IPv6-Proxy-Nodes
description: Linux-Hosts als VPN-Nodes (cmp-agent) und IPv6-Proxy-Nodes vorbereiten: Betriebssystem, IP-Adressen, IPv6-Präfixe, Ports, sysctl, Setup und Heartbeat.
url: https://nexcmp.com/de/docs/infrastructure/vpn-proxy-nodes/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# VPN- und IPv6-Proxy-Nodes {#vpn-and-ipv6-proxy-nodes}

> **Wo im Admin-Bereich:** Infrastructure › VPN & Proxy nodes › Agents & external nodes (`/agents`), VPN IP pools (`/vpn/pool`), IPv6 Proxy nodes (`/vpn/proxy6/nodes`). Die Dienste selbst befinden sich unter Services › VPN und Services › IPv6 Proxy. Beide Module werden unter System › Admin › License & updates eingeschaltet.

## Funktion {#what-it-does}

NexCMP vertreibt VPN- und Proxy-Zugriffe, die über **Ihnen gehörende IP-Adressen** auf von Ihnen betriebenen Servern ausgehen. Es gibt zwei Arten von Nodes:

- **VPN-Node.** Ein kleines Go-Programm, `cmp-agent`, läuft auf Ihrem Linux-Host. Es ermittelt die öffentlichen IPv4-Adressen auf dem Host, öffnet auf jeder verkauften Adresse einen SOCKS5-, einen HTTP- und einen UDP-Listener und leitet den Datenverkehr über **dieselbe IP** aus, mit der sich der Kunde verbunden hat (Same-IP-Egress). Es meldet sich alle paar Sekunden beim Panel.
- **IPv6-Proxy-Node.** Ein Proxy-Dienst, der Kunden Adressen aus einem IPv6-Präfix bereitstellt, das Sie zu dem Host routen. Das Panel installiert diesen automatisch über SSH für Sie.

Nutzen Sie diese, um saubere IP-Adressen in Ländern weiterzuverkaufen, in denen Sie Server betreiben.

## Anforderungen {#requirements}

### VPN node {#vpn-node}

| Komponente | Anforderung |
|---|---|
| Betriebssystem | Eine Linux-Distribution mit systemd und Kernel 4.15 oder neuer (Unterstützung für IPv6 free-bind). Das mitgelieferte Agent-Binary ist ausschließlich für **x86_64** (amd64) verfügbar. |
| Berechtigungen | root, für die Installation. Der Dienst behält nur `CAP_NET_ADMIN`, `CAP_NET_RAW` und `CAP_DAC_READ_SEARCH` bei. |
| Tools | `curl` oder `wget` sowie `sha256sum` (der Installer verweigert die Fortsetzung, wenn die Datei nicht geprüft wurde). |
| Öffentliche Adressen | Öffentliche IPv4-Adressen, die auf einer Schnittstelle des Hosts zugewiesen sind (jeweils eine `/32`), **oder** ein an den Host geroutetes Präfix, das Sie als zusätzliches Subnetz hinzufügen (IPv4 /16 bis /32, IPv6 /48 bis /128). Private, CGNAT- und Dokumentationsbereiche werden ignoriert. |
| Netzwerk, eingehend | Kunden verbinden sich mit jeder verkauften öffentlichen IP auf den **Ports 65001-65535** (TCP für SOCKS5 und HTTP, UDP für UDP Associate). Jeder Endpunkt verwendet eine Reihe von drei aufeinanderfolgenden Ports. |
| Netzwerk, ausgehend | HTTPS (443) zu der Domain Ihres Panels. Der Agent ermittelt zudem sein eigenes Land über `ip-api.com` (HTTP) und `ipinfo.io` (HTTPS) mit einem Limit von 3.5 Sekunden. |
| E-Mail | Ausgehende Verbindungen zu Port 25 sind grundsätzlich blockiert; es gibt keine Einstellung, um diesen freizugeben. |
| Docker, VPN und virtuelle Schnittstellen | Schnittstellen mit den Namen `docker*`, `veth*`, `br-*`, `cni*`, `flannel*`, `virbr*`, `cali*`, `tun*`, `tap*`, `wg*` und `tailscale*` steuern keine Adressen bei. |
| Abhängig von | Das Modul **VPN**, eine Zone (die automatisch aus dem Land des Hosts erstellt wird) und das über HTTPS erreichbare NexCMP-Panel. |

