Solved
IPv6 Router Advertisements - Firewall
3 years ago
Hallo zusammen,
aktuell versuche ich mich wieder einmal mit der Thematik IPv6 zu beschäftigen. Allerdings habe ich aktuell noch einige große Fragezeichen um mich herumschwirren
Mittlerweile kann ich mir etwas unter den v6 Adressen vorstellen und auch an die Schreibweisen konnte ich mich etwas gewöhnen. Allerdings habe ich noch ein sehr großes Verständnisproblem in Bezug auf das Routing.
Im IPv4 Bereich habe ich ja die Thematik NAT und meine Firewall kann / muss jeden Traffic kontrollieren bzw. routen damit die Clients Kontakt mit der Außenwelt aufnehmen können. Somit kann ich mir vorstellen, wie ich diese Abschotten (Ports) kann.
Sofern ich das richtig verstanden habe, gibt es aufgrund der hohen Anzahl an V6 Adressen keine NAT mehr. Sprich jeder Client bekommt sofort eine vollwertige Adresse aus den "WWW".
=> Somit stellt sich mir die Frage, wie ich die Clients hinter einer Firewall entsprechend schützen kann.
=> Eine feste Adressierung (ALIAS) der V6 Adressen kann ich ja schließlich ebenfalls nicht vornehmen, da ich ja davon ausgehen muss, dass sich das Bereitgestellte /56 Netz der Telekom sich ändern könnte
Hat hier vielleicht schon jemand Erfahrung im IPv6 Bereich sammeln dürfen und kann mir hier etwas auf die Sprünge helfen?
Aktuell Nutze ich eine PFsense und habe die Interfaces wie folgt konfiguriert:
WAN:
=> IPV6 Configuration Type: DHCP
LAN:
=> IPV6 Configuration Type: Track Interface
Und unter "DHCP v6 Server & RA" wurde als Router Mode: Assisted ausgewählt.
=> Nun bekomme ich eine IPv6 Adresse zugewiesen und die Testseiten im Internet sagen mir, dass ich sowohl via V4 und V6 online bin.
Nur mein Verständnis Problem ist nun - Beziehe ich die IP von meiner Firewall oder von einem Server der Telekom?
Sprich läuft der Traffic nach wie vor noch über die Firewall oder Umgehe ich diese so ?
Bitte entschuldigt die vielleicht blöd klingenden Fragen, aber irgendwie stehe ich hier am Schlauch.
Danke schon einmal für die Unterstützung.
Gruß Mario
966
9
3 years ago
Die IPv6 kann von einem DHCPv6 Server verteilt werden, das ist aber nicht der Normalfall. Der Router "advertised" ein IPv6-Präfix (/64, RA) in das LAN (beziehungsweise die Client fordern per RS an) und die Clients generieren sich die IPv6 dann selbst (eine oder beliebig viele, SLAAC) und prüfen dabei auch deren Eindeutigkeit (DAD/NS/NA).
Die Firewall arbeitet auf Interface-Ebene (WAN und LAN) und lässt nach den dortigen Regeln Pakete rein oder blockt diese. Meistens gibt es da Default Regeln die Traffic "von innen nach außen" allgemein zulassen (allow any), aber Traffic "von außen nach innen" blockieren (deny any).
0
3 years ago
Dein Router holt sich von der Telekom einen /56er Prefix macht daraus /64er Prefixe die er an die Hosts im LAN weitergibt. Den Interface Identifier (Suffix) sucht sich der Client selbst aus.
In der Firewall kannst Du dann Regeln für die Suffixe festlegen. Verwendet ein Host die IPv6 Privacy Extensions, dann hat er in der Regel mehrere Adressen:
- eine die er aktuell für ausgehende Verbindungen verwendet und die er regelmäßig ändert (zwengs der Privacy)
- eine (oder mehrere) veraltete, die nicht mehr für neue ausgehende Verbindungen verwendet werden aber noch behalten werden weil noch Verbindungen darüber laufen und
- eventuell eine feste die für ankommende Verbindungen genutzt wird
In Heimroutern erlaubt die Firewall in der Regel keine ankommenden Verbindungen für die Privacy-Adressen. Für die festen Adresse kannst Du portweise Freigaben einrichten, das geht dann so ähnlich wie mit den Portweiterleitungen bei IPv4.
6
Answer
from
3 years ago
Hey, danke für den Hinweis.
Habe soeben nochmal nachgeschaut. Die Firewall erkennt die Adresse als /64 . (v6/DHCP6)
Das würde aber bedeuten, dass meine LAN Interfaces sich nicht aus den Teilen des WAN interfaces zusammensetzen ?
Answer
from
3 years ago
Die WAN Adresse des Routers ist völlig losgelöst vom Präfix des Netzes. Dein 56er Präfix im obigen Beispiel ist x:xx:x: 93, daraus macht der Router dann 64 Bit Präfixe. Warum da nun zwei stehen, weiß ich nicht.
Answer
from
3 years ago
Die WAN Adresse des Routers ist völlig losgelöst vom Präfix des Netzes.
Hey,
vielen Dank! Das war der Punkt, welcher mit fehlte.
=> Ich dachte immer, dass der Router ebenfalls eine Adresse aus "meinem" prefix bekommen muss.
Deshalb hatte ich mich hier verrannt und kam nicht weiter.
Warum da nun zwei stehen, weiß ich nicht.
Die 2 Adressen resultieren aus verschiedenen Netzwerken, welche hinter dem Router verteilt werden.
einmal VLAN 20 und 50.
2XXX : XXCX : 9D1E : 93 20 : XXXX : EAFF : FE96 : 6X0F /64
2XXX : XXCX : 9D1E : 93 50 : XXXX : 1DFF : FE21 : 6FXC /64
Unlogged in user
Answer
from
Accepted Solution
accepted by
3 years ago
Die WAN Adresse des Routers ist völlig losgelöst vom Präfix des Netzes. Dein 56er Präfix im obigen Beispiel ist x:xx:x: 93, daraus macht der Router dann 64 Bit Präfixe. Warum da nun zwei stehen, weiß ich nicht.
0
Unlogged in user
Ask
from