### IPv6-Proxy-Knoten {#ipv6-proxy-node}

| Komponente | Anforderung |
|---|---|
| Betriebssystem | Linux mit systemd auf **x86_64**. Die Befehle `systemctl`, `nft`, `ip`, `ss`, `sysctl` und `useradd` müssen vorhanden sein; andernfalls bricht die Installation ab und nennt den fehlenden Befehl. |
| Zugriff für die Installation | Eine öffentliche IPv4-Adresse (private, Loopback- und CGNAT-Adressen werden abgelehnt), der SSH-Port, ein Konto mit Root- oder `sudo`-Rechten sowie das dazugehörige **Passwort**. Das Passwort wird nur für die Installation verwendet und nicht gespeichert. |
| Freie Ports | **80, 443 und jeder Port über 60000** müssen frei sein. Der Installer stoppt oder ändert keine bereits laufenden Dienste; er meldet die belegten Ports und bricht ab. |
| IPv6 | Ein öffentliches Präfix zwischen **/32 und /64** innerhalb von `2000::/3`, das der Host als Quelle für ausgehenden Datenverkehr verwenden kann, entweder **geroutet** an den Host geliefert oder **on-link** mit NDP-Proxy (siehe unten). |
| Netzwerk | Kunden verbinden sich mit der IPv4 des Nodes über Port 80 (HTTP-Proxy), Port 443 (SOCKS5) und die Ports 60001-65535 (ein Port pro statischer IP). Der Node besitzt kein Zertifikat, daher gibt es keinen HTTPS-Proxy. Der Datenverkehr verlässt den Node ausschließlich über IPv6 und nur zu Zielen mit einer IPv6-Adresse. Der Node ruft seine Konfiguration über HTTPS vom Panel ab. |
| Knoten-Software auf dem Panel-Server | Der Node-Daemon und sein Netzwerk-Skript sind im NexCMP-Release-Paket enthalten. Das Panel kopiert sie während der Installation aus seinem Installationsordner (`/opt/nexcmp/releases/<version>/bin` bzw. `/opt/nexcmp/bin` bei einem Custom Build) auf jeden Node. Der Panel-Server benötigt zudem `sshpass` und einen SSH-Client; das Installationsprogramm fügt `sshpass` hinzu, und auf einem vor Version 1.4.2 installierten Server fügen Sie es mit `sudo apt-get install -y sshpass` hinzu. |
| Abhängig von | Das Modul **IPv6 Proxy** sowie die Panel-URL, an die Nodes zurückmelden (**IPv6 Proxy › Settings › Panel URL for nodes**, Standard `https://<your license domain>`). |


## Infrastruktur vorbereiten {#prepare-the-infrastructure}

### VPN node {#vpn-node-1}

1. **Stellen Sie den Host bereit** mit einem unterstützten Linux und den öffentlichen IPv4-Adressen, die Sie verkaufen möchten, entweder auf der Netzwerkschnittstelle konfiguriert oder an den Host geroutet.
2. **Wenn Sie einen gerouteten Block verkaufen**, planen Sie ein, diesen beim Hinzufügen des Nodes als **Extra subnet** einzutragen. Der Agent richtet eine Route `local <block> dev lo` ein, damit der Host Datenverkehr für jede Adresse im Block akzeptiert, und meldet anschließend die gefundenen Adressen. Der Agent liest zudem die reale Routing-Tabelle des Hosts aus und verkauft oder erfasst niemals eine **Gateway**-Adresse: Enthält der Block den Next-Hop einer der Routen des Hosts (beispielsweise die Router-Adresse eines On-Link-Blocks), richtet der Agent `local` Routen nur für die Teile des Blocks um diese herum ein, meldet das Gateway an das Panel, und das Panel hält diese Adresse aus dem Pool und jeder Zuweisung heraus. Er entfernt die eingerichteten Routen, wenn sich das zusätzliche Subnetz ändert oder der Agent gestoppt wird.
3. **Öffnen Sie die Firewall.** Erlauben Sie eingehenden TCP- und UDP-Datenverkehr auf **65001-65535** an den öffentlichen Adressen sowie ausgehendes HTTPS zum Panel.
4. **Optional: Byte-Zähler pro IP.** Die Conntrack-Abrechnung (`net.netfilter.nf_conntrack_acct = 1`) ermöglicht es der Überwachungsrolle, Bytes pro IP zu zählen. Das Panel kann sie aktivieren, indem es dem Agenten einen `acct`-Befehl sendet, wodurch auch `/etc/sysctl.d/99-cmp-agent.conf` geschrieben wird. Die VPN-Rolle selbst benötigt dies nicht.
5. **Überprüfen Sie das Panel vom Knoten aus:**

   ```bash
   curl -fsS -o /dev/null -w '%{http_code}\n' https://cloud.example.com/install.sh
   ```

### IPv6-Proxy-Knoten {#ipv6-proxy-node-1}

Ein IPv6-Präfix erreicht den Knoten auf eine von zwei Arten. Der Installer testet beide mit echten ausgehenden Verbindungen und behält das bei, was funktioniert.

| Art | Bedeutung | Konfiguration |
|---|---|---|
| **Geroutet** | Ihr Upstream leitet ein Präfix (zum Beispiel ein /48 oder /56) **auf die eigene Adresse des Knotens** weiter. Ausgehende Pakete können jede Adresse im Präfix als Absender verwenden, und Antworten kommen zum Knoten zurück. | Bitten Sie Ihren Provider um ein geroutetes Präfix, dessen Next Hop der Knoten ist. Nichts Weiteres auf dem Knoten: Der Proxydienst verwendet transparente Sockets, eine feste Policy-Routing-Tabelle und `nft`. |
| **On-link** | Das /48 bzw. /64 befindet sich im selben LAN wie der Knoten. Antworten funktionieren nur, wenn der Knoten die Neighbor Discovery für jede verwendete Adresse beantwortet (**NDP-Proxy**). | Der Dienst setzt auf dieser Schnittstelle allein `net.ipv6.conf.<if>.accept_ra=2`, `forwarding=1` und `proxy_ndp=1`, merkt sich die alten Werte, stellt sie beim Stoppen wieder her und blockiert das Forwarding der Pool-Adressen, damit der Knoten nicht zum Router für den Pool wird. |

So funktioniert die Prüfung: Der Knoten versucht innerhalb von 6 Sekunden eine TCP-Verbindung zu einer öffentlichen IPv6-Adresse (Port 443) von einer zufälligen Adresse des Kandidatenpräfixes herzustellen. Kandidaten sind globale Adressen auf Schnittstellen mit einem Präfix von /64 oder kürzer sowie Routen vom Typ `local`, `unreachable` oder `blackhole` zwischen /16 und /64. Ein Präfix, das kürzer als /64 ist, wird als **geroutet** akzeptiert, wenn ein zufälliges /64 darin funktioniert.

::: warning Dasselbe Präfix nicht doppelt verwenden
Ein Präfix darf sich nicht mit dem Präfix eines anderen Knotens überschneiden und nicht breiter sein als ein Präfix, das bereits zum IPv6-Pool des Panels selbst gehört. Ein /64 **innerhalb** des Pools des Panels ist zulässig. Überschneidungen werden im Installationsergebnis als „assign range … (node …)“ gemeldet, und das Präfix wird übersprungen.
:::

Einschränkungen, die der Knoten selbst anwendet: Kunden können von den Pool-Adressen aus keine E-Mails senden (Ports 25, 465, 587, 2525), und der eigene IPv4-Traffic des Daemons ist auf Antworten sowie auf das Panel und DNS beschränkt.

## In NexCMP verbinden {#connect-in-nexcmp}

### VPN node {#vpn-node-2}

1. Schalten Sie unter **System › Admin › License & updates** den Schalter **VPN** ein. Siehe [Modules](https://nexcmp.com/de/docs/infrastructure/modules/).

      ![Die Modulkarte mit den Schaltern für VPN und IPv6-Proxy](https://nexcmp.com/de/docs/images/infrastructure/vpn-proxy-nodes-01-modules.webp)

2. Öffnen Sie **Infrastructure › VPN & Proxy nodes › Agents & external nodes**. Sie haben zwei Möglichkeiten, einen Knoten hinzuzufügen.

   **a. Über SSH installieren.** Klicken Sie auf **+ Add server (SSH)** und füllen Sie Folgendes aus:

   | Feld | Beispielwert |
   |---|---|
   | Server-IPv4-Adresse | `192.0.2.50` |
   | SSH-Port | `22` |
   | SSH-Benutzer | `root` |
   | SSH-Passwort | `XXXX` |
   | Anzeigename | `node-ny-1` (leer: benannt nach der IP) |
   | Server-Rolle | External VPN / Proxy Node |
   | Zonenzuordnung | Auto by GeoIP (Zone erstellen / zuweisen) oder eine bestehende Zone |
   | Zusätzliches Subnetz (optional) | leer, um die Schnittstellen automatisch zu scannen, oder ein gerouteter Block wie `203.0.113.0/24` |
   | Nach der Installation zum Verkauf freigeben | aktivieren, um jede erkannte Adresse als verkaufbar zu markieren |

   Klicken Sie auf **Connect & install**. Das Panel verbindet sich über SSH, führt den Einzeilen-Installer mit einem Einmal-Ticket auf dem Knoten aus und zeigt den Knotennamen, den GeoIP-Standort und die erkannten Bereiche an.

      ![Dialogfeld „Add Node via SSH“ mit einer beispielhaften Serveradresse und Rolle](https://nexcmp.com/de/docs/images/infrastructure/vpn-proxy-nodes-02-add-server-ssh.webp)

   **b. Manuelle Installation.** Klicken Sie auf **Generate manual install token**. Der Befehl wird **einmalig** angezeigt; kopieren Sie ihn und führen Sie ihn auf dem Node aus:

   ```bash
   curl -fsSL https://cloud.example.com/install.sh | sudo sh -s -- --token XXXX --name node-ny-1
   ```

   Eine Token-Installation registriert die Maschine ausschließlich für das Monitoring: Aus Sicherheitsgründen erlaubt das Panel einer Maschine mit dem geteilten Token nicht, sich selbst die VPN-Rolle zuzuweisen (das Hinzufügen von `--roles vpn` zum Befehl ist wirkungslos). Sobald die Maschine in der Liste erscheint, öffnen Sie sie und weisen Sie die Rolle **VPN** selbst zu. Bei einer Installation über SSH (Option a) erhält der Node die VPN-Rolle von Beginn an. Ein neues Token macht das alte ungültig; bereits registrierte Hosts funktionieren weiterhin, da sie ihren eigenen Schlüssel verwenden.

      ![Dialogfeld für den Installationsbefehl mit dem einmaligen Token-Befehl](https://nexcmp.com/de/docs/images/infrastructure/vpn-proxy-nodes-03-install-command.webp)

   Was der Installer tut: Er lädt `cmp-agent-linux-amd64` von Ihrem Panel herunter, **überprüft dessen SHA-256**, installiert es unter `/usr/local/bin/cmp-agent`, registriert sich mit dem Token, schreibt `/etc/cmp-agent/agent.json` und startet den systemd-Dienst `cmp-agent`. Zum Entfernen: `curl -fsSL https://cloud.example.com/install.sh | sudo sh -s -- --uninstall`.

3. Nach dem ersten Heartbeat erscheint die Node in der Liste. Ihr Land wird per GeoIP ermittelt (zuerst die eigene Abfrage der Node, dann die Datenbank des Panel); falls keine existiert, wird eine **Zone** für dieses Land erstellt und öffentlich geschaltet, und die auf dem Host gefundenen Adressen werden zu Pool-Bereichen.
4. Öffnen Sie **Infrastructure › VPN & Proxy nodes › VPN IP pools**, um die Bereiche, deren Zone und Node einzusehen und die Zone, die Node oder den **Sellable**-Schalter jedes Bereichs zu ändern. **Enable range** erlaubt neuen Bestellungen die Nutzung freier IPs; **Disable range** stoppt lediglich neue Zuweisungen, bereits gemietete IPs bleiben aktiv.

      ![VPN-IP-Pools mit von einer Node gemeldeten Bereichen](https://nexcmp.com/de/docs/images/infrastructure/vpn-proxy-nodes-04-vpn-pool.webp)

5. Öffnen Sie **Services › VPN**, legen Sie die Preisliste fest und aktivieren Sie den Verkauf. Der Schalter **Sell VPN** unter **Subscriptions** entspricht dem Schalter für das VPN-Modul in License & updates.
6. **Optional: Dienst umbenennen.** Unter **Settings › Branding** ändert **VPN service display name**, wie der VPN-Dienst im Kundenmenü, auf der Bestellseite, Detailseite und in der Deploy-Liste benannt wird (z. B. `IPv4 Proxy`, `Datacenter Proxy` oder `Static Residential Proxy`; bis zu 40 Zeichen, leer behält `VPN` bei). Es ändert nur Bezeichnungen: Routen, Daten und die API ändern sich nicht.

### IPv6-Proxy-Knoten {#ipv6-proxy-node-2}

1. Schalten Sie unter **System › Admin › License & updates** die Option **IPv6 Proxy** ein.
2. Öffnen Sie **Infrastructure › VPN & Proxy nodes › IPv6 Proxy nodes** und klicken Sie auf **Add node (SSH)**. Geben Sie die IPv4-Adresse der Node, den SSH-Port, Benutzer, Passwort, einen optionalen Namen sowie einen **Grund** (dieser wird im Audit-Log vermerkt) ein und klicken Sie auf **Install**.

      ![Dialog zum Hinzufügen einer IPv6-Node mit Beispieladresse und Grund](https://nexcmp.com/de/docs/images/infrastructure/vpn-proxy-nodes-05-proxy6-add-node.webp)

3. Das Panel führt nacheinander folgende Schritte aus: Überprüfung der Maschine und der Ports, Kopieren des Daemons, des Netzwerkskripts, der Service-Unit und einer knotenspezifischen Umgebungsdatei (einem Knotentoken und einem Passwort-Signierschlüssel), Ausführen des **probe** für nutzbare Präfixe, Aufzeichnen der Präfixe im Pool, Starten des Dienstes und Warten von bis zu 90 Sekunden auf den ersten Bericht. **Install log** zeigt jeden Schritt.
4. Ein neuer Knoten erstellt seine Zone im Status **off** (basierend auf der GeoIP der IPv4 des Knotens). Schalten Sie die Zone unter **Infrastructure › Datacenter › Zone** ein, damit Kunden sie auswählen können.
5. Legen Sie ein **Mbps cap** pro Knoten fest (10 bis 100000 pro Richtung). Legen Sie unter **Services › IPv6 Proxy** die Preisliste fest und aktivieren Sie den Verkauf.
6. Prüfen Sie **IPv6 Proxy › Settings › Panel URL for nodes**. Nodes rufen diese Adresse auf (`https://host`, ohne Pfad), um ihre Konfiguration abzurufen und Berichte zu senden. Leer bedeutet `https://<your license domain>`. Es muss sich um einen Host handeln, dessen Adresse direkt auf das Panel zeigt, damit die eigene IPv4 des Nodes dieses unverändert erreicht.

::: tip Rotationszeitplan
Kunden können ein automatisches Rotationsintervall von 30 bis 600 Sekunden einrichten. In NexCMP führt das Panel diesen Zeitplan (sowie die stündliche Bereinigung der Verbindungsprotokolle) aus; Nodes übernehmen eine neue Adresse innerhalb von etwa 5 Sekunden.
:::

### Wie ein Knoten Berichte sendet {#how-a-node-reports}

| | VPN-Knoten (`cmp-agent`) | IPv6-Proxy-Knoten |
|---|---|---|
| Registrierung | Einmaliges Ticket oder Token über HTTPS, danach ein eigener Schlüssel | Einmalige SSH-Installation, danach ein Knotentoken |
| Heartbeat | Alle **5 Sekunden** (10 s für einen reinen Überwachungsagenten); das Panel kann 3 bis 300 s einstellen. Nach einem Fehler erfolgt ein Backoff in Schritten von 5 s bis zu 60 s | Der Knoten sendet etwa alle 60 Sekunden einen Bericht und ruft die Konfiguration ab |
| Als online angezeigt | Ein Heartbeat innerhalb der letzten **60 Sekunden** | **alive** innerhalb der letzten **120 Sekunden**, andernfalls **missed heartbeat** |
| Konfigurationsänderung | Wird beim nächsten Heartbeat angewendet | Wird innerhalb von ca. 5 Sekunden angewendet |
| Updates | Das Panel kann einen `upgrade`-Befehl mit der neuen Version, der URL und der SHA-256 senden | Neuinstallation über die Knotenzeile |

### Datenvolumen auf einem VPN-Node {#data-allowance-on-a-vpn-node}

Ab NexCMP **1.5.1** sendet der VPN-Node-Agent das übertragene Datenvolumen mit jedem Heartbeat, und das Panel rechnet es dem Verbrauch des Tarifs für den aktuellen Zeitraum hinzu. Derselbe Wert wird dem Kunden (Reiter Overview und Bandwidth) und Ihnen (VPN › Subscriptions, Spalte Used sowie die Node-Zeile) angezeigt.

- **Abschaltung.** Sobald ein Tarif sein GB-Volumen für den Zeitraum aufgebraucht hat, sendet das Panel die Endpunkte dieses Tarifs nicht mehr an den Agenten; neue Verbindungen werden abgewiesen und bestehende getrennt. Die Abschaltung erfolgt innerhalb eines Heartbeats, daher kann ein Tarif sein Limit minimal überschreiten. Tarife mit einer Unlimited-Stufe werden nie getrennt.
- **Wiederfreigabe.** Der Tarif wird innerhalb eines Heartbeats wieder bedient, nachdem der Kunde mehr Bandbreite kauft oder wenn der nächste Zeitraum beginnt.
- **Not measured.** Ein Node, dessen Agent keine Nutzung übermittelt hat (beispielsweise ein älterer Agent), wird als **Not measured** angezeigt, und seine Pläne werden nie aufgrund von GB gedrosselt.
- **Agent aktualisieren.** Verwenden Sie Agent **1.5.1** auf den Nodes. Ältere Agents werden weiterhin erfasst, können jedoch die Bytes eines fehlgeschlagenen Heartbeats, eines gestoppten Endpunkts oder eines Neustarts verlieren und trennen offene Verbindungen nicht, wenn ein Tarif gekappt wird. Aktualisieren Sie über die Node-Zeile (Reinstall) oder mit dem Befehl `upgrade`.
- Gezählt wird die Nutzlast, die den Proxy durchläuft, weshalb der Wert etwas niedriger ausfällt (ca. 1 %) als die Bytes auf der Leitung.

### Eingestellte VPN-Add-ons {#retired-vpn-add-ons}

High IP Reputation, High Concurrency und High Priority Network werden bei Neubestellungen nicht mehr angeboten. Bestehende Abonnements behalten ihre Add-on-Auswahl, jedoch werden die eingestellten Gebühren aus den Verlängerungsbeträgen entfernt. Für bereits bezahlte Zeiträume erfolgt keine Rückerstattung. Die Anpassung verwendet den aktuellen Katalogpreis des Add-ons; falls Sie diesen Preis geändert oder das Add-on gelöscht haben, überprüfen Sie den Verlängerungsbetrag des Abonnements vor der nächsten Verlängerung.

## Verifizierung {#verify}

1. Die Knotenzeile ist online. Für einen VPN-Knoten zeigt **Agents & external nodes** dessen Zone, Land, Rolle und erkannte Bereiche an.
2. **VPN IP pools** listet die Bereiche mit freien IPs auf; die Detailseite der Zone zeigt die VPN-Infrastruktur.
3. Bestellen Sie einen Test-VPN- oder -Proxy-Tarif. Der Kunde erhält einen Endpunkt `ip:port`, einen Benutzernamen und ein Passwort; stellen Sie eine Verbindung darüber her und überprüfen Sie, ob die sichtbare öffentliche IP der des Knotens entspricht (z. B. `curl --proxy socks5h://USER:XXXX@IP:PORT https://ifconfig.me`).
4. Führen Sie auf einem IPv6-Knoten auf dem Host Folgendes aus:

   ```bash
   systemctl is-active <node service>
   nft list tables | grep proxy6
   ss -ltn | grep -E ':(80|443|6[0-9]{4})\b'
   ```

## Grenzwerte und Hinweise {#limits-and-notes}

- Windows-Hosts können den Überwachungsagenten ausführen, jedoch nicht die VPN-Rolle.
- Datenvolumen (GB pro Zeitraum) eines VPN-Tarifs: Ab NexCMP 1.5.1 summiert das Panel den vom VPN-Node-Agent gemeldeten Traffic und trennt die Proxys des Tarifs, sobald das GB-Kontingent des Zeitraums aufgebraucht ist (siehe „Data allowance on a VPN node“ unten). IPv6-Proxy-Tarife haben kein GB-Kontingent; sie begrenzen die Bandbreite in Mbps pro Tarif.
- IPv4-Adressen eines VPN-Tarifs rotieren nicht. Meldet ein Kunde eine IP auf einer Blacklist, genehmigen Sie oder der Reseller einen Ersatz aus derselben Zone. Nur IPv6 Proxy rotiert.
- Pro Heartbeat werden maximal 64 Bereiche gemeldet.
- Ein VPN-Endpoint-Set verwendet drei Ports pro verkaufter IP. Mit den Ports 65001-65535 bedient jede IP eine begrenzte Anzahl an Endpoints (178 Port-Sets); das Panel überspringt Sets, die bereits verwendet wurden.
- Das Löschen eines IPv6-Proxy-Nodes ist nur zulässig, wenn kein Tarif eine IP darauf hält. Dabei werden die Bereiche und das Token des Nodes entfernt; die Software auf dem Host wird nicht deinstalliert.
- Das Weiterverkaufen eines Bereichs, der auch Ihre eigenen VMs enthält, ist möglich: VPN nutzt ausschließlich die Ports 65001-65535, wodurch sich die IP den Dienst mit anderen Diensten teilt.

## Fehlerbehebung {#troubleshooting}

| Symptom | Ursache | Behebung |
|---|---|---|
| "Registrierung fehlgeschlagen (ungültiges Token oder Server nicht erreichbar)" | Falsches oder bereits verwendetes Token oder das Panel ist nicht erreichbar | Generieren Sie ein neues Token oder wiederholen Sie die SSH-Installation. |
| "Dateisignatur stimmt nicht überein - STOP" | Der heruntergeladene Agent weicht vom veröffentlichten SHA-256 ab | Überprüfen Sie den `/dl/`-Ordner des Panels und stellen Sie sicher, dass der Download unterwegs nicht überschrieben wird. |
| "Dieser Installer ist nur für Linux" / "Architektur … wird noch nicht unterstützt" | Windows oder eine andere Architektur als x86_64 (das Release enthält den Agent nur für x86_64) | Verwenden Sie einen x86_64-Linux-Host. |
| Node erscheint nicht | Der Node kann das Panel nicht über HTTPS erreichen | Testen Sie `curl https://<domain>/install.sh` vom Node aus; prüfen Sie DNS und die Firewall. |
| Node erscheint mit dem falschen Land | Die Länderabfragen sind fehlgeschlagen, daher wurde die Adressdatenbank des Panels verwendet | Erlauben Sie ausgehenden Zugriff auf `ip-api.com` und `ipinfo.io` oder wählen Sie die Zone explizit im SSH-Formular aus. |
| Keine Bereiche erkannt | Keine öffentliche IPv4 auf einer nicht-virtuellen Schnittstelle | Fügen Sie eine öffentliche Adresse hinzu oder geben Sie den gerouteten Block als **Extra subnet** ein. |
| VPN funktioniert, Traffic geht über eine andere IP ein | Die verkaufte IP ist dem Host nicht zugewiesen oder nicht darauf geroutet | Stellen Sie sicher, dass sich die IP auf einer Schnittstelle befindet oder durch `local … dev lo` abgedeckt wird. |
| "Der Panel-Server verfügt nicht über sshpass" | Der Panel-Host kann sich nicht per Passwort an den Nodes anmelden | Führen Sie `sudo apt-get install -y sshpass openssh-client` auf dem Panel-Server aus und installieren Sie den Node anschließend erneut. |
| "not found in the installed package" bei der Installation eines IPv6-Nodes | Das Panel ist älter als 1.4.2 oder ein Custom Build ohne die Node-Dateien | Aktualisieren Sie NexCMP auf 1.4.2 oder höher; verwenden Sie bei einem Custom Build `build.sh`, wodurch nun `brandy-proxy6d` und `brandy-proxy6-net` gepackt werden. |
| "SSH: …" am Anfang einer IPv6-Installation oder "SSH to internal/loopback addresses is not allowed" | Falscher Port, falscher Benutzer oder falsches Passwort, SSH blockiert oder die Adresse ist privat | Verwenden Sie die öffentliche IPv4 des Nodes und prüfen Sie den Zugriff manuell mit `ssh -p PORT USER@IP`. |
| "Architektur … nicht unterstützt (nur x86_64)" | Der Node ist nicht x86_64 | Verwenden Sie einen x86_64-Host. |
| "Auf Node fehlt Befehl: …" | `nft`, `ip`, `ss`, `sysctl`, `systemctl` oder `useradd` nicht installiert | Installieren Sie die Pakete und führen Sie die Installation dann erneut aus. |
| "Ports werden von anderem Dienst auf Node belegt: … — 80, 443, 60001-65535 müssen frei sein" | 80, 443 oder ein Port über 60000 ist belegt | Verschieben Sie den anderen Dienst; der Installer stoppt diesen nicht. |
| "Kein IPv6-Präfix mit Internetzugriff von Node gefunden (echter Egress-Test fehlgeschlagen)" | Kein geroutetes Präfix, NDP-Proxy nicht möglich oder kein ausgehendes IPv6 | Prüfen Sie, ob das Präfix zum Node geroutet wird, die Schnittstelle über IPv6-Konnektivität verfügt und kein Filter den ausgehenden Datenverkehr blockiert. |
| "Alle erkannten Bereiche gehören bereits zu einem anderen Node" | Das Präfix wird bereits von einem anderen Node verwendet | Entfernen Sie es vom anderen Node oder wählen Sie ein anderes Präfix. |
| Installation endet mit "no initial report received from node" | Der Dienst wurde gestartet, erreichte das Panel jedoch nicht innerhalb von 90 Sekunden | Überprüfen Sie die den Nodes zugewiesene Panel-URL und den HTTPS-Pfad des Nodes dorthin; siehe **Install log**. |
| Node-Zeile zeigt **missed heartbeat** | Kein Bericht seit 120 Sekunden | Überprüfen Sie den Dienst auf dem Node, dessen Uhrzeit und dessen Pfad zum Panel. |
| Kunden sehen keinen IPv6-Standort | Die Zone ist deaktiviert | Aktivieren Sie die Zone unter **Zone**. |